# ダッシュボードのチームを管理する

ダッシュボードのチームは、KeenAuth アカウントで作業する人々です。環境の設定、エンドユーザーの対応、請求の管理を担当します。チームメンバーは、エンドユーザーや、お客様の組織の管理者とは別のものです。メンバー、保留中の招待、そして Enterprise プランではカスタムロールを確認するには、ダッシュボードで **Team** を開いてください。

1 人が、同じサインインで複数の KeenAuth アカウントに所属することができます。上部バーのアカウント選択で切り替えられます。切り替え先のアカウントで別のサインインが必要な場合は、ダッシュボードから、そのアカウントのために再度サインインするよう求められます。

## 組み込みロール

すべてのメンバーは、1 つ以上のロールの割り当てを持ちます。アカウント全体に割り当てられたロールは、そのアカウントのすべてのプロジェクトと環境に適用されます。

| ロール | できること |
|---|---|
| `owner` | アカウントの解約、オーナー権限の移譲、`production` 環境の作成、環境の削除、発行者モードの変更、プランと請求の変更を含め、すべての操作。 |
| `admin` | オーナーのみに許可された上記の操作と請求以外のすべての操作。チームとカスタムロールを管理できますが、オーナーを招待、割り当て、取り消し、削除することはできません。 |
| `developer` | 環境の設定（アプリケーション、接続、ブランディング、フックなど）を読み取りおよび書き込みできます。管理 API キーと管理クライアントは、`development` 環境と `staging` 環境でのみ作成できます。エンドユーザーの個人データはマスクされて表示され、エンドユーザーに対して操作することはできません。 |
| `support` | 設定、ログ、監査イベントを読み取り、エンドユーザーに対して、ブロック、セッションの終了、認証情報のリセット、ユーザーの削除を行えます。エンドユーザーの個人データは全文が表示されます。設定を変更することはできません。 |
| `billing` | 使用状況、プラン、請求書を確認し、プランを変更できます。環境の設定やエンドユーザーにはアクセスできません。 |
| `viewer` | 設定、ログ、監査イベント、使用状況を読み取れます。エンドユーザーの個人データはマスクされて表示されます。 |

すべてのロールでチームの一覧を確認できます。セキュリティ設定、署名鍵、カスタムドメイン、一括エクスポートとインポート、プラットフォームのサポートアクセス権の付与は、`owner` と `admin` に限定されています。

### 最近のサインインが必要な操作

一部の操作は、直前 5 分以内にサインインしている場合にのみ受け付けられます。それ以外の場合、ダッシュボードから再度サインインするよう求められ、その後に処理が続行されます。

- メンバーの招待、ロールの割り当てと取り消し、メンバーの削除
- カスタムロールの作成、編集、削除
- オーナー権限の移譲とアカウントの解約
- `production` 環境の作成、環境の削除、発行者モードの変更
- プランと請求の変更
- プラットフォームのサポートアクセス権の付与とダッシュボードのセキュリティ設定の変更

## メンバーを招待する

招待できるのは `owner` または `admin` のみです。`admin` は、誰かを `owner` として招待することはできません。

1. **Team** を開き、**Invite a member** を選択します。
2. メールアドレス、ロール、スコープを入力します。`owner` ロールはアカウント全体に対してのみ付与できます。プロジェクトと環境のスコープには Enterprise プランが必要です。詳しくは、後述の「カスタムロールとスコープ付きの割り当て」を参照してください。
3. **Create invitation** を選択します。

ダッシュボードには、招待リンクが 1 回だけ表示されます。その時点でコピーしてください。再表示はできません。ダッシュボードには、招待メールが招待された相手に送信されたかどうかも表示されます。メールは、ダッシュボードの言語、または英語で作成されます。メールが送信されなかった場合は、信頼できる経路で招待された相手にリンクを渡してください。

制限事項は次のとおりです。

- 招待は、作成から 7 日後に期限切れになります。
- 1 つのアカウントは、24 時間に最大 50 件の招待を作成でき、保留中の招待は最大 100 件まで持てます。
- 1 つのアドレスに対して、同じアカウント内で保留中の招待は一度に 1 件のみ持てます。

招待を取り消すには、**Invitations** を開き、**Revoke invitation** を選択します。リンクはすぐに使えなくなります。

### 招待を承諾する

招待された相手は、リンクを開いてダッシュボードにサインインします。招待を承諾できるのは、認証済みのプライマリメールアドレスが招待されたアドレスと一致するダッシュボードユーザーのみです。別のアドレスでサインインしても承諾できません。承諾後、メンバーは招待されたロールで有効になります。

