> For the complete documentation index, see [llms.txt](https://docs.roboflow.com/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://docs.roboflow.com/get-started/ja/purattofmu/enterprise-features/recommended-enterprise-access-setup.md). # 推奨アクセス設定カスタムロール、Auth Groups、フォルダ権限を組み合わせ、ロールで「何ができるか」、グループで「どこでできるか」を定義します。このページでは、複数のサイト、事業部、またはチームを持つワークスペースに推奨されるアクセスモデルを説明します。これは、別々に説明されている3つの機能を組み合わせたものです： [ロールベースアクセス制御](/get-started/ja/purattofmu/enterprise-features/role-based-access-control.md), [プロジェクトフォルダー権限](https://docs.roboflow.com/datasets/manage/project-folders/project-folder-permissions) および Auth Groups です。スクリーンショットは、この方法で設定されたサンプルワークスペースからのものです。 {% hint style="info" %} カスタムロール、Auth Groups、フォルダー権限、SSOグループマッピングはEnterprise機能です。 [Roboflowの営業チーム](https://roboflow.com/sales) またはアカウント担当者に連絡して有効化してください。 {% endhint %} ## ロールは「何を」、グループは「どこを」ロール名に場所を入れる（例：Engineer-PlantA、Engineer-PlantB）と、ロールが増え、複製は時間とともにずれていきます。問いを2つに分けましょう。 * ロールは、その人が何をできるかを定義します：アノテーション、学習、デプロイ、APIキーの管理、フォルダーの管理。ロールはワークスペース全体に適用されます。 * Auth Group は、それをどこで行えるかを定義します。グループにはフォルダーごとに読み取り専用または読み取り・書き込みが付与されます。メンバーシップは手動、またはSSOグループにマッピングされます。 Plant Aの生産エンジニアは、ロール: Eng-Prod とグループ: Plant A を持ちます。Plant Bから来てPlant Aのモデルをレビューする訪問者は、自分のロールを維持したまま、グループ付与によってPlant Aフォルダーに読み取り専用でアクセスします。場所ごとにロールは作成されません。

Roles tab listing Admin, Labeler, Reviewer, Eng-Dev, Eng-Prod, Read Only and Site Admin — 組み込みロールに加えて読み取り専用、Eng-Dev、Eng-Prod、Site Adminが並ぶ「Roles」タブ。

## 推奨ロール階層アクセス権の少ない順から多い順までの5つのロール。 | ロール | 一般的な担当者 | できること | | ------------- | ---------------- | -------------------------------------------------------------------------------------------------------------------- | | 新規ユーザー（デフォルト） | 新規ログインのたび | 割り当てられるまで何もできません。 | | 読み取り専用 | オペレーター、監査担当者、訪問者 | プロジェクト、モデル、Vision Events、デバイス監視を表示します。アプリ内で推論を実行できます。アノテーション、学習、デプロイは不可。 | | Eng-Dev | 開発エンジニア | データセットの作成、アノテーション、アップロード、学習、バージョン生成、ジョブ実行ができます。デプロイ、キー管理、フォルダー作成は不可。 | | Eng-Prod | 本番エンジニア | Eng-Devに加え、デプロイ、モデルとワークフローの管理、デバイス管理、Vision Eventsの作成、バッチジョブの実行ができます。アクセス可能なフォルダー内では、APIキーのライフサイクル全体（作成、更新、失効）が可能です。 | | サイト管理者 | サイトごとに1～2人 | ワークスペース管理とメンバー管理以外はすべて可能。フォルダーを作成し、グループにフォルダーアクセスを付与し、キーを管理し、統計と監査ログを閲覧します。 | | Admin（組み込み） | 中央IT、プログラムリーダー | ワークスペース全体のAPIキー、請求、SSO、カスタムロールを含むフルアクセス。 | エンジニアはフォルダーを作成しません。フォルダー階層（例：Business Unit > Site > Environment）がガバナンス構造なので、フォルダー作成はSite AdminとAdminが担当します。ワークスペース全体のAPIキーを見られるのはAdminだけです。Site AdminとEng-Prodはフォルダーキーを扱い、最も機密性の高い認証情報を最小人数に限定できます。

