ユーザー・権限管理
ユーザーの作成・ロール付与・共有タグの管理。
対象:管理者必要権限:ADMIN / SUPER
ユーザーロール
ロールごとの役割は次のとおり。
| ロール | 説明 |
|---|---|
| ADMIN | システム管理者。管理者設定画面（/admin）の全機能と SUPER の全権限 |
| SUPER | 共有・タグ管理の担当者。管理者設定画面（/admin）以外は ADMIN と同じ |
| USER | 一般ユーザー。上記以外の全機能 |
権限マトリックス
メイン機能（全ロールが利用可）
全ロールが次の機能を使える。
- AIエージェント（チャット）・ドキュメント生成
- ダッシュボード（SQL / BI）・テーブル
- フォルダ・フロー構築
- RAG（Bot の作成・利用）・プロンプト
- 自分の API アクセスキー・自分のチャット履歴・ユーザー設定
ロール限定の機能
次の機能はロールで使えるかどうかが変わる。
| 機能 | ADMIN | SUPER | USER |
|---|---|---|---|
| 共有管理（/share・タグの作成 / ユーザーへのタグ付与） | ✅ | ✅ | ❌ |
| ナレッジのタグ共有設定（履歴共有の受け皿） | ✅ | ✅ | ❌ |
| ユーザー一覧の参照（タグ付与のため。SUPER はタグのみ編集可） | ✅ | ✅ | ❌ |
| 管理者設定画面（/admin）の利用 | ✅ | ❌ | ❌ |
| ユーザーの作成・削除・ロール変更 | ✅ | ❌ | ❌ |
| ライセンス管理 | ✅ | ❌ | ❌ |
| 環境変数・システム設定（書き込み） | ✅ | ❌ | ❌ |
| AD / LDAP 設定 | ✅ | ❌ | ❌ |
| モデル管理 | ✅ | ❌ | ❌ |
| ベンチマーク（性能計測） | ✅ | ❌ | ❌ |
ロールでは変わらない機能（作成者専用）
次のリソースは作成者本人のみが利用・管理する。ADMIN でも他ユーザーのものは参照・利用できない。
ワークフローのステップ（シェル実行・コード実行を含む）は全ユーザーが利用できる（フロー構築）。
ロール別の詳細
ADMIN（システム管理者）
管理者設定画面（/admin）の全機能と SUPER の全権限を持つ。他ユーザーの API キー・接続・ナレッジへの特権はない。
SUPER（共有・タグ管理の担当者）
タグの作成・付与、共有フォルダの閲覧・変更、ユーザー一覧の参照（タグのみ編集可）ができる。管理者設定画面（/admin）は利用できない。
USER（一般ユーザー）
メイン機能をすべて利用できる。共有管理・管理者設定はできない。
保護ルール
注意
ADMIN は常に 1 人以上必要。最後の ADMIN の権限変更・削除、自分自身の削除は不可。
ユーザーを削除すると次のようになる。
- API キー・BI キーと、SQL・ファイル・OAuth の接続を消す
- ワークフロー・ナレッジ・API 接続・保存クエリ・データセットなどは削除した管理者へ引き継ぐ。ワークフローのスケジュールなどの自動実行は止まる
- 個人フォルダ（
FILES_DIR/<ユーザー ID>）は自動では消さずに残る。不要ならサーバー上で消す
ログイン ID・パスワード・セッション
識別子はログイン ID / メールアドレスの 1 欄のみ。メールアドレスでも @ を含まない ID（jsmith）でもよい。
| 項目 | 内容 |
|---|---|
| ログイン ID の形式 | 空白なし 1〜255 文字。大文字小文字は区別しない |
| メールアドレスとの関係 | メール形式なら通知の宛先を兼ねる |
| 設定方法 | [管理] ＞ [ユーザー管理] の作成・編集ダイアログ。初期管理者は admin@local |
| AD / LDAP・OIDC | ディレクトリの属性から自動設定（AD / LDAP・SSO 連携） |
パスワードとセッションの設定。
| 設定 | 内容 | 既定 |
|---|---|---|
PASSWORD_MIN_LENGTH | パスワードの最小文字数 | 8 |
LOGIN_MAX_FAILURES / LOGIN_WINDOW_SEC | 連続失敗で一時ロックする回数 / 秒数 | 無効 |
JWT_EXPIRE_HOURS | セッションの有効期限（共有端末では短く） | 8760（1 年） |
ログアウト・パスワード変更・LDAP 同期での無効化で、そのユーザーの全端末のセッションが失効する。
補足
LDAP / OIDC モードでも、パスワードを持つローカルアカウントはパスワードでログインできる（AUTH_LOCAL_FALLBACK=0 で停止）。
タグを使った共有
タグで Bot を共有する例。
- SUPER が「営業部」タグを作成する。
- SUPER が営業部メンバーに「営業部」タグを付与する。
- USER が Bot を作成し、共有設定で「営業部」タグを選択する。
- 「営業部」タグを持つユーザーのみがその Bot を利用できる。
- タグの作成・付与は ADMIN / SUPER、共有先タグの選択はリソースの所有者が行う
- 共有先は閲覧・利用のみ。編集・削除は所有者のみ
- AD / LDAP 連携時はグループからロール・タグを自動マッピングする（AD / LDAP・SSO 連携）