ユーザー
Administrator または User Administrator が、E メールで新規ユーザーを招待します。ユーザーは、ユーザー名とパスワード（または、アカウントで有効になっている場合は自社の SSO）で Connect AI にサインインします。Administrator は、新規ユーザーに適切なロールを割り当てることができます。 Just-in-Time（JIT）プロビジョニングが有効になっている場合、ユーザーが初めて SSO 経由でサインインしたときに、手動の招待なしでユーザーアカウントが自動的に作成されます。新規ユーザーにはデフォルトの Query システムロールと、デフォルトのコネクション・ワークスペース権限が付与されます。これらは後から Administrator または User Administrator が変更できます。詳しくは Users and Roles および User Provisioning and SSO を参照してください。ロール
ロールとは、管理権限とリソースへのアクセス権限の集合体です。ロールは以下のガイドラインに従います：- 任意のロールを任意のユーザーに割り当てることができます。
- 各ロールには固有の権限があります。
- ロールがユーザーに割り当てられると、そのユーザーはロールに関連付けられたすべての権限を取得します。複数のロールを持つユーザーは、それぞれのロールに関連付けられたすべての権限を持ちます。権限は 加算的 です。ユーザーのアクセス権は、割り当てられたすべてのロールから付与される権限の和集合となり、常に最も寛大な付与が適用されます。あるロールが別のロールから付与されたアクセスを削除または上書きすることはありません。 例えば、ユーザーが role_1 と role_2 を持ち、role_1 にはデータコネクションに対する Select 権限があり、role_2 にはそのデータコネクションへのアクセス権がない場合、role_1 が優先され、ユーザーはデータコネクションにアクセスできます。
権限
権限とは、ロールを構成するよりきめ細かいアクセスレベルです。以下のエンティティ権限を割り当てることができます：権限の文脈では、エンティティ とはデータコネクション（例：Salesforce1）またはワークスペース（例：MyWorkspace）を指します。エンティティはコネクションのロゴで表示され、ワークスペースはフォルダアイコンで表示されます。
- Select: ユーザーがエンティティ内のテーブルから行を選択できるようにします。
- Insert: ユーザーがエンティティのテーブルに行を挿入できるようにします。
- Update: ユーザーがエンティティのテーブルの行を更新できるようにします。
- Delete: ユーザーがエンティティ内のテーブルから行を削除できるようにします。
- Execute: ユーザーがエンティティ内のストアドプロシージャを実行できるようにします。
ユーザー単位で権限を割り当てる
エンティティ権限は、Edit User ページからユーザー単位で付与できます。または Edit Role ページでアクセスロールを定義することにより、複数のユーザーに対して一度に付与できます。権限は加算的に共存します。つまり、ユーザーをロールに割り当てても、そのユーザーに直接付与されている権限が削除されることはありません。
エンティティ単位で権限を割り当てる
権限は、Edit/Add Connection ページまたは Workspace ページからエンティティ単位で割り当てることもできます。例えば、Edit Acumatica Connection ページの Permissions タブでは、コネクションに対する権限を複数のユーザーに一度に付与できます。以下の例では、すべてのユーザーがデータを選択できますが、データを挿入できるのは 3 人のユーザーだけです：
ワークスペースアクセスとソース権限
ワークスペースがソースコネクション由来のアセットを含む場合、そのアセットへのアクセスはソースコネクションの権限ではなくワークスペースの権限によって制御されます。ワークスペースへのアクセス権を持つユーザーは、（ユーザーごとの権限またはロールを介した）基盤となるソースコネクションへのアクセス権の有無に関係なく、そのワークスペース内のアセットにアクセスできます。 このワークスペーススコープのアクセスは、ワークスペースがツールキットに追加され、カスタム MCP エンドポイント経由で AI に公開されている場合にも適用されます。つまり、ユーザーがワークスペースへのアクセス権を付与されている場合、そのアセットの取得元であるソースコネクションへのアクセス権を持っていなくても、カスタム MCP エンドポイント経由でそのワークスペース内のアセットにアクセスできます。認証パターン
サービスアカウント（共有）認証
デフォルトでは、アカウントのすべてのユーザーが、サービスアカウント（共有認証）を使用してデータソースのデータにアクセスできます。サービスアカウント認証は、ユーザー固有の権限を含まない読み取り専用のデータソース、またはユーザーごとの認証がないシステムに使用します。 例えば、サービスアカウント（共有認証）を使用したSalesforce へのコネクションがある場合、すべてのユーザーアカウントは、そのSalesforce コネクション用に作成されたSalesforce アカウントのデータにアクセスできます。クエリ権限はユーザーごとにカスタマイズして利用可能な操作を制限できますが、これらの制限の下ですべてのユーザーは同じデータにアクセスします。ユーザーごとの認証
特定のデータソースは、アカウントの各ユーザーに対して、自身のログイン認証情報でコネクションにログインすることを強制する機能をサポートしています。規制要件に準拠する場合や、ユーザーごとに異なるデータの場合は、ユーザーごとの認証を使用してください。ユーザーごとの認証により、ユーザーは自身がアクセスする必要があるアカウントのデータのみにアクセスできます。さらに、この方法でコネクションを構成すると、アカウントの最大数に対して単一のコネクションスロットとしてのみカウントされます。 データソースがユーザーごとの認証をサポートしている場合、コネクション設定の Authentication セクションの下に Authentication Model セクションが表示されます。Shared Authentication または Per-User Authentication のいずれかを選択します。
この機能には以下の制限が適用されます：