エンタープライズ向けサインイン制御を強化しました

これまで、管理対象デバイスでエンタープライズユーザーが Kiro にどの方法でサインインするかを制御する手段はありませんでした。組織として IAM Identity Center の利用を必須にしていても、ユーザーは個人アカウント（Google、GitHub、Builder ID）で Kiro にサインインできてしまっていました。

Kiro では、利用できるサインイン方法を管理者が決められるようになりました。ユーザーには組織が許可した選択肢だけが表示されます。

管理者向けの新しい制御

サインイン制御を使うと、管理者は次のことができます。

• サインイン方法を制限する: 組織がサポートする選択肢だけを表示し、それ以外は非表示にします。
• IAM Identity Center の情報を事前入力する: ユーザーがスタート URL やリージョンを調べる必要がなくなります。
• ヘルプリンクを追加する: サインイン画面から組織の IT サポートページへ直接案内できます。
• デバイスコードフローを有効化または無効化する: リモートマシンのようにブラウザがない環境からのサインインを、Kiro コンソールから直接管理できます。

ユーザーには管理者が許可したものだけが表示されます。ユーザーが制限を回避しようとした場合、Kiro はそのサインインを拒否します。

仕組み

管理者はサインインのルールを managed-settings.json に定義します。これは管理者権限で保護された設定ファイルで、Kiro が各マシンで読み込みます（詳細はドキュメントを参照してください）。これらの制御は、Kiro IDE と Kiro CLI のどちらから開始したサインインにも適用され、device flow も対象です。

例: サインインを IAM Identity Center のみに制限する

次の設定は、ユーザーのサインイン方法を IAM Identity Center に限定し、組織のスタート URL とリージョンを事前入力したうえで、組織の IT ヘルプページへのリンクを追加します。

{
  "rules": [
    { "capability": "signin_method", "effect": "deny", "exclude": ["idc"] }
  ],
  "settings": {
    "idc_start_url": "https://my-org.awsapps.com/start",
    "idc_region": "us-east-1",
    "signin_help_url": "https://it.example.com/kiro-help"
  }
}

このルールは、idc（IAM Identity Center）以外のすべてのサインイン方法を拒否します。ユーザーのサインイン画面には「Your organization」の選択肢だけが表示されます。idc_start_url と idc_region は Identity Center のフォームに事前入力されるため、ユーザーが詳細を手入力する必要はありません。signin_help_url は IT ヘルプページへのリンクを追加し、サインインで行き詰まったユーザーがサインイン中に参照できるようにします。

サインイン方法のリファレンス

管理者ルールでは、deny に exclude（許可リスト）または match（拒否リスト）を組み合わせて使います。特定の方法だけを拒否して残りを利用可能にしておくには、match を使います。

{ "capability": "signin_method", "effect": "deny", "match": ["social"] }

設定のリファレンス

以下はトップレベルの settings キーの下に追加します。いずれも省略可能です。

サインイン画面以外にも、管理者は Kiro コンソールからデバイスコードフローを直接有効化または無効化できます。

提供状況

サインイン制御は、Kiro IDE 1.2 および Kiro CLI 2.29.0 以降で、米国東部（バージニア北部）および欧州（フランクフルト）リージョンで利用できます。この機能を使うには、ユーザーがこれらのバージョン以降にアップグレードする必要があります。詳細はドキュメントをご覧ください。

この記事は Kiro ブログの Introducing improved enterprise sign-in controls を翻訳したものです。