> For the complete documentation index, see [llms.txt](https://docs.roboflow.com/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://docs.roboflow.com/get-started/ja/purattofmu/enterprise-features/recommended-enterprise-access-setup.md).

# 推奨アクセス設定

カスタムロール、Auth Groups、フォルダ権限を組み合わせ、ロールで「何ができるか」、グループで「どこでできるか」を定義します。

このページでは、複数のサイト、事業部、またはチームを持つワークスペースに推奨されるアクセスモデルを説明します。これは、個別に文書化されている3つの機能を組み合わせたものです。 [ロールベースアクセス制御](/get-started/ja/purattofmu/enterprise-features/role-based-access-control.md), [プロジェクトフォルダ権限](https://docs.roboflow.com/datasets/manage/project-folders/project-folder-permissions) および認証グループです。スクリーンショットは、この方法で構成されたサンプルワークスペースからのものです。

{% hint style="info" %}
カスタムロール、認証グループ、フォルダ権限、SSOグループマッピングは Enterprise 機能です。以下にお問い合わせください。 [Roboflow の営業チーム](https://roboflow.com/sales) またはアカウント担当者に、これらを有効化するようご連絡ください。
{% endhint %}

## ロールは「何を」、グループは「どこで」を決める

ロール名に場所を入れる（例: Engineer-PlantA、Engineer-PlantB）と、ロールが増殖し、複製したものが時間とともにずれていきます。質問を2つに分けましょう。

* ロールは、ある人が何をできるかを定義します。たとえば、注釈、学習、デプロイ、APIキー管理、フォルダ管理です。ロールはワークスペース全体に適用されます。
* 認証グループは、どこでそれを行えるかを定義します。グループにはフォルダに対して読み取り専用、または読み取り・書き込みが付与されます。所属は手動、または SSO グループからマッピングされます。

Plant A の生産エンジニアは、ロール: Eng-Prod に加えて グループ: Plant A です。Plant A のモデルをレビューする Plant B からの訪問者は、自分のロールを維持したまま、グループ付与により Plant A フォルダに対して読み取り専用を取得します。場所のためのロールは作成しません。

<figure><img src="https://2537277549-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2F1YMZNIiZMBdlCHUDeZMP%2Fuploads%2Fgit-blob-2799beba3ed7cc9da2d8e9fd31258148c518aef5%2Faccess-setup-roles-tab.png?alt=media" alt="Roles tab listing Admin, Labeler, Reviewer, Eng-Dev, Eng-Prod, Read Only and Site Admin"><figcaption><p>組み込みロールに加え、読み取り専用、Eng-Dev、Eng-Prod、Site Admin がある「ロール」タブ。</p></figcaption></figure>

## 推奨ロール階層

最小権限から最大権限までの5つのロール。

| ロール           | 主な担当者            | できること                                                                                                                    |
| ------------- | ---------------- | ------------------------------------------------------------------------------------------------------------------------ |
| 新規ユーザー（デフォルト） | すべての新規ログイン       | 割り当てられるまで何もできません。                                                                                                        |
| 読み取り専用        | オペレーター、監査担当者、訪問者 | プロジェクト、モデル、Vision Events、デバイス監視を閲覧できます。アプリ内で推論を実行できます。注釈、学習、デプロイはできません。                                                  |
| Eng-Dev       | 開発エンジニア          | データセットの作成、注釈、アップロード、学習、バージョン生成、ジョブ実行ができます。デプロイ、キー管理、フォルダ作成はできません。                                                        |
| Eng-Prod      | 生産エンジニア          | Eng-Dev に加え、フォルダ内でデプロイ、モデルとワークフローの管理、デバイス管理、Vision Events の作成、バッチジョブの実行ができます。到達できるフォルダでは、APIキーのフルライフサイクル（作成、更新、失効）が可能です。 |
| Site Admin    | 各サイトにつき1〜2人      | ワークスペース管理とメンバー管理以外はすべて可能です。フォルダを作成し、フォルダアクセスをグループに付与し、キーを管理し、統計と監査ログを読み取ります。                                             |
| 管理者（組み込み）     | 中央IT、プログラムリード    | ワークスペース全体の API キー、請求、SSO、カスタムロールを含むフルアクセス。                                                                               |

