業務アセットとは
業務アセットとは、YESODが権限を管理する対象1つ分の設定です。その対象にどんな権限があるかの情報を持ちます。Google OAuthやOktaのような外部サービスと連携する場合は、接続情報もあわせて持ちます。
権限セットで定めたあるべき権限と、業務アセットの実際の権限を比べる仕組みはあるべき権限と実際の権限を合わせる仕組みで説明します。
業務アセットの設定は、詳細の画面の左のメニューで登録します。画面の各部は「業務アセット」画面の見かたを参照してください。
なぜ「アセット」と呼ぶのか
管理する対象は、外部SaaSサービスだけではありません。次のようなものも同じ枠組みで扱います。
- 外部SaaSサービス（Google OAuth、Okta、Entra IDなど）
- オンプレミスのシステム（Active Directoryなど）
- システムを伴わない管理（入館証の発行や、貸与品の管理など）
誰に何を与えているかを管理したい対象であれば、システムと接続しなくても業務アセットとして登録できます。
接続しない業務アセットでも、アカウントの作成や削除のタスクを生成できます。ただし、既定では生成しない設定です。
どこから作るか
作成のボタンは「業務アセット」画面にあり、連携する場合と連携しない場合で分かれています。詳しくは「業務アセット」画面の見かたを参照してください。
追加する手順は業務アセットを追加するを参照してください。 接続できるサービスは接続先サービス一覧で確認できます。
業務アセットの中にあるもの
| 名前 | 表しているもの |
|---|---|
| アカウント | 外部サービス側の1人分のアカウント |
| 割当種別 | その業務アセットで管理する権限のまとまり |
| 割当項目 | 割当種別に含まれる個々の権限 |
割当種別の名前は「割当種別名」、個々の権限の名前は「割当名」という入力項目です。
業務アセットと割当・メンバーの関係
アカウントは、名寄せによってメンバーと紐付きます。割当項目は、そのアカウントが持っている権限を表します。
Google OAuthの割当種別は次の3つです。
| 割当種別 | 割当項目の例 |
|---|---|
| 「グループ」 | Developer Team、Sales Team |
| 「組織部門」 | Root、Dev、Sales |
| 「ロール」 | Admin、Developer |
権限セットでは、この割当項目まで指定してあるべき権限を決めます。たとえば、Google OAuthのグループのうちSales Teamを付与する、という粒度です。
割当種別によって振る舞いが変わる
割当種別には、1人が同時にいくつの割当項目を持てるかという性質があります。
| 性質 | 例 |
|---|---|
| 同時に複数持てる | Google OAuthの「グループ」「ロール」 |
| 同時に1つしか持てない | Google OAuthの「組織部門」 |
この性質は、業務アセットの詳細画面の左のメニューの「割当」で、割当種別ごとにラジオボタンで選びます。選択肢は次の2つです。
| 選択肢 | 持てる割当項目の数 |
|---|---|
| 「優先度の高いグループに所属させる」 | 同時に1つだけです |
| 「複数のグループに所属させる」 | 同時に複数持てます |
これらに加えて、アカウントそのものを持つべきかを表す「アカウント」という割当種別が、業務アセットごとに自動で用意されます。
ラジオボタンが表示されない場合がある
ラジオボタンが表示されるのは、手で追加した割当種別だけです。同期で登録した割当種別には表示されません。
割当種別を追加できるのは、接続先サービスと連携しない業務アセットだけです。連携する業務アセットには「割当種別追加」のボタンが表示されません。
そのため、Google OAuthのように接続先サービスと連携する業務アセットでは、この性質を画面から選び直せません。どちらの性質になるかは、接続先サービスと割当種別ごとにあらかじめ決まっています。
どちらの性質かを画面で直接示す表示はありません。「割当」を開いて「上にあるほどロールとしての優先順位が高くなります。」という説明が出ていれば、同時に1つしか持てない割当種別です。
優先度は割当項目の並び順で決まる
「優先度の高いグループに所属させる」を選ぶと、割当項目の並び順がそのまま優先度になります。リストの上にある割当項目ほど、優先度が高くなります。
画面には次の説明が表示されます。
上にあるほどロールとしての優先順位が高くなります。
割当の変わり方でタスクが変わる
「優先度の高いグループに所属させる」を選んだ割当種別では、割当の変わり方によって生成されるタスクが変わります。
| 割当の変わり方 | 生成されるタスク |
|---|---|
| 初めて割当項目を持つとき | 「割当付与」 |
| 別の割当項目に切り替わるとき | 「割当変更」 |
| 割当項目を持たなくなったとき | 生成されません |
「複数のグループに所属させる」を選んだ割当種別では、割当項目を持たなくなったときに「割当剥奪」のタスクが生成されます。
「優先度の高いグループに所属させる」を選んだ割当種別では、メンバーが割当項目を持たなくなってもタスクが生成されません。YESODからは権限を取り上げる操作が実行されません。 退任や異動のときは、接続先サービス側に権限が残っていないかを個別に確認してください。自動では取り上げられませんが、「棚卸し」画面から手で外せます。 手順は権限のズレを直すを参照してください。
タスクについて詳しくはタスクとはを参照してください。
割当種別と割当項目をどう登録するか
登録のしかたは、接続先サービスと連携するかどうかで変わります。
- 連携する業務アセット: 同期で登録します。サービス側にあってYESODにない項目は追加され、YESODにあってサービス側にない項目は削除されます。
- 連携しない業務アセット: 同期する相手がないため、手で入力します。
連携する業務アセットでは、割当種別を画面から削除できません。削除のアイコンは、操作できない状態で表示されます。
注意すべき点
- 作っただけでは動きません。 有効化が必要です。
- 接続先サービスとの同期を実行するかどうかは、「同期の有効化」という別の設定で決まります。
- 有効化と「同期の有効化」の関係は有効化しないと動かない仕組みを参照してください。
- 名寄せに使用する項目を変えると、その業務アセット内の全アカウントとメンバーの紐付けが解除されます。 詳しくはアカウントとメンバーの名寄せを参照してください。
業務アセットを削除すると元に戻せません。削除をどこから実行できるかは「業務アセット」画面の見かたを参照してください。