このガイドでは、組織設定 → コネクタページで利用できるコネクタのロールベースのアクセス制御について、エンタープライズの管理者およびIT管理者向けに説明します。有効化トグル、コネクタごとのロールリスト、有効化の流れ、バックフィルの動作、新しいコネクタに対する組織全体のデフォルトを取り上げます。
概要
ロールベースのアクセス制御を使用すると、組織内のどのロールが各コネクタを使用できるかを決定できます。これは、コネクタを組織で利用可能にするかどうかという既存の制御に加わるものです。従来の「全員に対してオン、または全員に対してオフ」というモデルに代わり、Enterprise の役割と権限で説明されているものと同じロールとグループの構造に従って、対象を絞ってアクセス権を付与します。
各コネクタには、互いに独立した2つの制御があります。
有効： コネクタのグローバルスイッチです。オフの場合、ロールに関係なく、すべてのメンバーがコネクタを利用できません。オンの場合、誰がアクセスできるかを選択します。
ロールアクセス： コネクタを有効にするときに、全メンバー、Admin、または選択したロールを選択します。全メンバーを選択すると全員にアクセス権が付与されます。Adminを選択すると、Adminロールを持つメンバーのみにアクセスが制限されます。選択したロールを選択すると、特定のカスタムロールにアクセスを制限できます。ロールの割り当ては、コネクタを有効にする前でも後でも行えます。有効化の際に選択したロールを選択した場合は、有効化した後にロールを指定する必要があります。有効なコネクタは、少なくとも1つのロールが割り当てられている場合にのみアクセスできます。
メンバーがコネクタにアクセスできるのは、コネクタが有効になっていて、そのメンバーに割り当てられたロールの少なくとも1つがコネクタのロールリストに含まれている場合のみです。
これらの制御を設定するには、Enterprise の役割と権限で説明されているManage connector defaultsロール権限が必要です。
利用可否について： コネクタのロールベースのアクセス制御は、営業サポート付きのEnterpriseプランで利用できます。カスタムロール、グループ管理、SCIMディレクトリグループ同期も、組織のプランによって利用可否が異なります。
ご興味がある場合は、営業チームとのデモをご予約ください。
重要な理由
機密データの範囲を限定する。 組織の全員に公開することなく、Snowflakeをデータサイエンスのロールに、Microsoft 365をナレッジチームに、Salesforceをレベニューオペレーションに付与できます。
段階的なパイロットを実施する。 新しいコネクタをまずパイロット用のロールに対して有効にし、フィードバックを集めてから、ロールを追加してアクセスを広げます。
SCIMやグループとの整合性を保つ。 アクセスはロールによって決まるため、ID プロバイダーで行ったグループやSCIMの割り当ては自動的に反映されます。
始める前に
管理者であるか、ロールにManage connector defaults権限が含まれている必要があります。
ウェブ上で組織設定 → コネクタにアクセスできる必要があります。
設定したいコネクタが、すでに組織に追加されている必要があります。
制御の仕組み
基本ロール：全メンバーとAdmin
すべての組織には、コネクタのロールリストに追加できる2つの基本ロールがあります。
全メンバー — 組織のすべてのメンバーにアクセス権を付与します。
Admin — 組織の管理者のみにアクセス権を付与します。一般アクセスが選択したロールに設定されている場合、Adminは常にアクセス権を持つロールの下に表示され、アクセスのオン/オフを切り替えるためのチェックボックスが付いています。
どちらの基本ロールも、単独で、両方一緒に、または組織用に作成したカスタムロールと組み合わせてリストに追加できます。
全メンバーがリストにある場合、すべてのメンバーがすでにアクセス権を持っているため、同じリストにあるカスタムロールは重複しています。Perplexityはそれらのカスタムロールを削除しないため、後で全メンバーを削除すると、コネクタはアクセス不可になるのではなく、それらのカスタムロールに戻ります。
例えば、コネクタのロールリストが全メンバー + Data Scienceの場合：
全メンバーがリストにある間は、組織の全員がアクセスできます。
全メンバーを削除すると、Data Scienceロールのメンバーのみがアクセス権を保持します。
管理者は、Adminロールがロールリストにない場合でも、有効なコネクタを設定するための潜在的なアクセス権を常に保持します。ランタイムアクセス、つまりセッション内で実際にコネクタを使用する権限には、引き続きAdminがリストに含まれている必要があります。
アクセス権を付与せずにコネクタを有効にする
選択したロールを選択すると、ロールを追加せずにコネクタがオンになります。コネクタは有効なままですが、少なくとも1つのロールを追加するまで、どのメンバーも使用できません。
全メンバーまたはAdminを選択すると、コネクタが有効になった時点ですぐにアクセス権が付与されます。
