> For the complete documentation index, see [llms.txt](https://help.aikido.dev/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://help.aikido.dev/docs/docs-ja/pentesuto/configure-a-pentest/setting-up-authenticated-testing.md).
# テストユーザーの設定
IDOR、権限昇格、ロジックバグを含む最も重大な脆弱性は、ログイン画面の向こう側にあります。それらを見つけるには、Aikido の Pentest エージェントにアクセス権が必要です。
複雑な Selenium スクリプトやプロキシ録画を必要とする従来ツールとは異なり、Aikido は LLM 駆動のアプローチを採用しています。人間の QA テスターに説明するのと同じように、自然言語でエージェントにログイン方法を伝えるだけです。
認証セットの設定方法は次のとおりです。
{% stepper %}
{% step %}
**テストユーザーを作成**
1. クリック **テストユーザーを追加**.
2. **名前：** このセットにわかりやすい名前を付けます（例： `管理者ユーザー`, `読み取り専用ユーザー`, `テナントA - マネージャー`).
{% hint style="info" %}
異なる権限レベル間の Broken Access Control (BAC) をテストするため、複数のペルソナを設定することを推奨します。
{% endhint %}
{% endstep %}
{% step %}
**ログイン手順を提供**
これは最も重要なステップです。〜の **認証手順** 欄には、ログインフローを手順ごとのテキストで記述してください。
AI エージェントはこれを解析して、あなたの特有の UI の癖を考慮しながら操作します。具体的に記述してください。
**記入例：**
> 移動先： `staging.app.com/login`
>
> 「ユーザー名でログイン」をクリック
>
> ユーザー名を入力： `pentest_admin`
>
> パスワードを入力： `super_secure_password_123`
>
> 「サインイン」ボタンをクリック
{% hint style="info" %}
AI エージェントは標準的な CAPTCHA を自動で解決できるようになっています。スキャンのためにこれらを無効にしたり、個別の指示を与えたりする必要はありません。
{% endhint %}
{% endstep %}
{% step %}
**設定をテスト**
最後に、エージェントがあなたの指示を解釈できることを確認してください：
1. クリック **保存してテスト**.
2. エージェントはブラウザーセッションを起動し、資格情報と受信箱の手順を使ってログインを試みます。
3. 成功すると、エージェントが認証され、ログイン後の状態に到達したことを示す確認が表示されます。
{% endstep %}
{% endstepper %}
### 高度なログインフロー
アプリケーションが単純なユーザー名とパスワード以上のものを必要とする場合は、専用ツールを使用してください：
* [**メール認証とマジックリンク：**](/docs/docs-ja/pentesuto/configure-a-pentest/setting-up-authenticated-testing/handling-email-verification-and-magic-links.md) メール内のリンクをクリックしたり、コードを受け取ったりする必要がある場合。
* [**二要素認証（TOTP）：**](/docs/docs-ja/pentesuto/configure-a-pentest/setting-up-authenticated-testing/handling-two-factor-authentication-totp.md) 認証アプリから6桁のコードを生成する必要がある場合。
* [**SMS認証：**](/docs/docs-ja/pentesuto/configure-a-pentest/setting-up-authenticated-testing/handling-sms-verification.md) SMS ベースの確認コードを扱う必要がある場合。
* [**エージェントが新規アカウントを作成：**](/docs/docs-ja/pentesuto/configure-a-pentest/setting-up-authenticated-testing/agent-creates-new-account.md) 自然言語の指示からエージェントに使い捨てのテストユーザーを生成させます。これは複数ロールのカバレッジに役立ちます。
ベンダー固有の認証フロー：
* [**Google 認証：**](/docs/docs-ja/pentesuto/configure-a-pentest/setting-up-authenticated-testing/google-auth.md) Google Workspace のログインフローのネイティブサポートがベータ版で利用できます。
* [**Microsoft 認証：**](/docs/docs-ja/pentesuto/configure-a-pentest/setting-up-authenticated-testing/microsoft-auth.md) 二段階認証付きの Microsoft アカウントをサポートしています。
