ロールと権限
このプラットフォームは role-based access control（RBAC）をサポートしており、ロールと権限を組み合わせてユーザーアクセスを管理できます。
必要な権限
- Users Manager
事前定義ロール
事前定義ロールは、一般的なビジネス機能を実行するために必要な権限セットをユーザーに付与し、ユーザーアクセス管理を簡素化します。
Admin
Admin ロールは、すべての機能へのフルアクセス権を持ち、インテグレーションを含む組織アカウントのあらゆる側面を管理できます。
以下は Admin ロール専用の権限です。
| Permission | Description |
|---|---|
| Attribute Admin | Attribute への管理者アクセス。 |
| Cloud Analytics Admin | 組織内のすべての Cloud Analytics resources、カスタム dashboards、labels、および Commitment Manager commitments を、共有状況に関わらず閲覧および管理。 |
| CloudFlow Manager | 他のユーザーが作成した CloudFlows の作成・閲覧・管理・削除。 |
| Billing Transfer Admin | billing transfer の操作を管理。 |
| Billing Utilities Admin | Billing utilities ページへアクセスし、データ再計算を実行。この権限は、DoiT PartnerOps サービスのリセラー向けテナントにのみ該当。 |
| Contract Templates Admin | contract templates の作成と適用。この権限は、DoiT PartnerOps サービスのディストリビューター／リセラー向けテナントにのみ該当。 |
IT Manager
| Permissions | Description |
|---|---|
| Assets Manager | assets（ライセンス管理を含む）の閲覧と管理。 |
| Cloud Diagrams User | Cloud Diagrams の作成・閲覧・管理。 |
| Issues Viewer | Cloud incidents へのアクセス。 |
| PerfectScale Commitments Read Only | PerfectScale for Commitments ページを読み取り専用で閲覧。 |
| Perks Viewer | ISV solutions へのアクセスおよびリクエスト。 |
| Support Requester | 新規エキスパートへの問い合わせの作成および既存の問い合わせへのアクセス。 |
Partner Account Manager
| Permission | Description |
|---|---|
| Cloud Analytics User | Cloud Analytics resources および Commitment Manager commitments の作成とアクセス。 |
| Cloud Diagrams User | Cloud Diagrams の作成・閲覧・管理。 |
Standard User と Power User
Power User ロールには Standard User のすべての権限が含まれており、さらにアイデンティティおよびアクセス管理、Flexsave、DataHub などへのアクセスが付与されます（詳細は こちら）。
| Permission | Description |
|---|---|
| Allocations Admin | Allocations の作成・削除・管理。 |
| Anomalies Manager | cost and usage anomalies の確認、解決、コメント。 |
| Anomalies Viewer | Cost anomalies へのアクセス。 |
| Budgets Manager | Budgets の作成・削除・管理。 |
| Cloud Analytics User | Cloud Analytics resources および Commitment Manager commitments の作成とアクセス。 |
| Cloud Diagrams User | Cloud Diagrams の作成・閲覧・管理。 |
| CloudFlow Editor | （Power User）CloudFlows の作成・閲覧・管理。 |
| Contracts Viewer | 商用契約へのアクセスを提供。 |
| DataHub Admin | （Power User）DataHub data の作成・閲覧・管理。 |
| Flexsave Admin | （Power User）Flexsave の有効化および管理。 |
| Insights Manager | Insights へのアクセスと実行。 |
| Issues Viewer | Cloud incidents へのアクセス。 |
| Manage Settings | （Power User）コンソールアカウント設定の管理。 |
| Metrics Manager | （Power User）Cloud Analytics 用の custom metrics の作成・削除・管理。 |
