> ## Documentation Index
> Fetch the complete documentation index at: https://docs.arc.cdata.com/llms.txt
> Use this file to discover all available pages before exploring further.

# ユーザー管理とロール

> CData Arc でユーザー、ロール、権限を作成および管理する方法。

export const siteNameShort = "Arc";

export const siteName = "CData Arc";

初めて{siteName} を起動するときは、ユーザー名とパスワードを設定して最初のアプリケーションユーザーを作成するように求められます。最初のユーザーは、以下に定義するようにデフォルトで[Admin ロール](#admin-ロール)になります。

## ユーザー

追加でユーザーを作成および管理するには、[設定ページ](./settings-page)の**ユーザー**タブに移動します。このタブにはすべてのユーザーのテーブルがあり、ユーザーのロール、ステータス、テンポラリーユーザーかどうか、[二要素認証（2FA）](../2fa)ステータスなどの情報が含まれます。

<img src="https://mintcdn.com/cdata-arc/j59334epfVQRoK96/public/images/users_table.png?fit=max&auto=format&n=j59334epfVQRoK96&q=85&s=a6b0b84004fc0e1360d7c4b337354d13" alt="ユーザーテーブル" width="800" data-path="public/images/users_table.png" />

<Note>AD / LDAP を使用してユーザー資格情報を管理する場合、ユーザー名は`domain\username` 形式でなければなりません。</Note>

Admin ロールのメンバーは、このタブでユーザーを作成、削除、および編集できます。Admin は、他のユーザーを管理する権限を持つ唯一のロールです。

### ユーザーの追加または編集

ユーザーを追加するには、**ユーザーを追加**をクリックします。既存のユーザーを編集するには、テーブルの行にマウスを移動し、省略記号をクリックして、**編集**を選択します。次の画像は、アプリケーションに新しいユーザーを追加する方法を示しています。

<img src="https://mintcdn.com/cdata-arc/Lo_2D5t4szDfleFN/public/images/add_user.png?fit=max&auto=format&n=Lo_2D5t4szDfleFN&q=85&s=58828f2bfb8cd63f401344eb07e266e0" alt="ユーザーの追加" width="600" data-path="public/images/add_user.png" />

次のフィールドを入力します：

| フィールド           | 説明                                                                                                                             |
| --------------- | ------------------------------------------------------------------------------------------------------------------------------ |
| **ユーザー名**       | ユーザー名を入力します。ユーザーを保存した後は、このフィールドは変更できません。                                                                                       |
| **テンポラリーアカウント** | ユーザーに一時的なアクセスのみを許可する場合は、これをON にして、**有効期限**（画像には表示されていません）を入力します。                                                               |
| **パスワード**       | パスワードを入力します。[サインイン設定](./sign-in-settings)の要件を満たしていることを確認してください。**次回サインイン時にパスワードのリセットを要求する**をON にすると、ログイン時にユーザーにパスワードの変更を強制します。 |
| **ステータス**       | ユーザーがアクティブか非アクティブかを示します。                                                                                                       |
| **E メールアドレス**   | ユーザーが必要に応じて[パスワードを変更](#パスワードのリセット)できるように、各ユーザーのE メールアドレスを含めることをお勧めします。                                                         |
| **ロール**         | ユーザーに割り当てる[ユーザーロール](#ユーザーロール)を選択します。                                                                                           |

新しいユーザーに[管理API](#管理api-アクセス) および / またはOAuth アクセスを付与するには、**API アクセス**タブをクリックします。

<img src="https://mintcdn.com/cdata-arc/Lo_2D5t4szDfleFN/public/images/add_user_api_access.png?fit=max&auto=format&n=Lo_2D5t4szDfleFN&q=85&s=c881c503d217cabc6e580a5db2fa341d" alt="Admin またはOAuth アクセスの付与" width="600" data-path="public/images/add_user_api_access.png" />

