権限とユーザー種別

概要

Auth-Share では、利用できる機能が ユーザー種別 と 組織設定 によって変わります。

特に、組織で social login が有効かどうか によって、ログイン方法や一部のユーザー管理の仕様が変わります。

このページでは、各ユーザーが何をできるかを一覧で確認できます。

まず最初に押さえること

Auth-Share には主に次の 3 種類のユーザーがあります。

• 管理ユーザー
• 社内ユーザー
• 外部ユーザー

また、組織設定には次の 2 パターンがあります。

• social login が無効な組織
• social login が有効な組織

このドキュメント全体で共通する原則

このシステムでは、個別機能を見る前に、次の原則を押さえておくと分かりやすくなります。

• 一般モードでは、管理ユーザーと社内ユーザーの権限は原則として同じです
• 外部ユーザーは、一般モードで利用できる機能が限定されます
• 管理モードを利用できるのは管理ユーザーのみです
• 社内ユーザーと外部ユーザーは、管理モードを利用できません
• 権限とデータの参照範囲は、ログイン中の組織内に限定されます

以降の各機能の説明も、この原則に沿って整理しています。

social login の有無で変わること

social login が無効な組織

• すべてのユーザーがメールアドレスとパスワードでログインします
• 必要に応じて二要素認証を利用します
• 管理ユーザー、社内ユーザー、外部ユーザーの招待が可能です
• 管理モードからのパスワードリセットは、すべての対象ユーザーに実行できます

social login が有効な組織

• 管理ユーザー・社内ユーザー は外部認証プロバイダー（以下、外部 IdP）でログインします
• 外部ユーザー はメールアドレスとパスワードでログインできます
• 招待できるのは 外部ユーザーのみ です
• 管理モードからパスワードリセットできるのは 外部ユーザーのみ です
• 管理ユーザー・社内ユーザーの名前やメールアドレスは、外部 IdP の情報に依存するため、Auth-Share 側では変更できない場合があります
• 管理ユーザー・社内ユーザーを Auth-Share 側で削除しても、外部 IdP 側にアカウントが残っていると再ログインできる場合があります

権限の見方

このページでは、権限を次の記号で表します。

シークレットの権限

シークレット機能の概要

シークレットでは、認証情報や URL、トークン、メモなどを保存・共有できます。

Auth-Share では、シークレット機能を 一般モード と 管理モード に分けて考えると分かりやすくなります。

• 一般モード
  自分に共有されているシークレットを閲覧・操作するための画面です
• 管理モード
  管理ユーザーが、組織全体のシークレット状況を確認し、必要な是正を行うための画面です

基本ルール

• シークレットの閲覧には共有設定が必要です
• シークレットの編集には、共有に加えて編集権限が必要です
• シークレットを作成したユーザーには、初期状態で編集権限が付きます
• シークレットには、少なくとも 1 名の編集権限が必要です
• 外部ユーザーには編集権限を付与できません
• 実際の閲覧・編集可否は、直接共有と所属するすべてのグループからの共有を合わせて決まります
• 管理モードでは、管理ユーザーが組織内の全シークレットを確認できます
• 管理モードの管理ページでは、管理ユーザーがシークレット情報そのものを閲覧・編集することはできません

一般モードの権限

管理モードの権限

補足

• 一般モードでは、管理ユーザーと社内ユーザーの権限は原則として同じです
• 一般モードで編集系操作を行うには、共有に加えて編集権限が必要です
• 外部ユーザーは、共有されたシークレットを閲覧できますが、編集はできません
• 共有経路が複数ある場合、ある経路を閲覧のみに変更しても、別の経路に編集権限があれば実効編集権限は残ります
• 管理モードは管理ユーザーのみ利用できます
• 管理モードの管理ページは、有効な編集者なし、有効な閲覧者なし、外部ユーザーだけが閲覧可能などの要注意シークレットに対する是正を目的とした画面です
• 管理モードの共有状況は読み取り専用で、未共有のユーザー・グループやシークレット情報の値は表示されません
• 管理モードでの復元は、削除済みシークレットの最新履歴からのみ 行えます
• 管理モードの操作は、成功・失敗にかかわらず管理操作履歴に記録されます

グループの権限

グループ機能の概要

グループは、複数のユーザーと複数のシークレットをまとめ、グループ単位で共有するための機能です。

基本ルール

• 一般モードでは、管理ユーザーと社内ユーザーがグループ機能を利用できます
• 外部ユーザーはグループ機能を利用できません
• グループへ所属できるのは、有効な管理ユーザー・社内ユーザーです
• 一般グループ編集画面を利用するには、操作ユーザー自身がそのグループに所属している必要があります
• 管理モードのグループ機能は、管理ユーザーのみ利用できます

一般モードの権限

管理モードの権限

補足

• 一般モードでは、管理ユーザーと社内ユーザーの権限は原則として同じです
• 一般モードの編集は所属グループに限り、自分自身を外した後はそのグループを編集できません
• グループへ共有済みでも、操作ユーザーが編集できないシークレットは、共有解除やグループ編集権限変更を行えません
• 外部ユーザーはグループ機能を利用できません
• 管理モードは管理ユーザーのみ利用できます
• 管理モードの管理ページはメンバーが存在しないグループだけが対象で、所属ユーザーと共有シークレットの一覧は読み取り専用です

ユーザー機能の権限

ユーザー機能の概要

ユーザー機能では、自分のプロフィール確認、ユーザー一覧確認、管理モードでのユーザー管理などを行えます。

基本ルール

• 一般モードでは、管理ユーザーと社内ユーザーの権限は原則として同じです
• 外部ユーザーは、自分のプロフィール確認など利用できる機能が限定されます
• 管理モードのユーザー管理は、管理ユーザーのみ利用できます
• 社内ユーザーと外部ユーザーは、管理モードを利用できません