エンジニアはフォルダを作成しません。フォルダツリー（例: 事業部 > サイト > 環境）はガバナンス構造なので、フォルダ作成は Site Admin と Admin が担当します。ワークスペース全体の API キーを見られるのは Admin のみです。Site Admin と Eng-Prod はフォルダキーを扱います。これにより、最も機密性の高い資格情報を最少人数に限定できます。

<figure><img src="https://2537277549-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2F1YMZNIiZMBdlCHUDeZMP%2Fuploads%2Fgit-blob-24a5d4eba394c5c4d12c53d2002b128330233f53%2Faccess-setup-eng-prod-api-keys.png?alt=media" alt="Edit Role dialog for Eng-Prod showing the API keys permission group"><figcaption><p>Eng-Prod、「API キー」グループ: 作成、更新、失効をオン、「API キーの使用とコピー」をオン、「ワークスペース API キーの表示」をオフ。</p></figcaption></figure>

<figure><img src="https://2537277549-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2F1YMZNIiZMBdlCHUDeZMP%2Fuploads%2Fgit-blob-383b61909b22e0fdef503eea9c301d980c230f00%2Faccess-setup-site-admin-workspace.png?alt=media" alt="Edit Role dialog for Site Admin showing the Workspace Management permission group"><figcaption><p>Site Admin、「ワークスペース管理」グループ: 「ワークスペース設定の表示」と「監査ログの表示」のみ。</p></figcaption></figure>

## ロールができることと、見られる場所

ある人の実効アクセスは、ロールとフォルダ付与の交差点で決まります。ロールが列を、付与が行を決めます。

| その人のグループに対するフォルダ付与 | 読み取り専用               | Eng-Dev              | Eng-Prod                                          | Site Admin                           | 管理者               |
| ------------------ | -------------------- | -------------------- | ------------------------------------------------- | ------------------------------------ | ----------------- |
| 付与なし               | フォルダ非表示              | フォルダ非表示              | フォルダ非表示                                           | フォルダ非表示                              | フルアクセス（全フォルダアクセス） |
| 読み取り専用             | プロジェクトとモデルを閲覧し、推論を実行 | 読み取り専用と同じ            | 閲覧に加え、そのフォルダの API キーを管理できます（注記を参照）                | 閲覧に加え、そのフォルダの API キーを管理できます（注記を参照）   | フルアクセス            |
| 読み取り・書き込み          | 閲覧、推論実行              | 注釈、アップロード、学習、バージョン作成 | Eng-Dev に加え、デプロイ、ワークフロー、デバイス、Vision Events、API キー | Eng-Prod に加え、サブフォルダの作成と、グループへのフォルダ共有 | フルアクセス            |

キー操作は、フォルダにアクセスできる場所ならどこでも、そのロールに従います。訪問者への読み取り専用付与は最小限にし、グループ経由にすると1か所で削除できます。

各人はグリッドの1セルに入ります。行がロール、列が場所です。

| **ロール**        | **Plant A フォルダ** | **Plant B フォルダ** | **すべてのフォルダ** |
| -------------- | ---------------- | ---------------- | ------------ |
| **読み取り専用**     | ラインオペレーター        | 訪問監査担当者          |              |
| **Eng-Dev**    | 開発エンジニア          |                  |              |
| **Eng-Prod**   | 生産エンジニア          | （読み取り専用の訪問）      |              |
| **Site Admin** | Plant A リード      | Plant B リード      |              |
| **管理者**        |                  |                  | 中央IT         |

異動では、その人のグループが変わります。昇進では、その人のロールが変わります。

## 設定方法

### ロールを作成する

設定の「チームメンバー」、「ロール」に移動し、「新しいロール」をクリックします。上記の階層に沿って各ロールを作成します。最も近い組み込みロールを「権限を複製」から開始し、調整します。エディタ内の権限グループ（例: 「ワークスペース管理」、「ユーザーとチームの管理」、「API キー」）は、表のカテゴリと一致します。エディタ自体については [カスタムロールの作成](/get-started/ja/purattofmu/enterprise-features/role-based-access-control.md#creating-a-custom-role) を参照してください。