| フィールド                | 説明                                                                                                                                                                                                                        |
| -------------------- | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- |
| **API アクセス**         | **管理API アクセスを有効にする**をON にすると、ユーザーに管理API へのアクセスに使用できる認証トークンを付与します。詳しくは[管理API アクセス](#管理api-アクセス)を参照してください。API アクセスを有効にすると、このテーブルの残りのフィールドが表示されます。                                                                           |
| **トークンの有効期限（日）**     | トークンの有効期限が切れるまでの日数。トークンの有効期限を無効にしたい場合は、**有効期限なし**をON にします。                                                                                                                                                                |
| **認証トークン**           | システムによって生成された認証トークン。このトークンは再度表示されないため、ユーザーを保存する前に安全な場所にコピーしてください。                                                                                                                                                         |
| **1時間あたりの最大リクエスト数**  | このユーザーの1時間ごとの最大リクエスト数を制限するには、**無制限リクエスト**のチェックを外します。                                                                                                                                                                      |
| **最大同時リクエスト数**       | 同時に送信可能なリクエストの最大数を制限するには、**無制限リクエスト**のチェックを外します。                                                                                                                                                                          |
| **OAuth アクセスを有効にする** | **OAuth アクセスを有効にする**をON にすると、[管理API](./admin-api-settings) のパブリックAPI エンドポイントを保護するために使用できる資格情報をユーザーに付与します。OAuth 2.0 は、トークンのライフサイクルを管理したり、外部アプリケーションと統合したりする必要があるクライアントに構造化された認証フローを提供します。OAuth アクセスを有効にすると、次のフィールドが表示されます： |
| **グラント種別**           | クライアントアプリケーションがアクセストークンを取得する方法を決定するOAuth 2.0 グラントタイプ。現在、**クライアントクレデンシャル**のみをサポートしています。                                                                                                                                    |
| **クライアントID**         | システムが生成したクライアントID トークン。                                                                                                                                                                                                   |
| **クライアントシークレット**     | システムが生成したクライアントシークレット。このトークンは再度表示されないため、ユーザーを保存する前に安全な場所にコピーしてください。                                                                                                                                                       |
| **アクセスURL**          | 設定されたクレデンシャルを使用してアクセストークンをリクエストするために、クライアントアプリケーションが使用するエンドポイントURL。                                                                                                                                                       |

このユーザー固有の信頼されたまたは禁止されたIP の範囲を追加するには、**信頼されたIP の範囲**または**禁止されたIP の範囲**タブをクリックして範囲を追加します。単一のIP アドレス、単純な範囲（`203.0.113.*` や`203.0.113.1-255` など）、またはCIDR（Classless Inter-Domain Routing）の範囲を指定できます。これらのタブには、**設定 > セキュリティ**ページの[ネットワークアクセス](./network-access)セクションで定義された、グローバルな信頼されたおよび禁止された範囲も表示されます。

### シングルサインオン

{siteNameShort} は、OpenID 規格を実装したID プロバイダーによるシングルサインオン（SSO）をサポートします。Azure AD に特有のガイダンスを含むシングルサインオンの詳細については、[シングルサインオン](./single-sign-on)を参照してください。

### 管理API アクセス

各ユーザーには、[管理API](./admin-api-settings) へのアクセスに使用できる認証トークンが付与されます。管理API に対する認証について詳しくは、[管理API 認証](../../../admin-api/admin-api-authentication)を参照してください。

管理API を使用してユーザーが実行できる具体的なアクションは、同じユーザーがUI を使用して実行できるアクションを反映しています。例えば、UI でコネクタを削除できないユーザーは管理API でもコネクタを削除できません。管理API を通じてアクションを実行するには、API を呼び出す際にAdmin ユーザーの認証トークンを使用します。

### パスワードのリセット

すべてのユーザーは、自分のアカウントに関連付けられたE メールアドレスを持つことができます。これにより、パスワードをリセットする必要がある場合は、**パスワードをお忘れですか**のリンクをクリックして、パスワードリセット用のリンクをメールで受け取ることができます。パスワードリセットが送信されるたびに、[アプリケーションログ](../activity#アプリケーションログ)に1行が追加されます。

アカウントにE メールアドレスが関連付けられていないユーザーは、パスワードのリセットを管理者に依頼する必要があります。そのため、管理者は各ユーザーアカウントにE メールアドレスを関連付けることが推奨されるベストプラクティスです。

すべての管理者ユーザーが{siteNameShort} からロックアウトされた場合、各エディションに内蔵のWeb サーバーにより、パスワードをリセットしてアプリケーションへのアクセスを回復する機能が提供されます。この操作にはインストール環境への管理者アクセスが必要であり、アクセス可能なユーザーがいない場合にのみ使用してください。

例えば、[クロスプラットフォーム版](../../installation/cross-platform-edition)の場合：

```
java -jar arc.jar -ResetPassword -User <user> -Password <password> -AppDirectory <appDirectory>
```

[.NET 版](../../installation/windows-edition)の場合：

```
CData.Arc.exe -ResetPassword -User <user> -Password <password> -AppDirectory <appDirectory>
```

## ユーザーロール

**ロール**タブには、アプリケーションで定義されているすべてのロールの一覧、関連するワークスペース、および各ロールを担うことが可能なすべてのユーザーへのリンクが表示されます。ロールを使用すると、特定のワークスペースで特定のアクションのみを実行するようにユーザーを制限できます。ユーザーに割り当てられたロールは、以下を含むがこれらに限定されない、{siteNameShort} に表示されるすべての内容に影響します：

* [ワークスペース](../../../flows/workspaces)
* [レポート](../reports)
* [ダッシュボードデータ](../dashboard)
* [ログ](../activity)