* [**Auth0 の設定：**](/docs/docs-ja/pentesuto/configure-a-pentest/setting-up-authenticated-testing/oauth0-configuration.md) 複数エージェント間でのセッション共有をサポートするために必要な OAuth プロバイダー設定。
### OAuth と JWT アプリ
Aikido Pentest では、多数のエージェントが並列に動作し、テストユーザーごとに 1 つの認証済みセッションを共有します。同じリフレッシュトークンが各エージェントで再利用され、評価中ずっとそのセッションを維持します。
これを安定して動作させるには、アイデンティティプロバイダー（Auth0、Cognito、Azure AD / Entra ID、Keycloak、独自 OIDC など）が次のように設定されている必要があります：
* **リフレッシュトークンを再利用できること。** 単回使用のリフレッシュトークンと、交換時に以前のトークンを無効化するリフレッシュトークンのローテーションを無効にします。
* **リフレッシュトークンの有効期間が評価期間を超えていること。** 一般的なペンテストは数時間に及ぶことがあるため、有効期間をそれに合わせて設定してください（例：7200秒より長く）。
* **短寿命のアクセストークン（JWT）は問題ありません** 上記の条件下でリフレッシュが機能する限り。
{% hint style="warning" %}
**よくある失敗パターン：** 単回使用またはローテーションするリフレッシュトークンでは、最初のエージェントのリフレッシュでトークンが消費されます。ほかのエージェントは、すでに無効になったトークンで保存済みセッションを再読み込みし、〜で失敗します **403** リフレッシュ時に失敗し、アクセストークンが期限切れになるとそこで止まってしまいます。
症状としては、事前チェックは成功するものの、評価の途中でエージェント全体に認証失敗が大量に発生します。
{% endhint %}
Auth0 では、次の手順ごとの設定に従ってください： [**Auth0 の設定**](/docs/docs-ja/pentesuto/configure-a-pentest/setting-up-authenticated-testing/oauth0-configuration.md)。同じチェックリストは他の OIDC プロバイダーにも適用できます。
### ベストプラクティス
* **本番用認証情報は使用しない：** ペンテストは必ずステージングまたは QA 環境で実施してください。スキャナーはデータを破損させる可能性のある侵襲的なテストを行います。
* **専用テストアカウントを作成する：** 個人の開発者アカウントは使用しないでください。スキャナー専用のアカウントを作成してください（例： `aikido-scanner@yourdomain.com`).
* **すべてのテナントをカバーする：** アプリがマルチテナントの場合は、異なるテナントのユーザー用認証情報を追加してください（例： `ユーザー - テナントA`, `ユーザー - テナントB`）。これにより、AI がテナント間のデータ漏えいをテストできます。
### トラブルシューティング
認証は〜中に検証されます **事前チェック** 起動直後に。エージェントの画面をリアルタイムで確認して、成功するかどうかを見ることができます。
エージェントのログインに失敗した場合：
* **失敗内容を確認する：** エラーログ内のエージェントのスクリーンショットを確認して、どこで止まったのかを正確に把握してください。
* **サニティチェックの手順：** 提供した手順をシークレットウィンドウで手動でたどってください。手順を飛ばしたり、ボタンが不明瞭だったりすると、エージェントが苦労する可能性があります。
* **アクセシビリティを確認する：** URL は公開インターネットから到達可能ですか？（IP ホワイトリストを確認してください）。
* **アカウントの状態：** テストユーザーがロックアウトされていないことを確認してください。
---
# Agent Instructions
This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com.
## Querying This Documentation
If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question.
Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter:
```
GET https://help.aikido.dev/docs/docs-ja/pentesuto/configure-a-pentest/setting-up-authenticated-testing.md?ask=&goal=
```
`ask` is the immediate question: it should be specific, self-contained, and written in natural language.
`goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal.
The response will contain a direct answer to the question and relevant excerpts and sources from the documentation.
Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.