すべての顧客、キャンパス、ブランドを一つのテナントで運営。
ある企業アカデミーは、一つのプラットフォームから 15 社の顧客企業に研修を提供しています。ある K-12 出版社は 114 校を運営しています。各組織が独自の人員、プログラム、ロール、ロゴ、ドメインを持ちながら、その上のグループはツリー全体を見渡せます。
二つの階層、その違いが効く
Lurno は機関に二つの独立したツリーを与えます。サブ組織は完全な子組織です — 独自のメンバー、プログラム、ロール、ブランディング、用語、ドメインを持ち、入れ子にできるので、出版社が 100 校を保持し、学校がそのキャンパスを保持します。ブランチは一つの組織の内側にある運用上のツリーで、キャンパス、部門、地域のためのものです。あるブランチで付与したロールは、その配下のすべてのブランチに継承されます。15 社の顧客企業に再販するなら、顧客一社ごとにサブ組織です。学部長がそれぞれの教職員を統括する学部に大学を分けるなら、それはブランチです。グループは三つ目の基本要素で、学習者が所属するコホート、クラス、チームを指します。
- サブ組織
- 親テナントの中にある完全な子組織で、独自のメンバー、プログラム、ロール、ブランディング、用語、カスタムドメインを持ちます。サブ組織は入れ子にでき、一つのツリーが保持できる数はプランが決めます。
権限のスコープは、プラットフォーム、組織、サブ組織、プログラム、コホート、コース、グループと並び、ブランチはグループと同列に位置します。広いスコープでの付与は下へ流れます。北部ブランチでロールを与えられたマネージャーは、北部の配下にあるすべてのキャンパスでそのロールを持ちます。
例外が一つ、意図的に設けてあります。これが再販事業で機能する理由です。名簿に関する権限 — メンバーの編集、個人データの閲覧、監査ログの参照 — は、親から子へ継承されません。顧客組織の管理者を任命しても、その顧客の学習者に対する恒常的な権限を持つことにはなりません。分離はデータベースで強制されます。868 の行レベルセキュリティポリシーが、リクエストが何を読めるかを決めます。
サブ組織、ブランチ、グループ
三つは同時に存在します。問題は、機関のある区分をどれに置くかです。
| Capability | サブ組織 | ブランチ | グループ |
|---|---|---|---|
| それが何か | テナント内の独立した組織 | 一つの組織の中の単位 | コホート、クラス、チーム |
| 入れ子にできるか | はい、構造が必要とする深さまで | はい、10 階層まで | はい、グループがグループを持てます |
| 独自のブランディング、ロゴ、ドメイン | Yes | No | No |
| 独自の人員ディレクトリ | はい | 組織のディレクトリを共有 | 組織のディレクトリを共有 |
| ここで付与したロールの効き方 | その組織の内側に適用。名簿権限は親から継承されない | 配下のすべてのブランチに継承される | そのグループのみ |
| プランの組織数上限に数えられるか | Yes | No | No |
| 典型的な用途 | 顧客企業、ネットワーク内の一校、国別子会社 | キャンパス、部門、地域 | 9 年生の生物、1 月入学期、営業チーム |
御社のプロダクト、御社のドメイン、御社の言葉
組織ごとにブランドを設定するか、頂点で一度だけ設定するか
組織は三つのテーマテンプレートのいずれかと、ライト・ダーク・システムの既定モードから始めます。そこから 17 の項目が御社のものです。14 のカラートークン、見出しフォント、本文フォント、角丸の半径。ライト用とダーク用のロゴ、ファビコン、タイトル、スローガンも追加できます。
- ログインページの背景スロットが四つ。左右のペインそれぞれにライト用とダーク用の画像があり、誰かがサインインする前にホスト名から解決されます。
- ブランディングはまとまりごとに継承されます。独自のテーマを持たないサブ組織は親のテーマを丸ごと受け継ぎ、ロゴは二つで一組として継承され、タイトル・スローガン・ファビコンは項目ごとにフォールバックします。学校は出版社のパレットを保ったまま、自校の紋章を掲げられます。
組織ごとに一つのドメインを、ツリーのどの深さでも
learn.yourbrand.com を Lurno に向ければ、体験の全体がそこで応答します — ログインページ、コース、招待メールまで。ホスト名は Cloudflare 経由で払い出され、TLS は自動で発行され、ツリー内のどの組織も自分のドメインを持てます。ログインページは、誰かが認証する前に、ホスト名だけからロゴ、タイトル、スローガン、テーマ、背景を解決します。
自社プロダクトから学習者をサイレントにサインインさせる
すでに御社にアカウントを持つ学習者が、二つ目のログイン画面に出会うべきではありません。御社のバックエンドが、認証済みの学習者について短命の署名付きアサーションを送信します。Lurno がそれを検証し、学習者を特定または作成して、使い捨てのコードを返します。ブラウザをそこへリダイレクトすれば、学習者はコースの中にいます。
- アサーションはサーバー間でやり取りされ、ブラウザに触れることはありません。コードは使い捨てで、2 分で失効します。署名は保管庫の鍵と照合され、二度提示されたコードを拒むリプレイ防止機構が働きます。
- 作成できるのは学習者だけです — パートナーの鍵で管理者を作ることはできません。署名鍵は一つでパートナーのツリー全体をカバーし、組織ごとのアカウントコードが各学習者を正しい組織へ振り分けます。
ドメインが動くまでの三段階
組織の設定画面からセルフサービスで行えます。チケットも、当社のエンジニアも不要です。
- 01
ホスト名を入力する
使いたいドメインを入力します。その時点で保存されるので、ウィザードを閉じて DNS の管理者を探しに行き、後から戻ってきてかまいません。
- 02
DNS レコードを公開する
Lurno が、レジストラに登録すべきレコードをそのまま表示します。ルーティング用のレコードと、証明書に必要なドメイン管理確認用のレコード、あるいはドメインを自社でホストしている場合は TXT レコード一つです。
- 03
主ドメインに設定する
証明書は非同期で発行されるため、ウィザードは有効になるまで状態を随時表示します。そのドメインを主に指定すれば、その組織の招待リンクはすべてそのドメインで組み立てられます。
テナントが本当に御社のものになると、ほかに何が変わるか
言語ごとに、御社の語彙で
プラットフォームの語 — 教師、生徒、親、保護者、クラス、グループ、カリキュラム、学校 — を、単数形と複数形それぞれで、製品の四言語ごとに個別に言い換えられます。値を消せば既定に戻ります。
一つの組織の中のオーディエンスグループ
テナントを分けずに体験を切り分けます。子ども向けには遊び心のあるプロファイル、企業の従業員向けには簡素なもの。それぞれがテーマの上書きを持ち、手動で、あるいはメールドメインやロールに基づくルールで割り当てられます。
SAML と OIDC のシングルサインオン
ロードマップやると決めてはいますが、まだ構築されていません。御社で認証済みの学習者を引き渡す用途は、今日ならパートナーサインオンが担います。ディレクトリ連携のログインが導入の前提条件になるのであれば、打ち合わせでそうお伝えください。現状を率直にお答えします。