権限付与
権限付与は、誰に・どのロールを・どの種類で 与えるかを決める操作です。
ロールを定義しただけでは誰もそのロールを持たないので、ユーザーまたはグループへの付与が必要です。
付与の2つの経路
| 経路 | 向いている場面 |
|---|---|
| ユーザーに直接付与 | 個人固有の権限。例外対応 |
| グループに付与 | 同じ権限のメンバーが複数いる。年度ごとにまとめて管理する |
グループ経由の付与は グループ で詳しく説明します。ここでは両方の共通概念を扱います。
権限の種類
ロールを付与するとき、次の2種類から選びます。これは Nogiku Console 上で、そのロールの権限付与を編集できるかどうか を区別するものです。連携システム側の権限判定には使われません。
| 種類 | CONSOLE 上の表示 | 意味 |
|---|---|---|
| アクセスのみ | アクセスのみ | そのロールを持つが、CONSOLE 上でそのロールへの権限付与を編集できない |
| アクセスと管理 | アクセスと管理 | そのロールを持ち、CONSOLE 上でそのロール（および継承上有効な子孫ロール）への権限付与を編集できる |
INFO
連携システムがユーザーの操作範囲の判定に用いるのは、付与されたロール名（例：users:read）です。「アクセスのみ」「アクセスと管理」の区別は連携システム上の操作に関わることはありません。
階層ロールとの組み合わせ
継承が有効な子ロールがある場合、親ロールへの付与だけで子ロールも伝播します。
例：
- ユーザーAに
users（親）をアクセスのみで付与 - 子
read（継承あり）も自動的に付与された状態になる
子ロールに直接付与する必要はありません。設計時に「どのレベルに付与するか」を決めておくと運用が楽です。
設定手順
ロール詳細から付与する
- システム画面 で対象システムを開く
- 付与したいロールを選び、詳細画面を開く
- ユーザーまたはグループの追加 UI から対象を選ぶ
- 権限の種類（アクセスのみ / アクセスと管理）を選ぶ
- 保存する
付与を解除する
同じロール詳細画面から、付与済みのユーザーまたはグループを削除します。
付与状況を確認する
- ロール詳細 … そのロールに誰が付与されているか
- ユーザー画面 のプロフィール … そのユーザーが持つロール一覧（間接的な確認。詳細は [基本プロフィール](/docs/admin/user/profile)）
注意点
直接付与とグループ付与の重複
同じロールが、ユーザーへの直接付与とグループ経由の両方で付くことがあります。結果として権限が二重に付いているわけではありませんが、どちら経由か分かりにくくなることがあります。基本はグループ経由、例外だけ直接の運用がおすすめです。
付与してもすぐ反映されないことがある
すでにサインイン済みのユーザーには、古いセッション情報が残ることがあります。権限変更後はサインインし直してもらうと確実です。
よくある質問
Q. アクセスのみとアクセスと管理、どちらを選べばよい？
A. CONSOLE 上でそのロールの権限付与を自分で行う必要がある人（局の担当者など）にはアクセスと管理、ロールを使うだけで付与作業はしない人にはアクセスのみ、という切り分けが基本です。
Q. ロールを付けたのにシステムに入れない
A. (1) 付与したロールがそのシステムのものか (2) 継承の設定 (3) サインインし直したか、を確認してください。承認待ちユーザーはそもそも SSO できない場合があります。