第4章 ロールベースのアクセス制御によるアクセス管理
ロールベースのアクセス制御 (RBAC) は、Ansible Automation Platform で割り当てられている組織内のユーザーのロールに基づいて、ユーザーアクセスを制限します。RBAC のロールとは、ユーザーが Ansible Automation Platform のコンポーネントとリソースに対して持つアクセスレベルを指します。
RBAC ポリシーに応じて、Ansible Automation Platform のコンポーネントを使用してユーザーが実行できる操作を大まかなまたは詳細なレベルで制御できます。ユーザーがシステム管理者であるか標準ユーザーであるかを指定し、ロールとアクセス権限を組織内のポジションに合わせて調整できます。
ロールは複数の権限で定義でき、その後リソース、チーム、ユーザーに割り当てることができます。ロールを構成する権限が、その割り当てられたロールで許可される内容を決定します。権限は、ユーザーが自分のロールに適したタスクを実行するために必要なアクセスのみに割り当てられます。
ユーザー、チーム、組織を管理する場合は、Event-Driven Ansible Controller を含むすべてのプラットフォームコンポーネント間でリアルタイムな同期を確保するため、Unified UI またはプラットフォームゲートウェイ API を使用してください。レガシーの Automation Controller API を使用する場合、変更が Event-Driven Ansible Controller に伝播されるまでに最大 15 分かかることがあり、その結果、新しいユーザーまたはチームで認証エラーが発生する可能性があります。
4.1. 組織 リンクのコピーリンクがクリップボードにコピーされました!
組織は、プロジェクト、インベントリー、認証情報などのリソースをグループ化したものです。最初にユーザーとチームを組織に割り当て、次にそれらのユーザーとチームに組織内で定義されたロールを割り当てることで、組織内のリソースへのきめ細かなアクセスを定義できます。
管理者は、組織を使用してリソースのグループを整理できます。チームまたはユーザーを組織に割り当てると、そのチームまたはユーザーは組織内のリソースにアクセスできるようになります。これにより、管理者は、新しいリソースが利用可能になった際に個々のチームとユーザーにアクセス権を付与する必要がなくなり、チームとユーザーは組織に追加されたときに新しいリソースにアクセスできるようになります。
組織を作成すると、Ansible Automation Platform に組織の詳細が表示されます。その後、組織のアクセス環境や実行環境などのリソースを管理できます。
Ansible Automation Platform は、デフォルトの組織を自動的に作成します。Self-Support レベルのライセンスをお使いの場合は、デフォルトの組織しか使用できないため、デフォルトの組織を削除しないでください。
4.1.1. Organizations リストビュー リンクのコピーリンクがクリップボードにコピーされました!
Organizations ページには、インストールの既存の組織が表示されます。ここから、特定の組織を検索したり、組織のリストをフィルタリングしたり、リストの並べ替え順序を変更したりできます。
手順
-
ナビゲーションパネルから、
を選択します。 - Search バーに、検索する組織の適切なキーワードを入力し、矢印アイコンをクリックします。
- メニューバーから、Name の矢印を使用して並べ替えの設定を切り替えることで、組織のリストを並べ替えることができます。
- Sort リストから、Name、Created、または Last modified を選択して、リストを並べ替えることもできます。
- Organizations ページで組織 Name をクリックすると、組織の詳細を表示できます。
4.1.2. 組織の作成 リンクのコピーリンクがクリップボードにコピーされました!
Ansible Automation Platform は、デフォルトの組織を自動的に作成します。Self-Support レベルのライセンスをお使いの場合は、デフォルトの組織しか使用できないため、デフォルトの組織は削除できません。
手順
-
ナビゲーションパネルから、
を選択します。 - をクリックします。
組織の 名前 を入力し、説明 を入力します。
注記プラットフォーム上で Automation Controller が有効になっている場合は、ステップ 4 に進みます。そうでない場合は、ステップ 6 に進みます。
- Execution environment の名前を選択するか、この組織のメンバーが自動化を実行するために使用できる実行環境を検索します。
- この組織を実行する Instance Groups の名前を入力します。
- オプション: Galaxy credentials を入力するか、既存の認証情報のリストから検索します。
この組織の Max hosts を選択します。デフォルトは 0 です。この値が 0 の場合、制限がないことを示します。ホストの上限に達したか、上限を超えた組織にホストを追加しようとすると、次のエラーメッセージが表示されます。
You have already reached the maximum number of 1 hosts allowed for your organization. Contact your System Administrator for assistance.
