推奨アクセス設定

カスタムロール、Auth Groups、フォルダ権限を組み合わせ、ロールで「何ができるか」、グループで「どこでできるか」を定義します。

このページでは、複数のサイト、事業部、またはチームを持つワークスペースに推奨されるアクセスモデルを説明します。これは、別々に説明されている3つの機能を組み合わせたものです： ロールベースアクセス制御, プロジェクトフォルダー権限 および Auth Groups です。スクリーンショットは、この方法で設定されたサンプルワークスペースからのものです。

カスタムロール、Auth Groups、フォルダー権限、SSOグループマッピングはEnterprise機能です。 Roboflowの営業チーム またはアカウント担当者に連絡して有効化してください。

ロールは「何を」、グループは「どこを」

ロール名に場所を入れる（例：Engineer-PlantA、Engineer-PlantB）と、ロールが増え、複製は時間とともにずれていきます。問いを2つに分けましょう。

• ロールは、その人が何をできるかを定義します：アノテーション、学習、デプロイ、APIキーの管理、フォルダーの管理。ロールはワークスペース全体に適用されます。

• Auth Group は、それをどこで行えるかを定義します。グループにはフォルダーごとに読み取り専用または読み取り・書き込みが付与されます。メンバーシップは手動、またはSSOグループにマッピングされます。

Plant Aの生産エンジニアは、ロール: Eng-Prod とグループ: Plant A を持ちます。Plant Bから来てPlant Aのモデルをレビューする訪問者は、自分のロールを維持したまま、グループ付与によってPlant Aフォルダーに読み取り専用でアクセスします。場所ごとにロールは作成されません。

組み込みロールに加えて読み取り専用、Eng-Dev、Eng-Prod、Site Adminが並ぶ「Roles」タブ。

推奨ロール階層

アクセス権の少ない順から多い順までの5つのロール。

ロール	一般的な担当者	できること
新規ユーザー（デフォルト）	新規ログインのたび	割り当てられるまで何もできません。
読み取り専用	オペレーター、監査担当者、訪問者	プロジェクト、モデル、Vision Events、デバイス監視を表示します。アプリ内で推論を実行できます。アノテーション、学習、デプロイは不可。
Eng-Dev	開発エンジニア	データセットの作成、アノテーション、アップロード、学習、バージョン生成、ジョブ実行ができます。デプロイ、キー管理、フォルダー作成は不可。
Eng-Prod	本番エンジニア	Eng-Devに加え、デプロイ、モデルとワークフローの管理、デバイス管理、Vision Eventsの作成、バッチジョブの実行ができます。アクセス可能なフォルダー内では、APIキーのライフサイクル全体（作成、更新、失効）が可能です。
サイト管理者	サイトごとに1～2人	ワークスペース管理とメンバー管理以外はすべて可能。フォルダーを作成し、グループにフォルダーアクセスを付与し、キーを管理し、統計と監査ログを閲覧します。
Admin（組み込み）	中央IT、プログラムリーダー	ワークスペース全体のAPIキー、請求、SSO、カスタムロールを含むフルアクセス。

エンジニアはフォルダーを作成しません。フォルダー階層（例：Business Unit > Site > Environment）がガバナンス構造なので、フォルダー作成はSite AdminとAdminが担当します。ワークスペース全体のAPIキーを見られるのはAdminだけです。Site AdminとEng-Prodはフォルダーキーを扱い、最も機密性の高い認証情報を最小人数に限定できます。

Eng-Prod、「API keys」グループ：作成・更新・失効はオン、「API Keysの使用とコピー」はオン、「ワークスペースAPI Keysを表示」はオフ。

Site Admin、「Workspace Management」グループ： 「ワークスペース設定を表示」と「監査ログを表示」のみ。

ロールができることと、見える範囲

実効アクセス権は、ロールとフォルダー付与の交差点です。ロールが列を、付与が行を決めます。

その人のグループへのフォルダー付与	読み取り専用	Eng-Dev	Eng-Prod	サイト管理者	管理者
付与なし	フォルダーは非表示	フォルダーは非表示	フォルダーは非表示	フォルダーは非表示	完全アクセス（全フォルダーアクセス）
読み取り専用	プロジェクトとモデルを表示し、推論を実行	読み取り専用と同じ	表示に加え、フォルダーのAPIキーを管理（注参照）	表示に加え、フォルダーのAPIキーを管理（注参照）	フルアクセス
読み取り・書き込み	表示、推論の実行	アノテーション、アップロード、学習、バージョン管理	Eng-Devに加え、デプロイ、ワークフロー、デバイス、Vision Events、APIキー	Eng-Prodに加え、サブフォルダーを作成し、フォルダーをグループと共有	フルアクセス

