アクセス権を管理する

このセクションでは、Automation Cloud のユーザー向けに、IXP サービスでのアクセス権の管理方法について説明します。

ロールとその基になる権限

このセクションでは、UiPath® IXP サービスのさまざまなロールと、それらのロールによって付与される、基になる権限の概要を説明します。

[管理] ページの [アクセス権を管理] タブで、ロールを特定のユーザーに割り当てることができます。各ロールには一連の定義済み権限が設定されているため、個々の権限を割り当てることはできません。代わりに、関連する権限をすべて含むメインのロールを割り当てる必要があります。

注: すべてのユーザーがプロジェクトおよびテナント内の他のユーザーを表示できますが、ユーザーを編集できるのは管理者のみです。

以下の表に、すべてのロールと権限のリスト、および各ロールの説明を示します。

ロール	権限	役割の説明
IXP サービス管理者	監査ログ - 読み取り テナント - 管理	IXP サービスに対する完全な権限を付与します。
IXP プロジェクト管理者	アラート - 書き込み アプライアンス構成 - 書き込み バケット - 追加 バケット - 書き込み コメント - 管理 データセット - エクスポート データセット - 管理 連携 - 書き込み ソース - 管理 ストリーム - 使用 ストリーム - 管理	ユーザー、連携、ソース、データセット、モデル、ストリーム、アラートなど、プロジェクト内のすべてを管理できます。プロジェクトを作成または削除することはできません。
IXP モデル トレーナー	アラート - 読み取り データセット - 確認 データセット - 書き込み 連携 - 読み取り ソース - 機密データの読み取り ストリーム - 読み取り	プロジェクト内のすべてを表示できます。また、データの確認とラベル付け、データセット設定の更新、モデル バージョンのピン留めを行うこともできます。 データセットを作成または削除することはできません。
IXP 開発者	アラート - 読み取り アプライアンス構成 - 書き込み バケット - 追加 バケット - 読み取り コメント - 管理 データセット - エクスポート 連携 - 書き込み モデル - 管理 ソース - 管理 ストリーム - 使用 ストリーム - 管理	プロジェクト内のすべての表示、データのアップロードやエクスポート、連携の設定、モデル バージョンのピン留め、ストリームの管理、ストリームからの予測の使用が可能です。 データの確認やラベル付けはできません。また、データセットやアラートを作成、更新、削除することもできません。
IXP ビューアー	アラート - 読み取り データセット - 読み取り 連携 - 読み取り ソース - 読み取り ストリーム - 読み取り	プロジェクト内のすべてを表示できます。 何も作成、更新、削除できません。
IXP アナリスト	アラート - 書き込み ダッシュボード - 書き込み データセット - 読み取り 連携 - 読み取り ソース - 読み取り ストリーム - 読み取り	プロジェクト内のすべてを表示でき、ダッシュボードとアラートを作成、更新、削除できます。 データをインポート、エクスポートしたり、確認してラベル付けしたりすることはできません。また、ストリームの変更や使用、連携の設定もできません。

手記： 権限はプロジェクト レベルで付与されるため、プロジェクトごとに異なる権限が必要になる場合があります。

権限の種類

特定のアクションまたはリソースに対してユーザーに付与されるアクセス レベルを定義します。

権限の種類	説明
ソースの権限	会社がアップロードした分析対象のデータを参照します。
データセットの権限	データセットへのアクセス権を付与する (つまり、ラベルの名前付きコレクション)、一般フィールド、トレーニング データなどが含まれます。
ストリームの権限	ストリームへのアクセス権を付与すると、新しく取り込まれたデータを操作できるようになります。
ユーザー権限 (非推奨)	プロジェクトのユーザーを表示および/または変更できます。
バケットの権限	バケットへのアクセスを許可します。バケットは、アップロードできる生のデータ項目のコンテナーです。
連携権限	連携へのアクセス権を付与すると、他のサービスをプラットフォームに接続できます。
ユーティリティのアクセス許可	他のカテゴリに属さない権限をすべて含めます。

注:

バケット、連携、およびユーティリティの権限は、通常、開発エンジニアなど、プログラミングを担当するユーザーにのみ付与されます。また、プラットフォームの日常的な使用には必要ありません。

権限

注: [ユーザーの変更]、[ユーザーの表示]、および [ファイルのアップロード] の権限は、利用可能なロール以外ではスタンドアロンの権限として必要なくなったため、非推奨になりました。