You have already reached the maximum number of 1 hosts allowed for your organization. Contact your System Administrator for assistance.Copy to Clipboard Copied! Toggle word wrap Toggle overflow - をクリックします。
1 つ以上のインスタンスグループを選択した場合は、リスト内でインスタンスグループを上下にドラッグアンドドロップし、 をクリックすることで、順序を管理できます。
注記実行の優先順位は、インスタンスグループがリストされている順序によって決まります。
- をクリックして、組織の設定を確認します。
- をクリックします。
4.1.3. 組織へのアクセス リンクのコピーリンクがクリップボードにコピーされました!
Organizations リストビューから組織を選択し、Users、Administrators、または Teams にアクセスを提供するための関連タブを選択することで、組織へのアクセスを管理できます。
4.1.3.1. 組織へのユーザーの割り当て リンクのコピーリンクがクリップボードにコピーされました!
ユーザーを組織に割り当て、そのユーザーに関連付けられた組織ロールを管理することで、ユーザーにその組織、そして組織内のリソースへのアクセス権を付与できます。
組織の Users タブでは、組織に関連付けられているユーザーのリストと、各ユーザーに直接割り当てられているロールを表示できます。Users タブでユーザーの組織ロールを管理する場合、そのロールが間接的か、チームとの関連付けを通じてか、管理者による直接的なユーザー割り当てを通じてかなど、ユーザーにどのように割り当てられたかを確認することもできます。
ユーザーに「チームメンバー」ロールが割り当てられている場合、これは間接的に割り当てられたロールがあることを示している可能性があります。ユーザーに間接的に割り当てられたロールを確認するには、鉛筆アイコン
をクリックしてロールを表示および管理します。続いて、ページバナーの View indirectly-assigned organization roles というリンクをクリックします。
ユーザーを組織に割り当てるには、そのユーザーがすでに存在している必要があります。詳細は、ユーザーの作成 を参照してください。ユーザーにロールを割り当てるには、そのロールがすでに存在している必要があります。詳細は、ロールの作成 を参照してください。
手順
-
ナビゲーションパネルから、
を選択します。 - Organizations リストビューから、ユーザーを追加する組織を選択します。
- Users タブをクリックし、 をクリックしてユーザーを追加します。
- 名前の横にあるチェックボックスをクリックして、リストから 1 人以上のユーザーを選択し、メンバーとして追加します。
- をクリックします。
選択したユーザーに付与するロールを選択します。下にスクロールして、ロールの完全なリストを表示します。
注記プロジェクトや認証情報などのリソースは、Automation Execution (Automation Controller) と Automation Decisions (Event-Driven Ansible) の両方に関連付けることができるため、正しいコンポーネントコンテキスト内で目的のロールを選択していることを確認してください。
- をクリックして、ロールの設定を確認します。
をクリックすると、選択したユーザーにロールが適用され、メンバーとして追加されます。Add roles ダイアログに、各ユーザーに割り当てられた更新されたロールが表示されます。
注記組織に関連付けられたロールを持つユーザーは、組織から削除されると、そのロールを失います。
- 特定のユーザーを組織から削除するには、ユーザーの横にある ⋮ リストから Remove user を選択します。これにより確認ダイアログが起動し、削除を確定するように求められます。組織からユーザーを削除すると、その特定の組織からユーザーに間接的に割り当てられているすべての組織ロールも削除されることに注意してください。
- 組織内のユーザーのロールを管理するには、ユーザーの横にある ⚙ アイコンをクリックし、Manage roles を選択します。チェックボックスを選択または選択解除することで、ユーザーに直接割り当てられた組織ロールを管理できます。コンポーネント列を再確認して、正しいコンポーネントコンテキストで目的のロールを選択していることを確認します。
この画面では、ユーザーがチームの割り当てから継承した間接的に割り当てられたロールを表示することはできますが、管理することはできません。間接的に割り当てられたロールと、そのロールの元のチーム割り当てを表示するには、ページ見出しの下のバナーにある View indirectly-assigned organization roles リンクをクリックします。チームの割り当てを通じてユーザーに間接的に割り当てられたロールを管理するには、そのチームのロールの割り当てを管理する か、そのチームからユーザーを削除します。
4.1.3.2. 組織に管理者を割り当てる リンクのコピーリンクがクリップボードにコピーされました!