{siteNameShort} のすべてのインストールには、次の3つの組み込みロールが含まれています：

* [Admin](#admin-ロール)
* [Standard](#standard-ロール)
* [Support](#support-ロール)

これらは、編集や削除ができないグローバルなロールです。これらはすべてのワークスペースに適用されます。ただし、各ユーザーの権限を制限する[カスタムロール](#カスタムロール)を定義することができます。カスタムロールは*ポリシー*で構成されており、ユーザーが{siteNameShort} で表示または実行できる内容を最も細かく制御できます。またカスタムロールは、ユーザーがどのワークスペースを表示したり対話したりできるかを識別します。

次のセクションでは、各組み込みロールについて、および新しいポリシーとロールを定義する方法について説明し、ポリシーの例を示します。独自のポリシーとロールを作成する際には、[比較表](#ユーザーロール比較表)をご利用ください。

### Admin ロール

**Admin** ロールはアプリケーションを完全に制御できます。Admin は、新規[フロー](../../../flows)の作成、既存のフローの削除、[プロファイル](../profiles)設定の変更などのコンソールでサポートされるすべての操作を実行できます。

また、Admin のみが[監査ログ](../activity#監査ログ)を閲覧できます。監査ログには、アプリケーションでユーザーが行ったすべての変更が[改ざんを検知できる仕組み](../activity#改ざん検知ログ)で記録されます。

### Standard ロール

**Standard** ロールのメンバーは、コネクタおよびフローを作成、編集、削除できます。しかし、[プロファイル](../profiles)ページで公開されているような、アプリケーション全体の設定を変更することはできません。

Standard ユーザーは、新しいファイルをフローにアップロードしたり、コネクタで使用するパブリック証明書をアップロードしたりできます。プロファイルに設定されているプライベート証明書をアップロードすることはできません。

### Support ロール

**Support** ロールは読み取り専用のロールです。このロールのメンバーは、新しいフローの作成や削除、アプリケーション設定の変更はできません。**Support** ユーザーは、*Send* オペレーションを使用して既存のフローを通じてファイルを送信*できます*が、新しいファイルをアップロードすることはできません（つまり、コネクタの**トランザクション**タブにすでに存在するファイルのみを処理できます）。

### カスタムロール

カスタムロールを使用すると、各ユーザーが{siteNameShort} で表示または実行できる内容をより詳細に制御できます。カスタムロールは、そのロールのメンバーが持つ正確な権限と、メンバーが持つ証明書の権限を指定するポリシーを作成することによって定義されます。またカスタムロールは、ユーザーがどのワークスペースや証明書を表示したり対話したりできるかを識別します。

#### ロールとポリシーの作成

1. カスタムロールを作成するには、[設定ページ](./settings-page)に移動し、**ロール**タブに移動します。

2. **ロールを追加**をクリックします。ロールにわかりやすい名前と説明を入力し、**ロールを追加**をクリックします。

3. ポリシーを定義するには、**ポリシーを追加**をクリックします。

4. **ワークスペースの権限**と**証明書の権限**の横にあるトグルを使用して、ポリシーに必要なセクションを編集します。

5. 割り当てたいポリシーの**許可されたワークスペースのアクション**および**許可されたコネクタのアクション**権限の横にあるチェックボックスをON にし、**すべてのワークスペース**ドロップダウンを使用して、ポリシーを1つ以上のワークスペースに割り当てます。すべてのワークスペースに割り当てるには、**現在および将来のすべてのワークスペース**トグルを使用します。次の画像は、**ポリシー 1** に**ワークスペース**および**コネクタ**の権限が設定済みであることを示しています。

   <img src="https://mintcdn.com/cdata-arc/j59334epfVQRoK96/public/images/roles_policy1_complete.png?fit=max&auto=format&n=j59334epfVQRoK96&q=85&s=96531fc5906298933ad095e099276726" alt="ワークスペースとコネクタの権限が設定済みのポリシー 1" width="800" data-path="public/images/roles_policy1_complete.png" />

6. 同様に、このページの**証明書権限**セクションでは、ユーザーがパブリック証明書とプライベート証明書を使用して実行できる操作を制御できます。割り当てたいポリシーの証明書権限の横にあるチェックボックスをON にし、**証明書を選択**リンクをクリックして、ポリシーを1つ以上の証明書に割り当てます。

   <img src="https://mintcdn.com/cdata-arc/j59334epfVQRoK96/public/images/roles_certificate_policy.png?fit=max&auto=format&n=j59334epfVQRoK96&q=85&s=075b0d7d057c3fc69d578e2f08676c9c" alt="証明書ポリシーの設定" width="800" data-path="public/images/roles_certificate_policy.png" />