アクセス権の決定方法
メンバーがコネクタを使用しようとすると、Perplexityは次の点を確認します。
コネクタは有効になっているか？ 有効でない場合、アクセスはブロックされます。
メンバーのロールの少なくとも1つがコネクタのロールリストにあるか？ ある場合、アクセスが許可されます。
それ以外の場合、明確な理由とともにアクセスがブロックされます。
制御はエージェントのランタイムが開始される前にサーバー側で適用されるため、ブロックされたコネクタの呼び出しでクレジットが消費されたり、サンドボックスが起動したりすることはありません。制御は、エージェント、CLI、スケジュールされたタスク、およびプロジェクトやBrainの範囲で行われるコネクタの使用全体に一貫して適用されます。
手順
コネクタを有効にしてアクセス権を付与する
組織設定 → コネクタに移動します。
有効にしたいコネクタを選択します。
コネクタのトグルをオンにします。誰にアクセス権を付与するかを尋ねるダイアログが開きます。
全メンバー、Admin、または選択したロールを選択します。
有効にするを選択します。
選択したロールを選択した場合は、コネクタを開き、アクセス権を付与するロールを追加します。
全メンバーまたはAdminを選択すると、すぐにアクセス権が付与されます。選択したロールを選択すると、1つ以上のロールを追加するまで、コネクタはロールアクセスのない有効な状態のままになります。ダイアログをキャンセルすると、コネクタは無効のままになります。
有効なコネクタにロールを追加する
組織設定 → コネクタからコネクタを開きます。
アクセスタブで、一般アクセスが選択したロールに設定されていることを確認します。
アクセス権を持つロールの下にあるロールを検索…フィールドで、アクセス権を付与したいロールを検索します。
ロールを選択して、アクセス権を持つロールに追加します。
新しく追加したロールのメンバーは、すぐにアクセス権を得ます。
有効なコネクタからロールを削除する
組織設定 → コネクタからコネクタを開きます。
アクセスタブのアクセス権を持つロールで、削除したいロールを見つけます。
ロールの横にあるチェックボックスをオフにします。確認ダイアログには、ロール名とコネクタ名が表示されます。
アクセスを削除を選択します。
リスト上の別のロールでもカバーされていない限り、そのロールのメンバーはすぐにアクセス権を失います。
コネクタを無効にする
組織設定 → コネクタからコネクタを開きます。
コネクタのトグルをオフにして無効にします。確認ダイアログには、コネクタ名とアクセス権を失うロールが表示され、ロール設定が保存されることが示されます。
無効にするを選択します。
コネクタは無効になり、組織のどのメンバーも使用できなくなります。ロール設定は保存されるため、後でコネクタを再びオンにすると、同じロールに再びアクセス権が付与されます。
新しいコネクタのグローバルデフォルトを設定する
グローバルデフォルトは、Perplexityが新しいコネクタを組織に提供したときの動作を決定します。組織レベルで一度設定します。
組織設定 → コネクタに移動します。
ページ上部にあるメンバーにカスタムコネクタの追加を許可の下で、新しいコネクタ設定を見つけます。この設定は、Perplexityに新しく追加されたコネクタを、組織で最初から有効にするかどうかを制御します。
ドロップダウンを開き、次のいずれかを選択します。
全メンバーに対して有効 — 新しいコネクタは、ロールリストに全メンバーが含まれた有効な状態で追加されます。
管理者に対して有効 — 新しいコネクタは、ロールリストにAdminが含まれた有効な状態で追加されます。
無効 — 新しいコネクタは、ロールリストが空の無効な状態で追加されます。誰かが使用できるようになる前に、管理者が特定のロールまたは全メンバーに対して有効にする必要があります。
エンタープライズ組織に推奨されるデフォルト：無効。これにより、メンバーが使用できるようになる前に、新しいコネクタが管理者によって確認されます。
動作確認の方法
コネクタのアクセスタブで、アクセス権を持つロールに想定どおりのロールが表示され、その数が追加したロールの数と一致しています。
ロールがリストにあるメンバーはコネクタを使用できます。ロールがリストにないメンバーには、明確な「アクセス権なし」のメッセージが表示されます。
組織の監査ログには、有効化、無効化、ロールの変更が該当するコネクタイベントとして記録されます。
導入時のバックフィルの動作
組織がコネクタのロールベースのアクセス制御にアップグレードされると、既存のコネクタは次のように移行されます。
現在無効になっているコネクタは、ロールリストが空の無効な状態のままになります。誰かが使用できるようになる前に、管理者が各コネクタを特定のロールまたは全メンバーに対して有効にする必要があります。
現在有効になっているコネクタは、全メンバーがリスト上の唯一のロールである有効な状態に移行されます。カスタムロールはリストにバックフィルされません。
これにより、初日から現在のメンバーのアクセス範囲が維持され、管理者はアクセスを絞り込むためのクリーンな出発点を得られます。すでに有効になっているコネクタを特定のロールに制限するには、全メンバーを削除し、必要なロールを追加します。
