# mulesoft アクセス管理 (access-management) - Full Documentation # Access Management Release Notes The following release notes detail new features and fixed issues in the Access Management section of Anypoint Platform: [Anypoint Access Management Release Notes](https://docs.mulesoft.com/jp/release-notes/access-management/access-management-release-notes) ## [](#see-also)See Also - [アクセス管理について](https://docs.mulesoft.com/jp/access-management/) - [Known Issues](https://help.salesforce.com/s/issues) # Anypoint Platform Private Cloud で LDAP を設定する 次の手順では、Anypoint Platform Private Cloud Edition の LDAP バージョン 3 を使用してユーザー管理を設定する方法を説明します。LDAP を使用したユーザー管理は、Private Cloud Edition でのみ可能です。 1. Anypoint Platform から、\[Access Management (アクセス管理)\] > \[External Identity (外部 ID)\] をクリックします。 LDAP を設定するためのフォームが表示されます。 2. LDAP 設定フォームで、LDAP サービスの接続設定を設定します。 - Host (ホスト) LDAP サーバーのホスト名。ldap サーバーで TLS を使用している場合、​`ldaps://mulesoft.com`​ を使用し、このホスト名を使用します: `ldap://mulesoft.com`​ - Port (ポート) LDAP サーバーと通信するために使用されるポート。デフォルトの ldap ポートは ​`389`​ です。デフォルトの ldaps ポートは ​`636`​ です。 - Self-Signed Cert (自己署名証明書) LDAP サーバーで自己署名証明書を使用している場合は、このチェックボックスをマークします。LDAP サーバーへの接続をテストするために自己署名証明書を使用します。 - Bind DN (バインド DN) LDAP クエリを作成するユーザーの識別名。例: `uid=admin,ou=people,dc=mulesoft,dc=com`​。 - Password (パスワード) LDAP サーバーのパスワード。たとえば、​`examplepassphrase`​ です。 - Connection Timeout (接続タイムアウト) 接続のタイムアウトフレーム (秒)。例: `10`​。 - Operation Timeout (操作タイムアウト) 操作のタイムアウトフレーム (ミリ秒)。例: `30000`​。 3. 検索ベースおよび検索条件をセットアップします。 - ユーザー ユーザーの検索ベースオブジェクトのベースレベル。例: `uid=admin,dc=mulesoft,dc=com`​。 Group (グループ) グループの検索ベースオブジェクトのベースレベル。例: `ou=groups,dc=mulesoft,dc=com`​。 4. ユーザーおよびグループの識別名を設定します。 - ユーザー ユーザーの検索ベースオブジェクトの識別名。たとえば、​`uid={{username}},ou=people.dc=mulesoft,dc=com`​ です。 - Group (グループ) グループの検索ベースオブジェクトの識別名。例: `ou=groups,dc=mulesoft,dc=com`​。 - Search filters (検索条件) - User by Username (ユーザー名別のユーザー) ユーザー名別にユーザーを検索するための検索条件。例: `(&(objectClass=inetOrgPerson)(uid={{username}}))`​。 - User by Email (メール別のユーザー) メール別にユーザーを検索するための検索条件。例: `(&(objectClass=inetOrgPerson)(mail={{email}}))`​。 - Group by GroupName (GroupName 別のグループ) groupName 別にグループを検索するための検索条件。例: `(&(objectClass=groupOfNames)(cn={{groupName}}))`​。 - User’s Groups by Username (ユーザー名別のユーザーのグループ) userName 別にユーザーグループを検索するための検索条件。例: `(&objectClass=GroupOfNames)(member=uid={{username}},ou=people,dc=mulesoft,dc=com))`​。 5. ユーザー項目をマップします。 - Username (ユーザー名) ユーザー名を表す項目。例: `uid`​。 - メール メールを表す項目。例: `mail`​。 - First Name (名) 名を表す項目。例: `givenName`​。 Last Name (姓) 姓を表す項目。例: `sn`​。 - ID ユーザーの ID。例: `uid`​。 6. グループ項目をマップします。 - Group Name (グループ名) グループ名を表す項目。たとえば、​`cn`​ です。 - ID グループ ID を表す項目。例: `bcd6b4c4-aec5-4493-be1b-8e2e8eecf662`​。 7. 設定を保存します。 # Anypoint Platform アカウントの管理 ## [](#anypoint-platform-アカウントを作成する)Anypoint Platform アカウントを作成する
すでに Mule Community アカウントがある場合、そのアカウントを使用して Anypoint Platform にアクセスできます。
1. [サインアップ](https://anypoint.mulesoft.com/#/signup)​ページに移動します。 フォームが表示され、連絡先情報を入力して、ユーザー名とパスワードを作成できます。 2. 次の情報を入力します。 - Username (ユーザー名) - 3 文字以上である必要があり、使用できるのは次の文字のみです。 - 英数字 - ダッシュ - アンダースコア - Password (パスワード) - 8 ～ 64 文字で、1 つ以上の大文字、小文字、数字が含まれている必要があります。パスワードで使用できるのは次の文字のみです。 - 大文字と小文字のアルファベット - 数字 - 英数字以外の記号 - Company (会社) - 2 文字以上にする必要があります。 既存の組織に招待された場合、会社名はすでに設定されています。 入力した会社名を使用して Anypoint Platform で新しいルート組織が作成され、あなたがその組織のシステム管理者になります。Anypoint Platform アカウントは 1 つの組織にしか関連付けられません。 - 利用規約のリンクをクリックして Anypoint Platform トライアルライセンス契約を読み、ボックスをチェックして利用規約に同意してください。 3. **\[I’m not a Robot (私はロボットではありません)\]**​ Captcha のチェックマークをクリックして、検証されるまで待ちます。