フォルダーにアクセスできる場所では、キー操作はロールに従います。訪問者への読み取り専用付与は慎重に行い、グループ経由にして、1か所で削除できるようにしましょう。

各人はグリッドの1セルに入ります。行がロール、列が場所です。

ロール	Plant Aフォルダー	Plant Bフォルダー	すべてのフォルダー
読み取り専用	ラインオペレーター	訪問監査担当者
Eng-Dev	開発エンジニア
Eng-Prod	本番エンジニア	（読み取り専用での訪問）
サイト管理者	Plant A責任者	Plant B責任者
管理者			中央IT

異動はその人のグループを変更し、昇進はロールを変更します。

設定する

ロールを作成する

Settingsの「Team Members」「Roles」に移動し、「New Role」をクリックします。上の階層にある各ロールを作成してください。「Duplicate Permissions From」で最も近い組み込みロールから始めて調整します。エディター内の権限グループ（例：「Workspace Management」「User & Team Management」「API keys」）は、表のカテゴリと一致します。参照： カスタムロールの作成 エディター自体について。

サイトごとに1つのAuth Groupを作成する

Settingsの「Team Members」「Auth Groups」に移動し、「Create Auth Group」をクリックします。グループ名は場所名（例：Plant A、Plant B）にし、職務名にしてはいけません。サイトのDevフォルダーとProdフォルダーに異なるメンバーがいる場合は、サイトと環境ごとに1グループ作成します。メンバーは手動で追加するか、SSOグループ名をマッピングして、所属がIDプロバイダーに連動するようにします（参照： SSOで自動化する).

2つのサイトグループと、手動で割り当てられたメンバーが表示された「Auth Groups」タブ。

各サイトフォルダーを対応するグループと共有する

フォルダーカードでメニューを開き、「Set Permissions」を選択します。サイトのグループには読み取り・書き込みを、訪問グループには読み取り専用を付与します。グループが担当するようになったら個別の付与は廃止します。すると、異動や退職があっても1回のグループ編集で済みます。参照： プロジェクトフォルダー権限 アクセスレベルについて。

サイトフォルダーの「Share Folder」：個人への付与の横に、読み取り・書き込みを付与されたグループが表示されています。グループが目標状態です。

メンバーにロールを割り当てる

Settingsの「Team Members」「Members」に移動し、各メンバーのロールを設定します。ロールとグループは独立しているため、別のサイトを訪問するために第2のロールは不要です。参照： チームメンバーのロールを変更する.

このモデルでのAPIキー

フォルダーキーはサイト業務向けです。ワークスペース全体のキーはAdmin専用です。フォルダーキーは、そのフォルダーにアクセスできる人なら誰でも見られます。Site AdminとEng-Prodはフォルダーカードのメニューからキーを管理し、Settingsに「API Keys」ページはありません。

フォルダーごとに複数のキーを作成します。生産ライン、デバイス群、連携ごとに1つです。各キーは使用状況レポートで個別の行として表示されるため、支出をフォルダー内で按分できます（参照： 請求フォルダー）、ローテーション時には2つの稼働中キーを重ねて使えます。

各キーには作成から365日後のローテーション日が表示され、その日を過ぎるとOverdueバッジが付きます。新しいキーを生成して利用者をそちらに移し、古いキーを失効させることでローテーションします。厳格な切り替えが許容できる場合は、「Roll」でその場でローテーションします。管理APIは同じ日付を rotationDueAt.

フォルダーカードのメニュー："API Keys" は "Folder Usage" と "Set Permissions" の隣にあります。

1つのフォルダーの「API Keys」：利用者名にちなんだキー名、メタデータ内の所有者、各キーのローテーション日、そして「Generate New Key」。

キー一覧のローテーションバッジと、一覧を絞り込むための「Show only keys due for rotation」。

Eng-ProdメンバーとしてのSettings：表示されるのは「Usage」「Team Members」「Trash」のみ。キーはフォルダー側にあります。

SSOで自動化する

IDプロバイダーがグループクレームを送る場合、各ロールに1つ、各サイトのAuth Groupに1つSSOグループを割り当てます。参照： シングルサインオン IDプロバイダー側について。

• ロール：ロールエディターで「SSO Auth Groups (auto-assign)」を開き、IDプロバイダーのグループ名を追加します。そのグループを持つユーザーは次回ログインまたはワークスペース読み込み時にそのロールが付与されます。

• Auth Groups：グループで「Edit」をクリックし、「SSO Group Mappings」にIDプロバイダーのグループ名を追加します。一致するメンバーはサインイン時に割り当てられ、メンバー一覧にSSOバッジが表示されます。

新入社員は、ITが適切なグループに追加するまでデフォルトロールのままです。ロールとフォルダーアクセスは次回ログイン時に反映されます。マッピングは一度に1ロールずつ有効化してください。未マッピングのものについては、手動割り当てが引き続き機能します。

「SSO Auth Groups (auto-assign)」フィールドがある「Edit Role」。

「SSO Group Mappings」フィールドがある「Edit Auth Group」。