コンセプト

ユーザー、セッション、トークン

ユーザーは個人であり、セッションは expires_at を持つ1回の認証済みログインです。 セッションの作成（POST /v1/genesis/sessions）は短命な JWT の token を返します。 サービス間呼び出しとは異なり、Genesis はエンドユーザー認証に長期 API キーを使用しません （認証参照）。

ロールと権限

Genesis はロールベースのアクセス制御を使用します。認可ロジックではロール名ではなく権限を 確認してください——ロールと権限のマッピングは変更される可能性があり、role === "admin" を ハードコードするコードはロール構成の変更時に静かに壊れます。

SSO 接続

SSO 接続は、メールドメイン単位で、顧客自身の ID プロバイダー（SAML または OIDC）を通じた 認証を設定します。あるドメインでアクティブな接続が有効になると、そのドメインのユーザーは SSO 認証が必須となり、パスワードログインはオプションではなく無効化されます——本番以外の ドメインで先にテストすることをお勧めします。

MFA とパスキー

Genesis は TOTP ベースの MFA と WebAuthn パスキーをサポートします。必須の MFA チャレンジを 完了せずに作成されたセッションは 403 mfa_required で拒否され、未検証セッションとして 静かに降格されることはありません。