[管理] ページの [アクセス権を管理] タブで、ロールを特定のユーザーに割り当てることができます。各ロールには一連の定義済み権限が設定されているため、個々の権限を割り当てることはできません。代わりに、関連する権限をすべて含むメインのロールを割り当てる必要があります。

権限の種類	アクセス許可	権限の説明
サービス (非プロジェクトのみ)	テナント - 管理	テナントで、プロジェクトやユーザーを作成、変更、削除します。さらに、UiPath® Automation Cloud 上のすべての管理者には、IXP プラットフォームでこの権限が自動的に付与されます。
サービス (非プロジェクトのみ)	監査ログ - 読み取り	監査ログを表示します。
実行元	ソース - 読み取り	ソースとソースに含まれるメッセージを表示します。プラットフォームで個々のメッセージを表示するにはこの権限が必要です。
実行元	ソース - 機密データの読み取り [ソース] - [読み取り] の付与	機密データとしてマークされたユーザー プロパティを含む、すべてのユーザー プロパティを表示します。
実行元	ソース - 管理 Source - ReadSensitive を付与	ソースを作成、変更、削除します。API を使用してソースを作成する必要があります。
実行元	コメント - 管理	API を使用して、ソース内のメッセージを作成、更新、削除します。
データセット	データセット - 読み取り	ユーザーのデータセットのピン留めされたラベルや予測されたラベルを表示します。プラットフォームで個々のメッセージを表示するにはこの権限が必要です。 手記： プラットフォームでソース、データセット、またはメッセージに関連するデータを表示するには、 ソース - 読み取り と データセット - 読み取りの両方、またはこれらの親ロールが必要です。
データセット	データセット - 管理 データセット - 読み取りの付与	データセットのプロパティ (例: 説明、ソース、一般フィールド) を更新します。サービス品質 (QoS) とトーン分析を有効化します。
データセット	データセット - 確認 データセット - 読み取りの付与	ラベルを作成、編集、削除し、ユーザーのデータセット内のメッセージにピン留めします。事前トレーニング済みのラベルを追加します。
データセット	データセット - エクスポート	ユーザー インターフェイスを使用してデータセットをエクスポートします。
	モデル - 管理	モデル バージョンをピン留めします。
データセット	ダッシュボード - 書き込み	ダッシュボードを作成または変更します。
ストリーム	ストリーム - 読み取り	ストリームとその設定を表示します。
ストリーム	ストリーム - 管理	ストリームを作成、変更、削除します。
ストリーム	ストリーム - 使用	ストリームの出力データを取得して次に進めます。
バケット	バケット - 読み取り	生データ バケットの情報を表示します。
バケット	バケット - 書き込み	生データ バケットを追加または削除します。
バケット	バケット - 追加	バケットへのデータのアップロード
Integrations	連携 - 読み取り	外部連携の情報を表示します。
Integrations	連携 - 書き込み	外部サービスとの連携を追加または削除します。
ユーティリティ	アラート - 読み取り	アラートとアラートによって生成された問題を表示します。
ユーティリティ	アラート - 書き込み	アラートを作成、変更、削除します。
ユーティリティ	アプライアンス構成 - 読み取り	アプライアンス構成ファイルを取得します。
ユーティリティ	アプライアンス構成 - 書き込み	新しいアプライアンス構成ファイルをアップロードするか、既存のアプライアンス構成ファイルを置換します。

カスタム ロール

Apart from the default IXP roles, you can also create and manage custom roles. Adapting custom roles to the specific needs and permissions of users, helps you align more closely with the needs of your organization.

Custom roles are available at tenant level, or project level.

テナント レベルのロール

The tenant-level roles can grant the following permissions:

Standard permissions:

• Authorization / Action: Read
• Authorization / Role: Read, Update, Create, Delete
• Authorization / Role Assignment: Read, Update, Create, Delete
• IXP: Audit Log - Read

Additional permissions:

• Authorization / Role Assignment: Export role assignment data
• IXP: Can perform service-level administration tasks, manage quotas, and create and delete projects.