| PerfectScale Commitments Admin | （Power User）PerfectScale for Commitments の設定、オンボーディング、購入の管理。 |
| PerfectScale for Spot Manager | （Power User）AWS auto-scaling groups の管理。 |
| Perks Viewer | ISV solutions へのアクセスおよびリクエスト。 |
| Sandbox Admin | 廃止済み |
| Sandbox User | 廃止済み |
| Support Requester | expert inquiries の作成および閲覧。 |
| Threads Manager | Threads の作成および管理。 |
| Users Manager | （Power User）ユーザーとロールの管理、および Single Sign-On と auth provider settings の閲覧および管理。 |
Support User
Support User ロールは、他の事前定義ロールにも含まれる最小限の権限セットのみを持ちます。
| Permission | Description |
|---|---|
| Issues Viewer | Cloud incidents の情報へのアクセス。 |
| PerfectScale Commitments Read Only | PerfectScale for Commitments ページを読み取り専用で閲覧。 |
| Support Requester | expert inquiries の作成および閲覧。 |
IaaS Admin
IaaS Admin ロールは、View Only 権限に加えて、以下の権限を持ちます。
| Permission | Description |
|---|---|
| Cloud Analytics User | Cloud Analytics resources および Commitment Manager commitments の作成とアクセス。 |
| Support Requester | expert inquiries の作成および閲覧。 |
View Only
View Only ロールは、コンソール内の特定領域への閲覧専用アクセス権を持ちますが、リソースの作成や変更はできません。
| Permission | Description |
|---|---|
| Alerts Read Only | あなたと共有されている alerts への閲覧専用アクセス。 |
| Anomalies Viewer | cost anomalies への閲覧専用アクセス。 |
| Budgets Read Only | budgets への閲覧専用アクセス。 |
| Cloud Analytics Read Only | Cloud Analytics reports と関連リソースへの閲覧専用アクセス。 |
| Contracts Read Only | 商用契約への閲覧専用アクセス。 |
| Invoices Read Only | 請求書への閲覧専用アクセス。 |
| Issues Viewer | Cloud incidents の情報へのアクセス。 |
| Settings No Access | この権限により、コンソールのナビゲーションバーから通知ベルと設定ギアアイコンが非表示になります。View Only のような閲覧専用ロール向けに設計されています。この権限を持つロールは、アカウント設定およびアプリ内通知へアクセスできません。 |
ファイナンスユーザー
| 権限 | 説明 |
|---|---|
| Anomalies Manager | クラウドコストと使用状況のアノマリー を確認・解決し、コメントを追加 |
| Anomalies Viewer | Cost anomalies にアクセス |
| Billing Profile Admin | 支払い方法を含む Billing profiles を作成・表示・管理 |
| Budgets Manager | Budgets を作成・削除・管理 |
| Cloud Analytics User | Cloud Analytics（クラウド分析）のリソース と Commitment Manager のコミットメント を作成および閲覧 |
| Cloud Diagrams User | Cloud Diagrams を作成・表示・管理 |
| Contracts Viewer | 商用契約へのアクセスを提供 |
| Flexsave Admin | Flexsave を有効化および管理 |
| Insights Manager | Insights にアクセス |
| Invoice Viewer | 請求書 を表示および支払い |
| Issues Viewer | Cloud incidents に関する情報へアクセス |
| PerfectScale Commitments Admin | PerfectScale for Commitments の設定・オンボーディング・購入を管理 |
| Perks Viewer | ISV ソリューション へのアクセスとリクエスト |
| Support Requester | エキスパートへ問い合わせ を作成および表示 |