メンバーの表示内容
見つけるでは、メンバーが使用できないコネクタは鍵アイコン付きで薄く表示され、カーソルを合わせると理由が表示されます。メンバーが使用できないコネクタは、そのコネクタの個別ページで利用不可として表示され、コネクタの選択画面には表示されません。メッセージはコネクタの状態によって異なります。
コネクタが無効 — 「見つける」のカードとプラグインのページの両方に組織によって無効にされていますと表示されます。
コネクタは有効だが、メンバーのロールがいずれもリストにない — 「見つける」のカードには「Not available to your role」と表示され、プラグインのページではコネクタに利用不可と表示されます。
プランの制限 — コネクタにアップグレードが必要と表示され、ツールチップに「ご利用のプランにはこのコネクタが含まれていません」と表示されます。
アクセス権を得るには、メンバーは管理者に依頼して、自分のロールのいずれかをコネクタのロールリストに追加してもらうことができます。
セッションの途中でエージェントがブロックされたコネクタに到達した場合、エージェントはメンバーのロールにアクセス権がないことを伝え、管理者に依頼するよう提案します。
よくある設定例
次の表は、エンタープライズの管理者がよく適用する3つのアクセスポリシーを示しています。
| ポリシー | 有効 | ロールリスト |
|---|---|---|
| 組織全体で利用可能 | オン | 全メンバー |
| 管理者のみ利用可能 | オン | Admin |
| カスタムロールへのパイロット展開 | オン | Data Science（カスタムロール） |
注意事項
ユーザー単位の許可や拒否はありません。 アクセスはロールのメンバーシップによって決まります。ロールとは無関係に、個々のメンバーを許可または拒否することはできません。
リストにロールが1つあれば十分です。 ロールはアクセス権を付与するものであり、取り除くことはありません。2つのロールを持つメンバーは、どちらかのロールがリストにあればコネクタにアクセスできます。そのため、一方のロールを追加してアクセスを許可し、もう一方のロールでブロックすることはできません。
ツールレベルの権限は別に管理されます。 メンバーがコネクタ内の個々のツール（例えば、Slackでの送信とSlackでの検索）を呼び出せるかどうかは、コネクタの基本ツール権限タブで設定するツール権限によって決まります。ロールベースのアクセス制御はそもそも誰がコネクタにアクセスできるかを決定し、ツールの制御はその中で何が実行されるかを決定します。
全メンバーはカスタムロールより優先されます。 全メンバーがリストにある場合、同じリストにあるカスタムロールは重複しています。これらのロールは保持されるため、全メンバーを削除すると、コネクタは以前に設定されたカスタムロールのセットに戻ります。
カスタムロールを削除すると、そのロールが含まれるすべてのコネクタに影響します。 そのロールがコネクタのロールリストの唯一のエントリである場合、コネクタは有効なままですが、別のロールを追加するまで誰も使用できません。
無効なコネクタはロールリストを保持します。 コネクタを無効にして後で再びオンにすると、以前にアクセス権を持っていたロールに再びアクセス権が付与されます。アクセスできる人を変更するには、オンにする前または後にアクセスタブでロールを編集します。
OAuthの許可はロールベースのアクセス制御によって変更されません。 コネクタからロールを削除しても、メンバーがすでに完了したサードパーティのOAuthの許可は取り消されません。OAuthの許可を取り消すには、プラグイン → インストール済みでアカウントを切断するか、プロバイダーの管理コンソールで取り消してください。
プラグイン内のコネクタ
プラグインは、個人向けプランと Self-Serve Enterprise 組織から順に段階的に提供されており、営業担当経由の Enterprise プランにも近日提供予定です。それまでは、メンバーと管理者は引き続き Connectors と Skills をご利用ください。
ロールによるアクセス権と有効の切り替えは、プラグイン内のコネクタにも適用されます。プラグインがこれらの制御を回避したり、コネクタへのアクセス権を付与したりすることはできません。
プラグインはプラグインページに表示され続けます。ブロックされた各コネクタには組織によって無効にされていますまたは利用不可と表示され、プランの制限がある場合はアップグレードが必要と表示されます。メンバーはプラグインをインストールして、他のコンポーネントを利用できます。メンバーによるツールの使用を止めるには、プラグインではなくコネクタを無効にしてください。
トラブルシューティング
| 発生している症状 | 考えられる原因 | 解決方法 |
|---|---|---|
| 使用できるはずのメンバーがコネクタを使用できない。 | メンバーのロールがいずれもコネクタのロールリストにない。 | コネクタを開いてメンバーが持つロールを追加するか、すでにリストにあるロールにメンバーを追加します。 |