### サイトごとに1つの認証グループを作成する

設定の「チームメンバー」、「認証グループ」に移動し、「認証グループを作成」をクリックします。グループ名は場所にちなんで付け（例: Plant A、Plant B）、職務名では付けません。あるサイトの Dev と Prod フォルダに異なるメンバーがいる場合は、サイトと環境ごとに1つのグループを作成します。メンバーは手動で追加するか、SSO グループ名をマッピングして、所属がアイデンティティプロバイダに追従するようにします（詳細は [SSO で自動化する](#automating-it-with-sso)).

<figure><img src="https://2537277549-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2F1YMZNIiZMBdlCHUDeZMP%2Fuploads%2Fgit-blob-a948840be88b30f9fb266446f4ee8bc7ef3a1621%2Faccess-setup-auth-groups.png?alt=media" alt="Auth Groups tab with two groups and their members"><figcaption><p>2つのサイトグループと、手動で割り当てられたメンバーが表示された「認証グループ」タブ。</p></figcaption></figure>

### 各サイトフォルダをそのグループと共有する

フォルダカードでメニューを開き、「権限を設定」を選択します。サイトのグループには読み取り・書き込みを付与し、訪問グループには読み取り専用を付与します。グループに移行するにつれて、個別の付与は廃止します。そうすると、異動や退職は1回のグループ編集で済みます。アクセスレベルについては [プロジェクトフォルダ権限](https://docs.roboflow.com/datasets/manage/project-folders/project-folder-permissions) を参照してください。

<figure><img src="https://2537277549-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2F1YMZNIiZMBdlCHUDeZMP%2Fuploads%2Fgit-blob-e4bf8f0a374d3694bb076e31482700624df98924%2Faccess-setup-share-folder.png?alt=media" alt="Share Folder dialog with a group granted Read &#x26; Write"><figcaption><p>サイトフォルダの「フォルダを共有」: 個別付与の横に、読み取り・書き込みを付与されたグループがある状態。グループ運用が目標状態です。</p></figcaption></figure>

### メンバーにロールを割り当てる

設定の「チームメンバー」、「メンバー」に移動し、各メンバーのロールを設定します。ロールとグループは独立しているため、他のサイトを訪問するために2つ目のロールは必要ありません。詳細は [チームメンバーのロールを変更する](/get-started/ja/purattofmu/workspaces/team-members/change-a-team-member-role.md).

## このモデルにおける API キー

フォルダキーはサイト単位の作業を担います。ワークスペース全体のキーは Admin 専用です。フォルダキーは、そのフォルダにアクセスできる人なら誰でも見られます。Site Admin と Eng-Prod はフォルダカードのメニューからキーを管理し、設定内に「API キー」ページはありません。

フォルダごとに複数のキーを作成します。生産ライン、デバイス群、または連携ごとに1つです。各キーは使用状況レポートで独立した1行として扱われるため、フォルダ内で支出を割り当てられます（詳細は [請求フォルダ](/get-started/ja/purattofmu/billing-and-plans/billing-folders.md#folder-api-keys)）、また稼働中のキーを2つ持てるため、ローテーション時に重複期間を設けられます。

キーを作成または編集する際に、各キーに「ローテーション期限日」と「所有者」を設定します（「1年後を提案」を使うと1年後の日付が入力されます）。所有者には、その日付の15日前に1回だけリマインドメールが送信されます。「所有者」を空欄にすると、そのキーをロールできる全員に送られます。期限日を過ぎてもキーは引き続き動作します。日付のないキーには「ローテーション日なし」バッジが表示され、リマインドは送信されません。ローテーションするには、新しいキーを生成し、利用者をそちらに移し、古いキーを失効させます。大きな切り替えが許容される場合は、「ロール」でその場でローテーションします。所有者は維持され、日付は同じ間隔だけ先送りされ、最大1年まで延長されます。管理 API は日付を `rotationDueAt` として、所有者を `owners`.