プロジェクト レベルのロール

The project-level roles can grant the following permissions:

Standard permissions:

• Authorization / Action: Read
• Authorization / Role: Read, Update, Create, Delete
• Authorization / Role Assignment: Read, Update, Create, Delete
• IXP:
  • Alert - Read, Write
  • Appliance Configuration - Read, Write
  • Bucket - Read, Write
  • Bucket Item - Read
  • ダッシュボード - 書き込み
  • Dataset - Read, Write
  • Integration - Read, Write
  • ソース - 読み取り
  • Stream - Read, Write

Additional permissions:

• Authorization / Role Assignment: Export role assignment data
• IXP:
  • Upload items to raw data buckets.
  • Create, update and delete messages in a source via the API or the UI, including CSV upload.
  • Export datasets via the UI.
  • Create and delete datasets. Grants all other dataset permissions except dataset export.
  • Create, edit and delete labels, and pin them to messages in the user's datasets.
  • Pin and unpin trained models and update their tags.
  • Create, modify and delete sources.
  • 機密データとしてマークされたユーザー プロパティを含む、すべてのユーザー プロパティを表示します。
  • ストリームの出力データを取得して次に進めます。
  • ストリームを作成、変更、削除します。

カスタム ロールを作成する

To create a custom role, proceed as follows:

1. Go to the Administration page, and select Manage Access.
2. Select Service, and then the Roles tab.
3. Select Create role, and fill in the following fields:
   • Role name - Give your role a descriptive name.
   • Description - Optionally, provide a description.
   • Category - Choose between:
     • Tenant - You can assign this role at tenant-level, and consists of tenant-level permissions.
     • Project - You can assign this role to existing or new projects and consists of project-level permissions.
4. Select Next to proceed to the permissions page.
5. In the Standard permissions and Additional permissions tabs, select the permissions to assign to the custom role.
6. [作成] を選択します。

Viewing a custom role

To view a custom role, proceed as follows:

1. Navigate to the Administration page, and select Manage Access.
2. Select Service, or a project folder, and then the Roles tab.
3. Select the ellipsis for the custom role you want to view.
4. Select View.

Editing a custom role

To edit a custom role, proceed as follows:

1. Go to the Administration page, and select Manage Access.
2. Select Service, or a project folder, and then the Roles tab.
3. Select the ellipsis for the custom role you want to edit.
4. Select Edit to modify the description and permissions of the custom role.
5. After making the changes, select Update.

Duplicating a custom role

To duplicate a custom role, proceed as follows:

1. Navigate to the Administration page, and select Manage Access.
2. Select Service, or a project folder, and then the Roles tab.
3. Select the ellipsis for the custom role you want to duplicate.
4. Select Duplicate & customize, to create a copy of the role and modify its description and permissions.
5. After making the changes, select Create.

Removing a custom role

To remove a custom role, proceed as follows:

1. Go to the Administration page, and select Manage Access.
2. Select Service, or a project folder, and then the Roles tab.
3. Select the ellipsis for the custom role you want to edit.
4. [削除] を選択します。
   Note: Deleting a custom role also removes all associated role assignments.

ユーザーとグループのロールを管理する

重要: 既存のすべてのテナントが新しい RBAC エクスペリエンスに移行されるまでは、引き続き「プロジェクトを管理する」に記載されている [アクセス権を管理] のエクスペリエンスを利用できます。

手記： ユーザーおよびグループのロールを管理するには、 サービス管理者 ロールまたは プロジェクト管理者 ロールが割り当てられている必要があります。

ロールを管理するには、以下の手順に従います。

1. IXP にログイン後、歯車アイコンを選択します。
2. [ 管理] ページの [ アクセス権を管理] タブを選択します。
3. ロールの管理は、割り当てられたロールに応じて、[ サービス ] セクションまたは [プロジェクト ] セクションで開始します。

利用可能なロールを表示する

特定のスコープ (テナントまたはプロジェクト) で利用可能なロールを表示するには、次の手順を実行します。

1. [アクセス権を管理] タブに移動します。
2. [ サービス ] または [特定のプロジェクト] を選択します。
3. [ロール] タブを選択します。

各ロールで付与される権限を表示するには、特定のロールの目のアイコンを選択します。詳しくは、「ロールと権限」をご覧ください。

プロジェクトにユーザーまたはグループを追加する

ユーザーまたは Automation Cloud グループをプロジェクトに追加するには、ロールを割り当てる必要があります。Automation Cloud のグループへのユーザーの追加について詳しくは、『 Automation Cloud でアクセス権を管理する』をご覧ください。