| ロールを削除した後も、メンバーがアクセスできる。 | コネクタのリスト上の別のロールがまだそのメンバーをカバーしているか、メンバーがリスト上のロールに割り当てられたグループに属している。 | メンバーが持つすべてのロールとグループを確認し、必要に応じて追加の付与を削除します。 |
| コネクタは有効だが、誰も使用できない。 | コネクタがロールを選択していない選択したロールに設定されているか、唯一のロールが削除された。 | コネクタを開き、アクセスタブでロールを追加するか、一般アクセスを全メンバーに切り替えます。 |
| 新しく提供されたコネクタが、確認する前に全員に利用可能になっている。 | 組織の新しいコネクタの設定が全メンバーに対して有効になっている。 | 新しいコネクタを無効に変更して、新しいコネクタが無効な状態で追加され、管理者の確認が必要になるようにします。 |
| 管理者がコネクタを設定できるが、使用できない。 | Adminロールがコネクタのロールリストにない。 | 管理者がすでに持っている潜在的な設定アクセス権とは別に、ランタイムアクセスを付与するためにAdminをロールリストに追加します。 |
| ID プロバイダーでの変更後、SCIM同期グループのメンバーがアクセス権を失った。 | ID プロバイダーでグループのメンバーが変更され、その変更が同期された。 | ID プロバイダーでグループのメンバーシップを確認してください。SCIM同期グループはPerplexity上では読み取り専用です。 |
よくある質問
ロールを作成せずに、1人のユーザーにコネクタへのアクセス権を付与できますか？
ロールを作成せずに、1人のユーザーにコネクタへのアクセス権を付与できますか？
いいえ。アクセスはロールによって決まり、ユーザー単位の許可や拒否は現在利用できません。担当業務用のカスタムロールを作成してユーザーを割り当て、そのロールをコネクタのロールリストに追加してください。
他のロールのアクセス権を維持したまま、特定のロールだけをコネクタからブロックできますか？
他のロールのアクセス権を維持したまま、特定のロールだけをコネクタからブロックできますか？
いいえ。リスト上のロールはアクセス権を付与するものであり、ブロックとしてロールを追加する方法はありません。メンバーが2つのロールを持ち、そのどちらかがリストにある場合、そのメンバーはアクセスできます。あるロールをコネクタから除外するには、そのロールをロールリストに追加しないでください。
無効なコネクタはメンバーに表示されますか？
無効なコネクタはメンバーに表示されますか？
はい。メンバーは、ブロックされたコネクタを含むプラグインから、そのコネクタのページを開けます。ページには組織によって無効にされています、利用不可、またはプランの制限がある場合はアップグレードが必要と表示されます。見つけるでは、メンバーが使用できないコネクタは鍵アイコン付きで薄く表示され、カーソルを合わせると理由が表示されます。ブロックされたコネクタは選択画面には表示されません。
組織がコネクタのロールベースのアクセス制御にアップグレードされると、既存のコネクタはどうなりますか？
組織がコネクタのロールベースのアクセス制御にアップグレードされると、既存のコネクタはどうなりますか？
初日の時点では、メンバーにとって何も変わりません。すでに無効になっていたコネクタは無効のままです。すでに有効になっていたコネクタは、全メンバーがリスト上の唯一のロールである有効な状態のままとなるため、以前に使用できていたメンバーは引き続き使用できます。それらのコネクタのいずれかを特定のロールに限定するには、コネクタを開いて一般アクセスを選択したロールに切り替え、アクセス権を付与するロールを追加します。
ロールとコネクタの変更は監査ログに記録されますか？
ロールとコネクタの変更は監査ログに記録されますか？
はい。有効化、無効化、ロールの追加、ロールの削除、グローバルデフォルトの変更は、組織の監査ログに記録されます。監査ログを参照してください。
コネクタのロールベースのアクセス制御は、CLI、スケジュールされたタスク、プロジェクトにも適用されますか？
コネクタのロールベースのアクセス制御は、CLI、スケジュールされたタスク、プロジェクトにも適用されますか？
はい。制御はサーバー側で適用され、エージェントのセッション、CLI、スケジュールされたタスク、およびプロジェクトやBrainの範囲で行われるコネクタの使用に一貫して適用されます。
コネクタのロールベースのアクセス制御を設定できるのは誰ですか？
コネクタのロールベースのアクセス制御を設定できるのは誰ですか？
管理者と、ロールにManage connector defaults権限が含まれるメンバーです。これは、コネクタのツールレベルの制御に使用されるものと同じ権限です。
関連記事
さらにサポートが必要ですか？
担当のアカウントチームにご相談いただくか、Help > Contact Supportからお問い合わせください。セキュリティおよびコンプライアンスのドキュメントについてはTrust Centerをご覧ください。