7. 別のポリシーを追加するには、**ポリシーを追加**をクリックし、前述の手順を繰り返します。

8. 終了したら、**保存**をクリックします。次の画像は、2つのポリシーを持つロールを示しています。

   <img src="https://mintcdn.com/cdata-arc/j59334epfVQRoK96/public/images/roles_policies_complete.png?fit=max&auto=format&n=j59334epfVQRoK96&q=85&s=5a34e85c96df3b53ae1ebbd99381a970" alt="2つのポリシーが設定済みのロール" width="800" data-path="public/images/roles_policies_complete.png" />

#### ユーザーとロールの関連付け

1. ユーザーをロールに関連付けるには、**関連ユーザー**タブをクリックします。
2. **ユーザーを追加**をクリックし、このロールを担うユーザーを選択します。
3. 終了したら、**ユーザーを追加**をクリックします。
4. **ロール**タブを使用して、関連するワークスペースやユーザーを含む、各ロールのサマリ情報を表示します。数値の上にカーソルを合わせると詳細が表示されます。

   <img src="https://mintcdn.com/cdata-arc/j59334epfVQRoK96/public/images/roles_complete.png?fit=max&auto=format&n=j59334epfVQRoK96&q=85&s=e380ebaae12fc07880e07667890182ab" alt="関連ユーザーとワークスペースを含むロールタブ" width="800" data-path="public/images/roles_complete.png" />

<Note>証明書の特定のサブセットへのアクセスを含む証明書ポリシーがある場合、そのポリシーの対象となるユーザーは新しい証明書を作成できますが、作成後にコネクタでその証明書を表示または一覧表示することはできません。これは、新しい証明書がポリシー内の証明書のサブセットの一部ではないためです。</Note>

#### ロールおよびポリシーの例

会社にEDI 開発者のグループがあるシナリオを想像してください。この会社には複数の取引パートナーがあります。この例では、2つの取引パートナーと2名の開発者を想定します。

取引パートナーのフローは、PartnerA およびPartnerB の2つの別々のワークスペースに分割されます。各EDI 開発者（DevA およびDevB）は、主に対応するワークスペース（DevA = PartnerA）で作業しますが、必要に応じてPartnerB のワークスペースでもファイルを表示または送信できる必要があります。これを管理するには、次の画像に示すように、DevA ユーザーを作成し、DevA 用のカスタムロールを作成して、そのロールに2つのポリシーを割り当てます。

<img src="https://mintcdn.com/cdata-arc/j59334epfVQRoK96/public/images/role_policy_example.png?fit=max&auto=format&n=j59334epfVQRoK96&q=85&s=73e66e7102d55c83d83000582ed1f129" alt="2つのポリシーが割り当てられたロールとポリシーの例" width="800" data-path="public/images/role_policy_example.png" />

* ポリシー 1 は、DevA にPartnerA ワークスペースへの完全なアクセス権を与えます。
* ポリシー 2 は、DevA にPartnerB ワークスペースへの限定的なアクセス権を与えます。ファイルの表示と送信を許可しますが、コネクタの作成や削除、フローや設定の編集は許可しません。

### ユーザーロール比較表

このテーブルでは、すべての種類のロールで利用できる機能について説明します。

| アクション                         | Admin | Standard | Support |  カスタム  |
| ----------------------------- | :---: | :------: | :-----: | :----: |
| フローの編集                        |   ✔   |     ✔    |         |    ✔   |
| 設定の更新                         |   ✔   |     ✔    |         |    ✔   |
| コネクタの削除                       |   ✔   |     ✔    |         |    ✔   |
| コネクタの作成                       |   ✔   |     ✔    |         |    ✔   |
| ファイルのアップロード                   |   ✔   |     ✔    |         |    ✔   |
| ファイルの送信                       |   ✔   |     ✔    |    ✔    |    ✔   |
| ファイルの受信（コネクタの**トランザクション**タブで） |   ✔   |     ✔    |    ✔    |    ✔   |
| ファイルの削除                       |   ✔   |     ✔    |         |    ✔   |
| トランザクションの削除                   |   ✔   |     ✔    |         |    ✔   |
| 再キュー                          |   ✔   |     ✔    |    ✔    |    ✔   |
| コネクタとフローの表示                   |   ✔   |     ✔    |    ✔    | ✔ [^1] |
| アプリケーションログとトランザクションログの表示      |   ✔   |     ✔    |    ✔    | ✔ [^1] |
| プライベート証明書ファイルのプロファイルへのアップロード  |   ✔   |          |         |        |
| プロファイル設定の変更                   |   ✔   |          |         |        |
| 監査ログの表示                       |   ✔   |          |         |        |
| ユーザーの追加と管理                    |   ✔   |          |         |        |

[^1]: このアクションを実行するには、ワークスペースへのアクセス権が必要です。