| Threads Manager | Threads を作成および管理 |
カスタムロール
カスタムロールを作成する
カスタムユーザーロールを作成するには、次の操作を行ってください。
-
コンソールの上部ナビゲーションバーから歯車アイコン（）を選択し、ユーザーとアクセス を選択してください。
-
左側のメニューから Roles を選択してください。
あらかじめ用意されたロールと、チームで作成したカスタムロールの一覧が表示されます。
-
新しいロールを作成 を選択してください。
-
ロール名を入力してください。ファイルアイコンを使用して、ロールに説明を追加することもできます。
-
ロールに付与する権限を選択してください。
カスタムロールを子テナントで利用可能にする
組織で下位のテナントを管理している場合、任意のカスタムロールを子テナントのロールとして利用可能にできます。これにより、マルチテナント階層全体で権限をカスケードさせることができます。
カスタムロールを子テナントで利用可能にするには、次の操作を行ってください。
-
Roles ページで、設定したいカスタムロールを選択してください。
-
Make this role available in customers below you チェックボックスを選択してください（このチェックボックスは、プリセットロールでは表示されますが選択できません）。
このロールは、PartnerOps でユーザーを招待または管理する際に、Child tenant role ドロップダウンに表示されるようになります。
カスタムロールを削除する
ユーザーに割り当てられている、または子テナントで利用可能になっているカスタムロールは削除できません。
カスタムロールを削除するには、次の操作を行ってください。
-
Roles ページで、対象のロールの横にあるチェックボックスを選択してください。
-
削除 を選択してください。
ロールが削除される前に、削除の確認が求められます。
デフォルトロール
デフォルトロールは、管理者が別のロールを明示的に設定するまで、チーム内の新しいユーザーに自動的に割り当てられるロールです。事前定義されたロールとカスタムロールの両方を、デフォルトロールとして指定できます。
デフォルトロールは、管理者が別のロールを明示的に設定するまで、チー ム内の新しいユーザーに自動的（自動プロビジョニング）に割り当てられます。デフォルトロールには、プリセットロールまたはカスタムロールのいずれかを指定できます。
自動プロビジョニング が有効な場合、組織のドメインのメールアドレスを持つユーザーは、招待されなくても サインアップできます。
ロールをデフォルトロールとして設定するには、次の操作を行ってください。
-
Roles ページで、対象のロールを探してください。
-
ロール名を選択して、その設定ページを開いてください。
-
ページ右上の MAKE DEFAULT を選択してください。
ロール ID
コンソールでロール ID を確認するには、次の操作を行ってください。
-
コンソールの上部ナビゲーションバーから歯車アイコン（）を選択し、ユーザーとアクセス を選択してください。
-
Roles サブセクションに移動し、目的のロールを選択してください。
-
ロール詳細画面の右上にある ロール ID をコピー ボタンを選択して、ロール ID をシステムのクリップボードにコピーしてください。
サービスアカウントと API トークンの権限
サービスアカウント と 個人用 API トークン には、3 つの独立した権限レイヤーがあります。
個人用 API トークン
自分の 個人用 API トークン を管理するために、特別な権限は不要です。認証済みのすべてのユーザーは、自分自身のトークンを作成・表示・無効化・有効化・削除できます。
トークンを作成する際に、permission scope（読み取り専用・フルアクセス・カスタム）を選択します。スコープには、自分のユーザーロールによってすでに付与されている権限のみを含めることができます。ロールが後から変更された場合、トークンの実効権限は、当初選択したスコープよりも狭くなる可能性があります。
サービスアカウント
コンソールで サービスアカウント とその API トークンを誰が管理できるかは、3 つの権限によって制御されます。
| 権限 | 説明 |
|---|---|
| Service Account Viewer | サービスアカウントおよびその API トークンを表示・一覧表示 |
| Service Account Creator | サービスアカウントの作成およびサービスアカウントの API トークンの作成 |
| Service Account Manager | サービスアカウントおよびその API トークンの編集・削除・無効化・有効化 |
Service Account Creator と Service Account Manager にはそれぞれ Service Account Viewer のアクセス権限が含まれているため、サービスアカウントを作成または管理できるユーザーは、Viewer 権限を別途割り当てなくても、それらを表示できます。