<figure><img src="https://2537277549-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2F1YMZNIiZMBdlCHUDeZMP%2Fuploads%2Fgit-blob-05f30f98398bccc8f66b44a80f1dc483b8894e77%2Faccess-setup-folder-menu.png?alt=media" alt="Folder card menu with the API Keys entry"><figcaption><p>フォルダカードのメニュー: 「API キー」は「フォルダ使用状況」と「権限を設定」の横にあります。</p></figcaption></figure>

<figure><img src="https://2537277549-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2F1YMZNIiZMBdlCHUDeZMP%2Fuploads%2Fgit-blob-ca19dda24a8a12a0ab4111d9a28cf55bbd9fcbd9%2Faccess-setup-folder-api-keys.png?alt=media" alt="API Keys dialog for one folder with three keys"><figcaption><p>1つのフォルダの「API キー」: 利用者名を付けたキー、メタデータ内の所有者、各キーのローテーション日、そして「新しいキーを生成」。</p></figcaption></figure>

<figure><img src="https://2537277549-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2F1YMZNIiZMBdlCHUDeZMP%2Fuploads%2Fgit-blob-0a2f685ee5573972e6fe60cf6b01bff777e1190c%2Faccess-setup-rotation-badges.png?alt=media" alt="Key table with overdue and upcoming rotation badges"><figcaption><p>キー表のローテーションバッジ。リストを絞り込むには「ローテーション期限のキーのみ表示」を使います。</p></figcaption></figure>

<figure><img src="https://2537277549-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2F1YMZNIiZMBdlCHUDeZMP%2Fuploads%2Fgit-blob-1fc590337581497f9f2b501063453d25fc96e875%2Faccess-setup-eng-prod-settings.png?alt=media" alt="Settings sidebar as an Eng-Prod member with no API Keys entry"><figcaption><p>Eng-Prod メンバーとしての設定: 「使用状況」「チームメンバー」「ゴミ箱」のみ。キーはフォルダ側にあります。</p></figcaption></figure>

## SSO で自動化する

アイデンティティプロバイダがグループクレームを送る場合は、各ロールに1つ、各サイトの認証グループに1つ SSO グループを対応付けます。詳細は [シングルサインオン](/get-started/ja/purattofmu/enterprise-features/single-sign-on-sso.md#custom-role-mapping-via-sso-groups) を参照して、アイデンティティプロバイダ側を設定してください。

* ロール: ロールエディタで「SSO Auth Groups (auto-assign)」を開き、アイデンティティプロバイダのグループ名を追加します。そのグループを持つユーザーには、次回ログインまたはワークスペース読み込み時にロールが割り当てられます。
* 認証グループ: グループで「編集」をクリックし、「SSO Group Mappings」にアイデンティティプロバイダのグループ名を追加します。一致するメンバーはサインイン時に割り当てられ、メンバー一覧に SSO バッジが表示されます。

新入社員は、IT が適切なグループに追加するまでデフォルトのロールに入ります。ロールとフォルダへのアクセスは次回ログイン時に表示されます。マッピングは1つずつ有効化してください。未マッピングのものは、手動割り当てのまま引き続き使えます。

<figure><img src="https://2537277549-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2F1YMZNIiZMBdlCHUDeZMP%2Fuploads%2Fgit-blob-35d15ebb844827381e12c1cae668469435666891%2Faccess-setup-role-sso.png?alt=media" alt="Edit Role dialog with the SSO Auth Groups field"><figcaption><p>「ロールを編集」の「SSO Auth Groups (auto-assign)」フィールド。</p></figcaption></figure>

<figure><img src="https://2537277549-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2F1YMZNIiZMBdlCHUDeZMP%2Fuploads%2Fgit-blob-c400477b17ae13a4466a9330e221dc18b40927ed%2Faccess-setup-auth-group-sso.png?alt=media" alt="Edit Auth Group dialog with the SSO Group Mappings field"><figcaption><p>「認証グループを編集」の「SSO Group Mappings」フィールド。</p></figcaption></figure>