グループの管理

サイドバーの プラットフォーム設定 セクションで、グループ を選択します。グループを選択すると、ダッシュボード表示で詳細を確認できます。

選択したグループについて、さまざまな情報を確認できます。

• グループ名： グループ名は変更しないことを推奨しますが、権限を管理する権限を持つユーザーは変更できます（下記の グループ名の変更 を参照）。
• グループの説明： グループの説明であり、そのグループを発見可能な組織内のすべてのユーザーに表示されます。
• グループID： グループの永続的で一意な ID です。
• グループの種類： グループの種類で、外部、内部、または ルールベース です。内部レルムのグループメンバーシップは Foundry で管理されます。
• レルム： 外部または内部の認証ソースです。外部グループの場合、レルムはグループを管理するプロバイダーを識別します。
• 組織： このグループとその説明を閲覧できる組織のメンバーを定義します。
• メンバー： このグループのメンバーです。個々のユーザーまたはグループを指定できます。
• グループの権限： グループの各種項目を管理する権限を持つユーザーを定義します。管理権限には 2 種類あります。
  • 権限の管理： グループの各種項目を管理する権限を付与し、メンバーを管理し、メタデータを編集できるユーザーです。
  • メンバーシップを管理する： メンバーシップの有効期限プロパティを含め、グループのメンバーを管理できるユーザーです。
• 属性： キーと値の形式で保存されるグループに関する情報で、通常は他の Foundry サービスによって使用されます。

メンバーシップの有効期限

特定のグループに対して Manage membership 権限を持つ場合、そのグループへの新しいメンバーシップを一時的なものに限定できます。これを行うには、次のグループプロパティを設定します。

• 最新の有効期限： すべての新しいメンバーシップの有効期限は、この日付より前である必要があります。
• 最長期間： すべての新しいメンバーシップは、指定された期間内に期限切れになる必要があります。

これらのプロパティは、いずれか一方または両方を同時に設定できます。両方を設定した場合、許可される最も遅い有効期限は、2 個のプロパティのうち、より厳しい制約によって決まります。

また、Manage membership 権限を持つ場合、メンバーシップの有効期限プロパティを設定した一時的なメンバーをグループに追加できます。これらの一時的なメンバーは、Latest expiration または Maximum duration プロパティが設定されていないグループにも追加できます。

Latest expiration または Maximum duration プロパティのいずれかが設定されたグループへのメンバーシップ申請につながる アクセス権のリクエスト には、最長の有効期限による制約が適用されます。

メンバーシップの有効期限に関する通知

一時的なグループメンバーシップが期限切れになると、対象のユーザーに取り消し通知が送信されます。また、一時的なメンバーシップを持つユーザーには、メンバーシップが期限切れになる 7 日前にリマインダー通知が送信されます。ただし、ユーザーがグループに追加された時点で有効期限まで 7 日未満の場合、リマインダー通知は送信されません。

これらの通知を受信したくない場合は、プラットフォームのサイドバーから アカウント > 設定 > 通知 でプラットフォームの通知設定を変更できます。

カスタム Approvals アクセス権リクエストフォーム

プロジェクトでロールが定義されているグループの権限を管理できる場合、次の構造を使用してグループに属性を追加することで、そのプロジェクトのカスタム アクセス権リクエスト フォームを設定できます。

• 属性キー: access-request:'group-category-name'
• 属性値: 'intended group value'

これらの属性をグループの 属性 に追加すると、アクセス権をリクエスト ポップアップウィンドウに自動的に表示され、ユーザーはアクセス権リクエストフォームの一部として選択できます。

たとえば、次のグループ属性を追加すると、以下のカスタムリクエストフローになります。

• キー: access-request: Team
• 値: blue

カスタムアクセス権リクエストフォームは、複数のグループがあるプロジェクトで特に有用です。効率的で直感的なアクセス権リクエストプロセスを提供し、管理者とユーザーのエクスペリエンスを改善します。

アクセス権リクエストフォームからのグループの除外

デフォルトでは、プロジェクトでロールを持つすべてのグループがアクセス権リクエストフォームに表示されます。特定のグループを非表示にしたい場合は、プロジェクト設定で除外できます。

プロジェクトのアクセス権リクエストフローから除外するグループを設定するには、アクセスパネル > 設定 > プロジェクトアクセスリクエスト に移動します。

プロジェクトの Owner である場合は、管理 ボタンを選択し、リクエストフローで非表示にするグループを選択します。プロジェクトの Owner ではない場合、除外されたグループを確認できる 表示 ボタンが表示されますが、変更することはできません。

グループの除外はプロジェクトごとの設定であり、柔軟に対応できます。あるグループをほとんどのプロジェクトで除外し、特定のプロジェクトでは含めることができます。ユーザーは、その特定のプロジェクトでグループへのアクセス権をリクエストできます。承認されると、そのグループがロールを持つすべてのプロジェクトへのアクセス権が付与されます。

この機能は、管理者グループなどへの誤ったメンバーシップ申請を防ぎながら、指定されたプロジェクトを通じて必要なアクセスを可能にします。

カスタム Approvals アクセス権リクエストポリシー [ベータ版]

グループに対して Manage membership または Manage Permissions 権限を持つユーザーは、選択したグループへのメンバーシップ申請につながるすべての アクセス権のリクエスト に適用されるカスタムポリシーを設定できます。以下に示すように、メンバーシップの承認 セクションから設定できます。

グループにカスタムポリシーが設定されている場合、そのグループへの申請につながるすべてのアクセス権リクエストに影響します。カスタムポリシーは、特定のグループにメンバーを追加する Group membership サブタスクに適用されます。アクセス権リクエストが承認されるには、すべてのサブタスクが承認される必要があります。承認ポリシーは、アクセス権をリクエストする際と、既存のアクセス権リクエストを確認する際の両方で表示されます。