Edit Role dialog for Eng-Prod showing the API keys permission group — Eng-Prod、「API keys」グループ：作成・更新・失効はオン、「API Keysの使用とコピー」はオン、「ワークスペースAPI Keysを表示」はオフ。

Edit Role dialog for Site Admin showing the Workspace Management permission group — Site Admin、「Workspace Management」グループ：「ワークスペース設定を表示」と「監査ログを表示」のみ。

## ロールができることと、見える範囲実効アクセス権は、ロールとフォルダー付与の交差点です。ロールが列を、付与が行を決めます。 | その人のグループへのフォルダー付与 | 読み取り専用 | Eng-Dev | Eng-Prod | サイト管理者 | 管理者 | | ----------------- | -------------------- | ------------------------- | ----------------------------------------------- | ------------------------------------- | ------------------ | | 付与なし | フォルダーは非表示 | フォルダーは非表示 | フォルダーは非表示 | フォルダーは非表示 | 完全アクセス（全フォルダーアクセス） | | 読み取り専用 | プロジェクトとモデルを表示し、推論を実行 | 読み取り専用と同じ | 表示に加え、フォルダーのAPIキーを管理（注参照） | 表示に加え、フォルダーのAPIキーを管理（注参照） | フルアクセス | | 読み取り・書き込み | 表示、推論の実行 | アノテーション、アップロード、学習、バージョン管理 | Eng-Devに加え、デプロイ、ワークフロー、デバイス、Vision Events、APIキー | Eng-Prodに加え、サブフォルダーを作成し、フォルダーをグループと共有 | フルアクセス | フォルダーにアクセスできる場所では、キー操作はロールに従います。訪問者への読み取り専用付与は慎重に行い、グループ経由にして、1か所で削除できるようにしましょう。各人はグリッドの1セルに入ります。行がロール、列が場所です。 | **ロール** | **Plant Aフォルダー** | **Plant Bフォルダー** | **すべてのフォルダー** | | ------------ | ---------------- | ---------------- | ------------- | | **読み取り専用** | ラインオペレーター | 訪問監査担当者 | | | **Eng-Dev** | 開発エンジニア | | | | **Eng-Prod** | 本番エンジニア | （読み取り専用での訪問） | | | **サイト管理者** | Plant A責任者 | Plant B責任者 | | | **管理者** | | | 中央IT | 異動はその人のグループを変更し、昇進はロールを変更します。 ## 設定する ### ロールを作成する Settingsの「Team Members」「Roles」に移動し、「New Role」をクリックします。上の階層にある各ロールを作成してください。「Duplicate Permissions From」で最も近い組み込みロールから始めて調整します。エディター内の権限グループ（例：「Workspace Management」「User & Team Management」「API keys」）は、表のカテゴリと一致します。参照： [カスタムロールの作成](/get-started/ja/purattofmu/enterprise-features/role-based-access-control.md#creating-a-custom-role) エディター自体について。 ### サイトごとに1つのAuth Groupを作成する Settingsの「Team Members」「Auth Groups」に移動し、「Create Auth Group」をクリックします。グループ名は場所名（例：Plant A、Plant B）にし、職務名にしてはいけません。サイトのDevフォルダーとProdフォルダーに異なるメンバーがいる場合は、サイトと環境ごとに1グループ作成します。メンバーは手動で追加するか、SSOグループ名をマッピングして、所属がIDプロバイダーに連動するようにします（参照： [SSOで自動化する](#automating-it-with-sso)).

