SteelEngine はポリシーベースのアクセス制御（PBAC）を使用します。ロールは権限カタログにある権限の名前付きセットであり、固定されたアクセスレベルではありません。ロールは、1 つのワークスペースまたは組織全体を対象に、ユーザーやグループへ割り当てられます。
以前の閲覧、編集、管理者レベルは、初期ロールの Viewer、Editor、Workspace Admin に移行されました。既存のアクセス権は自動的に変換されています。
初期ロール
| スコープ | ロール | 初期の用途 |
|---|---|---|
| 組織 | Admin | 組織、アクセス、請求、ワークスペースに対する完全な管理権限 |
| 組織 | Supervisor | 組織の閲覧、ワークスペース作成、メンバー管理。コンテンツへの自動アクセスはなし |
| 組織 | Member | 組織の閲覧、ワークスペース作成、共有認証情報セットの利用 |
| ワークスペース | Workspace Admin | Viewer と Editor の権限に加え、設定、メンバー、API キー、認証情報、Inbox、MCP を管理 |
| ワークスペース | Editor | 閲覧に加え、ワークフロー、ドキュメント、テーブル、ナレッジ、ツール、スキル、通知を変更 |
| ワークスペース | Viewer | ワークスペースのリソースとメタデータを閲覧 |
初期の継承関係は次のとおりです。
Member → Supervisor → Admin
Viewer → Editor → Workspace Admin権限を持つ管理者は、ロール名、権限、継承を変更できます。これらは初期設定であり、変更できない製品ルールではありません。
カスタムロール
組織設定 → アクセス → ロール で、ドキュメント編集者、リリース管理者、データ分析者など、実際の職務に合わせたロールを作成できます。認可では workflow:execute、workspace:update_documents、table:query などの安定したカタログキーが使われます。ロール名だけではアクセスは付与されません。
継承と割り当て
ロールは 1 つ以上のロールを推移的に継承できます。SteelEngine は継承サイクルを防止します。
割り当てには次の要素があります。
- ユーザーまたは権限グループ
- 初期ロールまたはカスタムロール
- 組織全体または 1 つのワークスペース
- 直接、グループ経由、または組織全体という割り当て元
組織スコープの割り当ては、権限が一致するすべての場所に適用されます。ワークスペースの割り当ては、そのワークスペースだけに適用されます。
有効なアクセス権
SteelEngine はリクエストごとに、直接ロール、グループロール、組織スコープとワークスペーススコープの割り当て、ロール継承を組み合わせます。適用対象の明示的な拒否は許可より優先されます。プラン要件や API キーのスコープによって、さらにアクセスが制限される場合があります。
MCP も同じモデルを使用します。tools/list は利用可能性のある操作だけを表示し、tools/call は解決された対象に対して正確なカタログ権限を再確認します。MCP キーの read、write、admin は追加の転送上限にすぎず、ロールの代わりではありません。
有効なアクセス権の計算 と 権限カタログ も参照してください。
認可管理と組織メンバー管理の両方を行えるユーザーが 1 人もいなくなる変更は、SteelEngine によってブロックされます。