アクセス制御

アクセス制御

項目	設定
Amplify App	aezisai-corporate-docs (d37g2r1x5u0me7)
Region	ap-northeast-1
認証（一次）	Elysion Cognito SSO（PKCE / Hosted UI）
Amplify Basic Auth	OFF（retired — SSO に置換）
Cognito client	ely-staging-corporate-docs（productId corporate-docs）
Client ID（SSM）	String /aezisai/aezisai-docs-site/cognito-client-id
basePath	常時 /p/docs（Amplify 直・Elysion CF 同一）
PR Preview	OFF（enablePullRequestPreview: false）
デプロイ	Git-connected のみ（ZIP create-deployment 禁止）

ログイン方法

A. Elysion 管理画面から（推奨）

1. Elysion CF 管理 UI に CUSTOM_AUTH（EMAIL_OTP）でログイン
   https://dz7nlz7k2jwqp.cloudfront.net/admin
2. ダッシュボードの 社内 Docs → /auth/sso-bridge → /p/docs/auth/login
3. 初回は Managed Login で EMAIL_OTP。以降は Hosted UI セッション中 silent（prompt=none）

B. Amplify 直アクセス

1. https://develop.d37g2r1x5u0me7.amplifyapp.com/p/docs/
2. 未ログインなら /p/docs/auth/login → Cognito Hosted UI
3. 成功後 sessionStorage（id/access token）+ cookie corporate_docs_session=1

旧 Basic Auth 資格情報（SSM /aezisai/aezisai-docs-site/basic-auth）は参照用に残してもよいが、ゲートとしては使用しない。

検証コマンド

aws amplify get-branch --app-id d37g2r1x5u0me7 --branch-name develop --region ap-northeast-1 \
  --query 'branch.{enableBasicAuth:enableBasicAuth,enablePullRequestPreview:enablePullRequestPreview,env:environmentVariables}'

aws ssm get-parameter --region ap-northeast-1 \
  --name /aezisai/aezisai-docs-site/cognito-client-id \
  --query Parameter.Value --output text

# Unauth: expect redirect to /auth/login (not HTTP 401 Basic)
curl -sI "https://develop.d37g2r1x5u0me7.amplifyapp.com/p/docs/" | head -20