一般モードの権限

管理モードの権限

補足

• 一般モードでは、管理ユーザーと社内ユーザーの権限は原則として同じです
• 外部ユーザーは、自分のユーザー情報の確認のみ利用できます
• 一般モードでは、どのユーザーも各ユーザーの詳細確認はできません
• social login が有効な組織では、管理ユーザー・社内ユーザーは外部 IdP を使ってログインします
• 外部ユーザーは social login を使わず、メールアドレスとパスワードでログインします
• 管理モードは管理ユーザーのみ利用できます
• 社内ユーザーと外部ユーザーは、管理モードを利用できません
• social login が有効な組織では、管理ユーザー・社内ユーザーの名前とメールアドレスは外部 IdP の情報に依存するため、管理画面から変更できません
• 管理・社内ユーザーの 共有・所属一覧 と外部ユーザーの 共有情報 は読み取り専用です
• 同じシークレットが直接共有と複数グループから共有される場合は、共有経路ごとに確認できます
• social login が有効な組織では、管理ユーザー・社内ユーザーを Auth-Share 側で削除しても、外部 IdP 側にアカウントが残っている限り、再ログイン時に Auth-Share 側へ再登録される場合があります
• ただし、ユーザー削除時にはシークレット共有やグループ所属などの関連データは削除されるため、再ログインしても削除前の状態には戻りません

招待機能の権限

招待機能の概要

招待機能では、新しいユーザーを組織に招待できます。

基本ルール

• 招待機能は、一般モードで管理ユーザーと社内ユーザーが利用します
• 外部ユーザーは招待機能を利用できません
• 新規招待の作成は一般モードの機能です
• ただし、招待一覧には管理モードのパスワードリセット機能によって作成されたレコードも表示されます

一般モードの権限

招待一覧に表示される内容

招待一覧には、一般モードの招待機能で作成した招待だけでなく、管理モードで実行したパスワードリセット用のレコードも表示されます。

一覧の 目的 欄を見ることで、用途を区別できます。

• 招待
  一般モードの招待作成機能によって発行されたものです
• PW再設定
  管理モードのパスワードリセット機能によって発行されたものです

つまり、招待一覧は新規ユーザー招待だけでなく、パスワード再設定に関連する発行履歴もあわせて確認する画面です。

ステータスや削除可否の考え方は共通で、稼働中のものは削除できず、失効済み・期限切れ・完了済みのものが削除対象になります。

補足

• 一般モードでは、管理ユーザーと社内ユーザーの権限は原則として同じです
• social login が無効な組織では、管理ユーザー・社内ユーザー・外部ユーザーの招待が可能です
• social login が有効な組織では、外部ユーザーのみ招待できます
• 外部ユーザーは招待機能を利用できません

管理モードの権限

管理モードの概要

管理モードでは、組織全体の状態を管理ユーザーが確認し、必要な是正や管理操作を行います。

管理モードを利用できるのは管理ユーザーのみ です。
社内ユーザーと外部ユーザーは利用できません。

管理モードでできること

管理操作履歴

管理モードで行った操作は、成功・失敗にかかわらず管理操作履歴に記録されます。

例:

• シークレットの編集者付与
• シークレット削除
• シークレット復元
• グループへの所属付与
• グループ削除
• ユーザー更新
• パスワードリセット開始
• ユーザー削除

よくある条件付き権限

1. 編集権限が必要な操作

シークレットでは、次の操作に編集権限が必要です。

• 名前編集
• シークレット情報の追加
• シークレット情報の編集
• シークレット情報の削除
• 共有設定の変更
• 削除
• 任意状態への復元
• グループ編集画面から行う、共有シークレットの追加・解除・グループ編集権限変更

実際の編集可否は、ユーザーへの直接共有と所属するすべてのグループからの共有を合わせて判断します。1つの共有経路が閲覧のみでも、別の経路で編集権限が付与されていれば編集できます。

2. social login が有効な組織で変わること

social login が有効な組織では、特に次の点が変わります。

• 管理ユーザー・社内ユーザーは外部 IdP でログインします
• 招待対象は外部ユーザーのみです
• 管理モードからパスワードリセットできるのは外部ユーザーのみです
• 管理ユーザー・社内ユーザーの名前とメールアドレスは、外部 IdP に依存するため変更できない場合があります
• Auth-Share 側で削除しても、外部 IdP 側にユーザーが残っていると再ログインできる場合があります

3. 二要素認証

二要素認証は、組織設定とユーザー種別に応じて必須にできます。

設定候補:

• 全員
• 管理ユーザーのみ
• 管理ユーザー + 社内ユーザー
• 外部ユーザーのみ

外部 IdP を使わないログインでは、二要素認証を必須にすることを推奨します。

迷ったときの見方

判断に迷う場合は、次の順に確認すると分かりやすくなります。

1. 自分は 管理ユーザー / 社内ユーザー / 外部ユーザー のどれか
2. 対象の機能は 一般モード か 管理モード か
3. 自分の組織は social login あり / なし のどちらか
4. シークレットなら 閲覧権限 と 編集権限 のどちらが必要か
5. シークレットの権限が 直接共有 / どの所属グループ から付与されているか

いずれの確認・操作も、ログイン中の組織に属するユーザー、グループ、シークレットだけが対象です。

関連ページ

• ログイン方法
• 二要素認証
• シークレットとは
• グループ機能の概要
• ユーザー機能の概要
• 招待機能の概要
• 管理モードのシークレット機能
• 管理モードのグループ機能
• 管理モードのユーザー機能
• 管理モードの管理操作履歴機能