ユーザーまたは Automation Cloud グループをプロジェクトに追加するには、次の手順を実行します。

1. [ アクセス権を管理 ] タブに移動し、プロジェクトを選択します。
2. [ロールの割り当て] タブで [ロールを割り当て] を選択します。
3. [ロールを割り当て] サイド パネルの [名前] フィールドに、ロールを割り当てるユーザーまたはグループの名前を入力します。
4. ドロップダウン リストから名前を選択すると、テナントで使用可能なすべてのユーザーとグループが表示されます。
5. [ロール] フィールドで、割り当てるロールをドロップダウン リストから選択します。
6. [割り当て] を選択します。

注:

• Organization Administrator ロール - テナント内のすべてのユーザーのロールの割り当てを、サービス レベルまたは任意のプロジェクトで更新できます。
• プロジェクト管理者ロール - このロールを持つ任意のプロジェクト内のロールの割り当てを更新できます。
• サービス管理者ロール - サービス レベルでロールの割り当てを更新できます。

図 1. プロジェクト レベルの [ロールの割り当て] タブ

図 2. プロジェクト レベルの [ロールを割り当て] サイド パネル

ユーザーまたはグループにサービス ロールを割り当てる

サービス・ロールをユーザーまたはグループに割り当てるには、以下の手順に従います。

1. [ アクセス権を管理 ] タブに移動し、プロジェクトを選択します。
2. [ロールの割り当て] タブで [ロールを割り当て] を選択します。
3. [ロールを割り当て] サイド パネルの [名前] フィールドに、ロールを割り当てるユーザーまたはグループの名前を入力します。
4. ドロップダウン リストから名前を選択すると、テナントで使用可能なすべてのユーザーとグループが表示されます。
5. [ロール] フィールドで、割り当てるロールをドロップダウン リストから選択します。
6. [割り当て] を選択します。

注:

• Organization Administrator ロール - テナント内のすべてのユーザーのロールの割り当てを、サービス レベルまたは任意のプロジェクトで更新できます。
• プロジェクト管理者ロール - このロールを持つ任意のプロジェクト内のロールの割り当てを更新できます。
• サービス管理者ロール - サービス レベルでロールの割り当てを更新できます。

図 3. サービス レベルの [ロールの割り当て] タブ

既存のロールの割り当てを編集または削除する

既存のロールの割り当てを編集または削除するには、次の手順を実行します。

1. [ アクセス権を管理 ] タブで [ サービス ] または特定のプロジェクトを選択します。
2. [ロールの割り当て] タブを選択し、更新または削除するロールを持つユーザーまたはグループを見つけます。
3. 編集または削除するユーザーまたはグループの省略記号を選択します。
4. 状況に応じて、[ 編集 ] または [ 削除] を選択します。
   1. 編集 - ユーザーまたはグループにロールを追加したり、既存のロールを削除したりできます。
   2. 削除 - ユーザーまたはグループをプロジェクトから削除します。この操作が永続的であることを示す警告ポップアップが表示されます。次に、警告ポップアップの [削除] ボタンを選択して、削除を確定します。

グループベースのプロジェクト ロールのアクセス制御 (Automation Cloud)

プロジェクト ロールをグループに割り当てると、それらのグループに属するユーザーは、グループが追加されたすべてのプロジェクトにアクセスできるようになります。つまり、グループのユーザーはプロジェクト内のデータを参照できることになります。特に規制対象の業界の場合、ユーザーのグループが大規模であると、これは適切でないことがあります。詳しくは、「データの構造と権限について」をご覧ください。

シングル サインオン (SSO) のアクセス制御

ベスト プラクティスとして、シングル サインオン (SSO) を使用する場合は、関連性がある適切なアクセス レベルでグループを分離します。たとえば、限られたユーザーのセットのみが特定のプロジェクトにアクセスできるようにする必要がある場合は、プロジェクト単位でグループを作成し、そのプロジェクトにアクセス権をプロビジョニングします。そうしないと、権限のないユーザーがデータにアクセスできる可能性があります。

注:

厳密な分離が必要で、データをチーム間で共有してはならない場合は、別個の Automation Cloud テナントを使用することを検討してください。

Automation Cloud グループのアクセス制御

Automation Cloud グループを使用する場合は、グループ内のすべてのユーザーがプロジェクトのデータにアクセスできる必要があるかどうかを判断します。これにより、適切なユーザーにのみアクセス権を付与し、適切なデータ セキュリティを維持できます。