コンセプト

RBAC と承認

ロール、スコープ、および運用パブリッシュがどのようにゲートされるか。

Showly のアクセスモデルには 3 つの層があります。ワークスペースの ロール、アクションの スコープ、運用に影響を与える変更の承認です。このページでは、各レイヤーがどのように構成されているかについて説明します。

役割

ユーザーの役割はワークスペースレベルで設定されます。

役割	できること
`owner`	メンバー、トークン、請求、ワークスペースのセキュリティ、プレビュー、ライブ公開、削除、ロールバックを含むフルアクセス。
`member`	プロジェクトとサイトの作成、製品機能の管理、プレビューの作成、ライブの公開。メンバーも課金もありません。
`developer`	既存のサイトとプレビューを管理および公開します。プロジェクトを作成したり、ワークスペースのガバナンスを管理したりすることはできません。
`viewer`	サイト、プロジェクト、展開、通知、およびアフィリエイトデータを読み取ります。
`billing`	プロジェクト/サイトを読み取り、請求、支払い方法、返金、クーポン、財務監査を管理します。どのサイトも書き込みません。

5 つの組み込みが適合しない場合は、ワークスペースで カスタムロール (ロール権限経由) を定義することもできます。

ユーザーはワークスペースごとに最大 1 つのロールを持つことができます。ワークスペース間のメンバーシップは独立しています。あるワークスペースの所有者であることは、別のワークスペースでは何も与えられません。

スコープ

MCP トークン、API トークン、およびサービストークンには、発行者が許可できるものの厳密なサブセットである スコープ が含まれます。スコープは resource:verb ペアを記述します。 10 の MCP スコープは次のとおりです。

project:read
site:read
site:write
preview:read
preview:create
checks:run
publish:request
logs:read
template:read
template:create

大まかに、viewer は基本的な読み取りスコープにマップされます。 member と developer エージェントループで使用されるプレビュー/チェック/パブリッシュ/ログスコープを受信します。 memberはさらにプロジェクトを作成し、より広範な製品管理を行いますアクセスします。 billing は財務スコープを受け取りますが、サイトまたは展開の書き込みは受け取りません。 owner のみがメンバー、招待、トークン、ワークスペースのセキュリティ、および完全なセキュリティを保持します。請求範囲の設定。

トークンは、誰が発行したかに関係なく、そのスコープセット内にあることしか実行できません。所有していないスコープを持つトークンの発行は拒否されます。

正式なスコープとツールの対応表は、スコープとトークンを参照してください。

承認

承認は、運用に影響を与える変更を阻止します。最も一般的なルール: 本番環境への公開には、一連の許可されたロールからの N 人の承認が必要です。

承認リクエストのデフォルト:

requiredApprovals のデフォルトは 1 です。
allowedRoles のデフォルトは空のリストです。これは、すべての役割 が承認できることを意味します。
拒否は最終的なものです。拒否されたリクエストを再承認することはできません。

エージェントが MCP を介して request_publish を呼び出すと、結果の公開リクエストは次のようになります。 requiredApprovals: 1 と allowedRoles: ["owner", "member"] で作成されました。このフローには、approvalWorkflows の権利が必要です。

[ワークスペース設定] → [承認ポリシー] でサイトごとまたはワークスペースごとにカスタマイズします。

職務の分離

ユーザーは 自分のリクエストを承認できません。これはデータモデルレベルで強制されます。公開を提案した場合は、許可されたロールを持つ他の人がそれを承認する必要があります。

監査の対象となるもの

すべてのアクション (エージェント、人間、API) が監査行を書き込みます。

アクター (ユーザー ID + その時点のロール、または MCP クライアント ID + スコープ)
アクション (スコープ動詞 + リソース ID)
結果 (allowed、denied、pending_approval、approved、rejected)
いつ

監査行は追加のみであり、Showly の監査サーフェスを通じて利用できます。外部 SIEM エクスポートは現時点では約束されていません。

緊急オーバーライド

Showly は現在、MCP またはパブリック Web フローを介した emergency パブリッシュバイパスを公開していません。緊急作業は、ready プレビューで承認を迅速化し、それを明示的に公開することで処理されます。 OTP 登録は必要ありません。将来のブレークグラスパスを追加する場合は、次のことを行う必要があります。

それでも承認を通過します (ゲートは認可ではなく承認です)。
特別な emergency=true 監査行を書き込みます。
フォローアップの事後タスクを自動的に開きます。