招待には、送信したメンバーの権限が引き継がれます。リンクが使われた時点で、そのメンバーが有効なメンバーではなくなっている場合、または招待されたロールを付与できなくなっている場合、招待は機能しなくなります。期限切れ、使用済み、取り消し済み、または不明なリンクや、誤ったアドレスで開かれたリンクはすべて、同じメッセージが表示されます。招待した人に新しいリンクを依頼してください。

## ロールを変更してメンバーを削除する

**Members** でメンバーのメニューから次の操作を行えます。

- **Assign role** は、割り当てを追加します。メンバーは複数の割り当てを持つことができますが、同じロールを同じスコープに二重に割り当てることはできません。
- **Revoke** は、割り当てを 1 件削除します。
- **Remove member** は、メンバーのすべての割り当てを削除し、そのメンバーシップを終了します。メンバーはすぐにアカウントへのアクセス権を失います。

`admin` は、オーナーの `owner` ロールを取り消したり、オーナーを削除したりすることはできません。アカウントの最後の有効な `owner` は、削除することも `owner` ロールを失うこともできません。そのため、アカウントには常にオーナーが存在します。

ロールが取り消されたり、メンバーが削除されたりすると、その人のダッシュボードのセッションとアカウントへのアクセスも取り消されます。詳しくは、[ダッシュボードアクセスのセキュリティ](/docs/security/dashboard-access) を参照してください。

## オーナー権限を移譲する

オーナー権限を移譲できるのは `owner` のみです。新しいオーナーは、まだオーナーではない別の有効なメンバーで、かつ多要素認証を使ってダッシュボードに少なくとも 1 回サインインしている必要があります。

メンバーのメニューで **Transfer ownership** を選択し、確認のためにメンバー ID を入力します。1 つの操作で、そのメンバーは `owner` になり、あなた自身の `owner` ロールは `admin` になります。オーナーだけが、あなたを再びオーナーにできます。

## カスタムロールとスコープ付きの割り当て

カスタムロールとプロジェクトまたは環境にスコープされた割り当ては、Enterprise プランで利用できます。他のプランでは、ダッシュボードにプランに関する通知付きの **Custom roles** タブが表示され、カスタムロールまたはスコープ付きのロールの割り当ては拒否されます。

### カスタムロールを作成する

`owner` と `admin` のメンバーは、**Team** > **Custom roles** でカスタムロールを管理します。

- **Role key**: 小文字の英字、数字、アンダースコアの 3〜40 文字で、英字で始める必要があります。組み込みロール名は使用できず、後から変更することもできません。
- **Name**: 1〜100 文字。
- **Permissions**: ロールが割り当てられた環境で適用される管理 API の権限。最大 200 件。
- **Dashboard actions**: ダッシュボードにおけるアカウント、プロジェクト、環境、請求に関する操作。

ロールには、少なくとも 1 つの権限またはダッシュボード操作が必要です。次の制限が適用されます。

- オーナーのみに許可された操作（アカウントの解約、オーナー権限の移譲、`production` 環境の作成、環境の削除、発行者モードの変更）は、カスタムロールに含めることはできません。
- 付与できるのは、`production` 環境で自分のロールが持つ権限と操作だけです。ダッシュボードには、それらのみが表示されます。
- ロールを編集するには、現在の内容と新しい内容の両方で、そのロールが持つすべての権限を自分も持っている必要があります。ロールが自分のロールより多くを付与している場合は、アカウントのオーナーに変更を依頼してください。
- 割り当てが残っている、または保留中の招待で指定されているロールは削除できません。先にそれらを取り消してください。アカウントが Enterprise プランから外れた後でも削除は可能です。

メンバーの招待、ロールの割り当て、カスタムロールの管理には、常にアカウント全体に対する組み込みの `owner` または `admin` ロールが必要です。カスタムロールでは、これらのチーム操作は許可されません。

### スコープ付きの割り当て

ロールは、アカウント全体、1 つのプロジェクト（そのプロジェクトのすべての環境）、または 1 つの環境に割り当てることができます。プロジェクトや環境は、そのアカウントに属している必要があります。スコープ付きの割り当てのみを持つメンバーは、それらの割り当てが対象とするプロジェクトと環境のみを確認でき、その環境へのダッシュボードアクセスのみが許可されます。同じ環境を複数の割り当てが対象とする場合、メンバーはその環境で、それらすべての権限を持ちます。

`owner` ロールはスコープを指定できません。

## 関連ページ

- [ダッシュボードアクセスのセキュリティ](/docs/security/dashboard-access)
- [環境間のデータ分離](/docs/security/tenant-isolation)