Auth Groups tab with two groups and their members — 2つのサイトグループと、手動で割り当てられたメンバーが表示された「Auth Groups」タブ。

### 各サイトフォルダーを対応するグループと共有するフォルダーカードでメニューを開き、「Set Permissions」を選択します。サイトのグループには読み取り・書き込みを、訪問グループには読み取り専用を付与します。グループが担当するようになったら個別の付与は廃止します。すると、異動や退職があっても1回のグループ編集で済みます。参照： [プロジェクトフォルダー権限](https://docs.roboflow.com/datasets/manage/project-folders/project-folder-permissions) アクセスレベルについて。

Share Folder dialog with a group granted Read & Write — サイトフォルダーの「Share Folder」：個人への付与の横に、読み取り・書き込みを付与されたグループが表示されています。グループが目標状態です。

### メンバーにロールを割り当てる Settingsの「Team Members」「Members」に移動し、各メンバーのロールを設定します。ロールとグループは独立しているため、別のサイトを訪問するために第2のロールは不要です。参照： [チームメンバーのロールを変更する](/get-started/ja/purattofmu/workspaces/team-members/change-a-team-member-role.md). ## このモデルでのAPIキーフォルダーキーはサイト業務向けです。ワークスペース全体のキーはAdmin専用です。フォルダーキーは、そのフォルダーにアクセスできる人なら誰でも見られます。Site AdminとEng-Prodはフォルダーカードのメニューからキーを管理し、Settingsに「API Keys」ページはありません。フォルダーごとに複数のキーを作成します。生産ライン、デバイス群、連携ごとに1つです。各キーは使用状況レポートで個別の行として表示されるため、支出をフォルダー内で按分できます（参照： [請求フォルダー](/get-started/ja/purattofmu/billing-and-plans/billing-folders.md#folder-api-keys)）、ローテーション時には2つの稼働中キーを重ねて使えます。各キーには作成から365日後のローテーション日が表示され、その日を過ぎるとOverdueバッジが付きます。新しいキーを生成して利用者をそちらに移し、古いキーを失効させることでローテーションします。厳格な切り替えが許容できる場合は、「Roll」でその場でローテーションします。管理APIは同じ日付を `rotationDueAt`.

Folder card menu with the API Keys entry — フォルダーカードのメニュー："API Keys" は "Folder Usage" と "Set Permissions" の隣にあります。

API Keys dialog for one folder with three keys — 1つのフォルダーの「API Keys」：利用者名にちなんだキー名、メタデータ内の所有者、各キーのローテーション日、そして「Generate New Key」。

Key table with overdue and upcoming rotation badges — キー一覧のローテーションバッジと、一覧を絞り込むための「Show only keys due for rotation」。

Settings sidebar as an Eng-Prod member with no API Keys entry — Eng-ProdメンバーとしてのSettings：表示されるのは「Usage」「Team Members」「Trash」のみ。キーはフォルダー側にあります。

## SSOで自動化する IDプロバイダーがグループクレームを送る場合、各ロールに1つ、各サイトのAuth Groupに1つSSOグループを割り当てます。参照： [シングルサインオン](/get-started/ja/purattofmu/enterprise-features/single-sign-on-sso.md#custom-role-mapping-via-sso-groups) IDプロバイダー側について。 * ロール：ロールエディターで「SSO Auth Groups (auto-assign)」を開き、IDプロバイダーのグループ名を追加します。そのグループを持つユーザーは次回ログインまたはワークスペース読み込み時にそのロールが付与されます。 * Auth Groups：グループで「Edit」をクリックし、「SSO Group Mappings」にIDプロバイダーのグループ名を追加します。一致するメンバーはサインイン時に割り当てられ、メンバー一覧にSSOバッジが表示されます。新入社員は、ITが適切なグループに追加するまでデフォルトロールのままです。ロールとフォルダーアクセスは次回ログイン時に反映されます。マッピングは一度に1ロールずつ有効化してください。未マッピングのものについては、手動割り当てが引き続き機能します。

Edit Role dialog with the SSO Auth Groups field — 「SSO Auth Groups (auto-assign)」フィールドがある「Edit Role」。

Edit Auth Group dialog with the SSO Group Mappings field — 「SSO Group Mappings」フィールドがある「Edit Auth Group」。