組織に管理者を追加すると、この管理者は組織のメンバーシップと設定を管理できるようになります。たとえば、組織内に新しいユーザーやチームを作成したり、組織内のユーザーに権限を付与したりできます。組織に管理者を追加するには、ユーザーがすでに存在している必要があります。
手順
-
ナビゲーションパネルから、
を選択します。 - Organizations リストビューから、ユーザー、管理者、またはチームを追加する組織を選択します。
- Administrators タブをクリックします。
- をクリックします。
- 名前の横にあるチェックボックスをクリックしてリストからユーザーを選択し、そのユーザーにこの組織の管理者ロールを割り当てます。
- をクリックします。
組織から特定の管理者を削除するには、管理者名の横にある More actions ⋮ リストから Remove administrator を選択します。これにより確認ダイアログが起動し、削除を確定するように求められます。
注記ユーザーが以前にこの組織のメンバーとして追加されていた場合、そのユーザーは引き続きこの組織のメンバーになります。ただし、管理者の割り当て時に組織に追加された場合は、組織から削除されます。
4.1.3.3. 組織にチームを割り当てる リンクのコピーリンクがクリップボードにコピーされました!
組織の Teams タブでチームにロールを割り当てることで、組織とその組織内のリソースへのチームアクセスを付与できます。組織に割り当てられたチームに所属するすべてのユーザーは、そのチームの組織ロールの割り当てを継承します。チームにロールを割り当てるには、そのチームが組織内にすでに存在している必要があります。詳細は、チームの作成 を参照してください。チームにロールを割り当てるには、そのロールがすでに存在している必要があります。詳細は、ロールの作成 を参照してください。
手順
-
ナビゲーションパネルから、
を選択します。 - Organizations リストビューから、チームアクセスを割り当てる組織を選択します。
- Teams タブをクリックします。チームが存在しない場合は、 をクリックしてチームを作成し、この組織に割り当てます。
- をクリックします。
選択したチームに割り当てるロールを選択します。下にスクロールして、ロールの完全なリストを表示します。
注記プロジェクトや認証情報などのリソースは、Automation Execution (Automation Controller) と Automation Decisions (Event-Driven Ansible) の両方に関連付けることができるため、正しいコンポーネントコンテキスト内で目的のロールを選択していることを確認してください。
- をクリックして、ロールの設定を確認します。
- 選択したチームにロールを適用するには、 をクリックします。Assign roles ダイアログには、各チームに割り当てられた更新されたロールが表示されます。
をクリックします。
注記関連するロールを持つチームは、別の組織に再割り当てされた場合でも、それらのロールを保持します。
- 組織内のチームのロールを管理するには、ユーザーの横にある ⚙ アイコンをクリックし、Manage roles を選択します。
4.1.3.4. 組織の削除 リンクのコピーリンクがクリップボードにコピーされました!
組織を削除するには、組織管理者またはシステム管理者である必要があります。組織を削除すると、その組織、チーム、ユーザー、リソースが Ansible Automation Platform から完全に削除されます。
他のリソースによって使用されている項目を削除しようとすると、削除によって他のリソースに影響が及ぶ可能性があることを警告するメッセージが表示され、削除の確認を求められます。一部の画面には、無効な項目または以前に削除された項目が含まれているため、実行に失敗します。
手順
-
ナビゲーションパネルから、
を選択します。 - 削除する組織の横にある ⋮ アイコンをクリックし、Delete organization を選択します。
確認のチェックボックスを選択し、 をクリックして削除を続行します。それ以外の場合は、 をクリックします。
注記削除する各組織の横にあるチェックボックスをオンにし、メニューバーの More actions ⋮ リストから Delete selected organizations を選択すると、複数の組織を削除できます。
4.1.4. 通知機能の使用 リンクのコピーリンクがクリップボードにコピーされました!
プラットフォームで Automation Controller が有効になっている場合は、設定した通知機能の統合を確認し、組織リソース内でその設定を管理できます。
手順
-
ナビゲーションパネルから、
を選択します。 - Organizations リストビューから、通知を管理する組織を選択します。
- Notification タブを選択します。
- トグルを使用して、特定の組織で使用する通知を有効または無効にします。詳細は、通知の有効化と無効化 を参照してください。
-
通知機能がセットアップされていない場合は、ナビゲーションパネルから
を選択します。
関連情報
4.1.5. 実行環境の操作 リンクのコピーリンクがクリップボードにコピーされました!
プラットフォーム上で Automation Controller が有効になっている場合は、セットアップした実行環境を確認し、組織リソース内でその設定を管理できます。
実行環境の詳細は、「自動化実行の使用」ガイドの 実行環境 を参照してください。
手順
-
ナビゲーションパネルから、
を選択します。 - Organizations リストビューから、実行環境を管理する組織を選択します。
- Execution Environments タブを選択します。
-
実行環境が利用できない場合は、 をクリックして実行環境を作成します。または、ナビゲーションパネルから
を選択して、実行環境を作成することもできます。 をクリックします。
注記新しい実行環境を作成したら、
に戻り、実行環境を作成した組織を選択して、そのタブのリストを更新します。 - 特定の組織で使用する実行環境を選択します。