プロジェクトへのアクセス

詳細 タブの隣にある プロジェクトへのアクセス を選択すると、選択したグループのプロジェクトアクセスの詳細を確認できます。

プロジェクトへのアクセス 表示では、グループ管理者はグループがアクセスできるすべてのプロジェクトと、そのグループに付与された具体的なプロジェクトロールを確認できます。この表示は、アクセス権がどのように変わるかを確認できるため、グループにユーザーを追加するか、グループからユーザーを外すかを判断する際に特に役立ちます。

グループ経由で継承された権限を表示する トグルは、デフォルトで on になっており、すべての入れ子のグループをたどって、グループがアクセスできるプロジェクトを確認します。このトグルを off にすると、グループが直接適用されたプロジェクトのみが一覧に表示されます。

グループ名の変更

Manage membership 権限を持つユーザーは、グループ名を変更できます。ユーザーがグループ名を変更すると、いくつかの処理が自動的に行われます。

• 現在のグループの名前が変更され、グループIDはそのまま維持されます。
• 元のグループ名に依存する可能性のあるアプリケーションに対応するため、元の名前を持つ新しいグループが作成されます。
• 元のグループは、名前を変更した新しいグループのメンバーになります。

連絡先詳細の設定

連絡窓口として機能するグループの連絡先詳細を指定できます。manage permissions グループのユーザーは権限を管理できます。ユーザーは、そのグループへの連絡手段を Foundry Issues または指定したメールアドレスにするかを定義できます。

プロジェクトリソースのサイドバーでグループをプロジェクトの連絡先に設定する場合、グループの連絡先詳細を設定しておくと便利です。プロジェクトの所有者は、プロジェクトの概要の プロジェクトの連絡先 セクションで 追加 を選択することで、プロジェクトの連絡先を設定できます。

グループの権限の適用

グループの詳細 ダッシュボードから グループの権限 表示にアクセスします。権限を管理する権限を持つユーザーは、このセクションを使用して、個々のユーザーではなくグループにアクセス権限を付与し、権限の透明性と監査可能性を高めることができます。

グループに権限を付与することは、プロジェクトの権限を割り当てる際に特に有用です。管理者は、前述のプロジェクトへのアクセスタブで、グループがアクセスできるプロジェクトを確認できるためです。各デフォルトロール（閲覧者、編集者、所有者）に対応するグループを 1 個ずつ、少なくとも 3 個のグループを持つプロジェクト設定を推奨します。プロジェクトのデフォルトロールは発見者に設定してください。

制限付きビューのグループ名ポリシー

ポリシーの語句の 1 つとして グループ名 を使用する制限付きビューを作成する場合、グループ名を適切に照合できるように、グループのレルムを指定する必要があります。グループのレルムは プラットフォーム設定 > グループ インターフェースで確認でき、レルム名は制限付きビューのルールエディターの下部で変更できます。

レルム

ユーザーレルム

管理者は通常、Control Panel で外部レルムプロバイダー（SSO、SAML レルム、ADFS など）をセットアップします。必要に応じて、Foundry のプラットフォーム設定には IDプロバイダーの内部実装が用意されています。この内部 IDプロバイダーは、外部認証システムが適していないさまざまな状況で使用できます。

グループの外部レルム

外部レルムは、ADFS などの IDプロバイダーをはじめとする外部システムから直接取得されるグループです。プラットフォーム設定で、IDプロバイダーが割り当てられるレルムを定義します。

外部レルムは Foundry では変更できず、読み取り専用の状態です。名前の変更、グループへのユーザーの追加、属性の変更、新しいグループの作成などの操作は、外部システムでのみ実行できます。外部レルムグループは、Foundry のほとんどの認可および認証関連機能に最適であり、以下が含まれます。 * 任意アクセス制御および強制アクセス制御の割り当て * プラットフォームへのアクセスの許可または拒否（特定のグループに属する一連のユーザーのアクセスを許可または拒否するなど）

外部レルムグループは読み取り専用の状態であるため、ユーザーは Foundry で外部レルムグループに参加するためのアクセス権をリクエストできません。ただし、Control Panel では、ユーザーが外部レルムグループへのアクセス権をリクエストしようとした際に表示されるメッセージを設定できます。Control Panel > 認証 > お使いの SSO > SAML > 管理 > 属性の登録 > 外部グループ管理 に移動して、外部レルムのカスタムメッセージと URL を設定します。外部レルムと同じレルムに属するユーザーのみが、カスタムメッセージと URL を確認できます。以下は、管理者が社内の Jira インスタンスへのメッセージとリンクを追加した例です。

カスタムメッセージを設定すると、プラットフォーム設定でその外部レルムのすべてのグループを表示した際に、このメッセージが表示されます。

ユーザーが、このグループにロールを付与しているプロジェクトへのアクセス権をリクエストしようとすると、メッセージが表示されます。

最後に、外部レルムグループはログイン時の組織の割り当てにも使用できます。多くの場合、顧客の SSO を通じて取得した情報が、ログイン時にユーザーを異なる組織に振り分けるための入力となります。

グループの内部レルム

Foundry で作成されたグループは、内部レルムに割り当てられます。

内部レルムグループは、Foundry 内で変更できます。グループ インターフェースで実行できる操作には、名前の変更、グループへのユーザーの追加、属性の変更、新しいグループの作成などがあります。内部レルムグループは、Foundry レベルの機能へのアクセスを付与するのに最適です。たとえば、許可リストまたは拒否リストに使用するために、サービスユーザーアカウントを内部レルムグループにまとめることができます（ユーザーアカウントの有効期限ルールからサービスユーザーアカウントを除外する場合など）。