Creator 権限と Manager 権限は、それ以外は互いに独立しています。たとえば、Service Account Creator のみを持つユーザーは、サービスアカウントを作成し、その最初のトークンを作成できますが、サービスアカウントの編集、トークンを無効化または削除してローテーションすること、あるいはサービスアカウント自体を削除することはできません。これらの権限は、カスタムロール から、またはそれらを含むプリセットロールを通じて割り当ててください。
| タスク | 必要な権限 |
|---|---|
| サービスアカウントおよびトークンの一覧表示または閲覧 | Service Account Viewer |
| サービスアカウントの作成、またはサービスアカウントに対する API トークンの作成 | Service Account Creator |
| サービスアカウントの編集、トークンの無効化または有効化、サービスアカウントまたはトークンの削除 | Service Account Manager |
サービスアカウントに割り当てられる権限
各サービスアカウントには Permissions scope が設定されています。Permissions scope とは、そのサービスアカウントのトークンが API を呼び出す際に使用する権限です（例：Cloud Analytics User や Budgets Manager）。トークン自体には独自のスコープはありません。トークンはサービスアカウントとして認証され、各リクエストでその時点のサービスアカウントの権限を使用します。
サービスアカウントを作成または編集する際に割り当てられるのは、自分のユーザーアカウントがすでに持っている権限のみです。保持していない権限は Permissions scope に表示されず、サービスアカウントに付与す ることもできません。例については、サービスアカウントのページにある Required permissions を参照してください。
概要：あらかじめ用意されたロールと権限
| 権限 | 管理者 | 財務ユーザー | IT マネージャー | パートナーアカウントマネージャー | パワーユーザー | 標準ユーザー | 読み取り専用 | IaaS 管理者 | サポートユーザー |
|---|---|---|---|---|---|---|---|---|---|
| アラート読み取り専用 | ✓ | ✓ | ✓ | ||||||
| アロケーション管理者 | ✓ | ✓ | ✓ | ||||||
| アノマリーマネージャー | ✓ | ✓ | ✓ | ✓ | |||||
| アノマリービューアー | ✓ | ✓ | ✓ | ✓ | ✓ | ||||
| アセットマネージャー | ✓ | ✓ | |||||||
| Attribute 管理者 | ✓ | ||||||||
| 請求プロファイル管理者 | ✓ | ✓ | |||||||
| 請求移管管理者 | ✓ | ||||||||
| 請求ユーティリティ管理者 | ✓ | ||||||||
| 予算マネージャー | ✓ | ✓ | ✓ | ✓ | |||||
| 予算読み取り専用 | ✓ | ✓ | ✓ | ||||||
| Cloud Analytics 管理者 | ✓ | ||||||||
| Cloud Analytics 読み取り専用 | ✓ | ✓ | ✓ | ||||||
| Cloud Analytics ユーザー | ✓ | ✓ | ✓ | ✓ | ✓ | ✓ | |||
| Cloud Diagrams ユーザー | ✓ | ✓ | ✓ | ✓ | ✓ | ✓ | |||
| CloudFlow マネージャー | ✓ | ||||||||
| CloudFlow 編集者 | ✓ | ✓ | |||||||
| 契約読み取り専用 | ✓ | ✓ | ✓ | ||||||
| 契約テンプレート管理者 | ✓ | ||||||||
| 契約ビューアー | ✓ | ✓ | ✓ | ✓ | |||||
| DataHub 管理者 | ✓ | ✓ | |||||||
| Flexsave 管理者 | ✓ | ✓ | ✓ | ||||||
| Insights マネージャー | ✓ | ✓ | ✓ | ✓ | |||||
| 請求書ビューアー | ✓ | ✓ | |||||||
| 請求書読み取り専用 | ✓ | ✓ | ✓ | ||||||
| イシュービューアー | ✓ | ✓ | ✓ | ✓ | ✓ | ✓ | ✓ | ✓ | |
| 設定管理 | ✓ | ✓ | |||||||
| メトリクスマネージャー | ✓ | ✓ | |||||||
| PerfectScale Commitments 管理者 | ✓ | ✓ | ✓ | ||||||
| PerfectScale Commitments 読み取り専用 | ✓ | ✓ | ✓ | ||||||
| PerfectScale for Spot マネージャー | ✓ | ✓ | |||||||
| Perks ビューアー | ✓ | ✓ | ✓ | ✓ | ✓ | ||||
| サービスアカウント作成者 | ✓ | ||||||||
| サービスアカウントマネージャー | ✓ | ||||||||
| サービスアカウントビューアー | ✓ | ||||||||
| 設定 アクセスなし | ✓ | ✓ | |||||||
| サポート依頼者 | ✓ | ✓ | ✓ | ✓ | ✓ | ✓ | ✓ | ||
| Threads マネージャー | ✓ | ✓ | ✓ | ✓ | |||||
| ユーザーマネージャー | ✓ | ✓ |