続行する前に簡単なテストを実行するよう要求される場合もあります。

Google の reCaptcha 検証サービスにより、ブラウザーの言語が自動検出されます。
4. **\[Accept and create account (受け入れてアカウントを作成)\]**​ をクリックします。 ## [](#既存の組織に参加する)既存の組織に参加する 参加したい既存の Anypoint Platform 組織がある場合、組織のシステム管理者に招待を依頼します。システム管理者が招待メールに返信した場合、1 週間以内に内部リンクをクリックする必要があります。 1. 受信した Anypoint 招待メールのリンクをクリックします。 その組織のアカウントにサインアップするには、招待メールが送信されたメールアドレスを使用する必要があります。 Anypoint Platform サインアップ画面が表示されます。 2. フォームに次の情報を入力します。 - Full name (フルネーム) - 名と姓。 - Email (メール) - メールアドレスが複数の Anypoint Platform アカウントに関連付けられている場合、招待メールのリンクをクリックした後で次のいずれかを選択します。 - [既存のアカウントを使用する](#use_existing_account) - [既存の組織内で新規アカウントを作成する](#create_new_account) - Phone number (電話番号) - 市外局番を含む電話番号。 - Username (ユーザー名) - 複数の Anypoint Platform アカウントに同じメールアドレスを使用することはできますが、各アカウントには一意のユーザー名が必要です。これにより、すべての Anypoint Platform アカウントを 1 つのメールアドレスで管理できます。 ユーザー名は 3 文字以上である必要があり、使用できるのは次の文字のみです。 - 英数字 - ダッシュ - アンダースコア - Password (パスワード) - 8 ～ 64 文字で、1 つ以上の大文字、小文字、数字が含まれている必要があります。パスワードで使用できるのは次の文字のみです。 - 大文字と小文字のアルファベット - 数字 - 英数字以外の記号 3. 利用規約およびプライバシーポリシーに同意してから、​**\[Accept and create account in (受け入れて でアカウントを作成)\]**​ をクリックします。 ## [](#use_existing_account)既存のアカウントを使用する 招待を受け取ったら、既存のアカウントを使用して既存の組織に参加できます。たとえば、​**MuleSoft**​ 組織に参加するよう招待され、3 つの異なる Anypoint Platform アカウントを持っているとします。 - メンバー: 組織に関連付けられていないアカウント。 - システム管理者: 異なる組織に関連付けられている組織のシステム管理者ロールを持つアカウント。 - オーナー: 異なる組織の組織のオーナーアカウント。 招待のリンクをクリックした後で、組織に参加するために使用するアカウントを 1 週間以内に選択します。
使用したいアカウントがすでに別のルート組織に関連付けられている場合、アカウントの横にエクスクラメーションマークが表示されます。これは、アカウントを新しい組織に移行するには追加手順が必要であることを意味しています。
## [](#create_new_account)既存の組織内で新規アカウントを作成する 既存の組織内で新規アカウントを作成できるのは、組織に参加するリンクが含まれる招待メールを受信した場合のみです。リンクの有効期限は 1 週間です。 1. 招待メールのリンクをクリックします。 2. **\[Sign Up (サインアップ)\]**​ ボタンをクリックします。 サインアップウィンドウが表示されます。 3. フォームに次の情報を入力します。 - Full name (フルネーム) - 名と姓。 - Email (メール) - メールアドレスが複数の Anypoint Platform アカウントに関連付けられている場合、招待メールのリンクをクリックした後で次のいずれかを選択します。 - [既存のアカウントを使用する](#use_existing_account) - [既存の組織内で新規アカウントを作成する](#create_new_account) - Phone number (電話番号) - 市外局番を含む電話番号。 - Username (ユーザー名) - 複数の Anypoint Platform アカウントに同じメールアドレスを使用することはできますが、各アカウントには一意のユーザー名が必要です。これにより、すべての Anypoint Platform アカウントを 1 つのメールアドレスで管理できます。 ユーザー名は 3 文字以上である必要があり、使用できるのは次の文字のみです。 - 英数字 - ダッシュ - アンダースコア - Password (パスワード) - 8 ～ 64 文字で、1 つ以上の大文字、小文字、数字が含まれている必要があります。パスワードで使用できるのは次の文字のみです。 - 大文字と小文字のアルファベット - 数字 - 英数字以外の記号 4. 利用規約およびプライバシーポリシーに同意してから、​**\[Accept and create account in (受け入れて でアカウントを作成)\]**​ をクリックします。
招待メールがない場合は、既存の組織内で新規アカウントを作成することはできません。
## [](#anypoint-platform-にログインする)Anypoint Platform にログインする 1. Anypoint Platform のログイン画面に移動します。 2. ユーザー名とパスワードを入力します。 3. **\[Sign In (サインイン)\]**​ をクリックします。
ログインを試みて Anypoint Platform で有効なログイン情報が拒否された場合、組織は​外部 ID プロバイダー​を使用してサインインプロセスを開始している可能性があります。外部 ID プロバイダーのインターフェースに移動してサインインするか、ログイン情報を再入力する前に​組織のドメイン名を入力​してください。
## [](#use-CustomDomainLogin)シングルサインオンを使用して Anypoint Platform にログインする 組織が​[シングルサインオン](https://docs.mulesoft.com/jp/access-management/external-identity)​を使用している場合、サインインプロセスの一環として組織のドメイン名を指定する必要があります。 1. Anypoint Platform のログイン画面に移動します。 2. **\[Use custom domain (カスタムドメインを使用)\]**​ をクリックします。 3. 組織のドメイン名を入力します。 \+ 組織のドメイン名がわからない場合は、組織のメンバーが組織のドメイン名を提供できます。メンバーのユーザープロファイルでドメイン名にアクセスできます。 4. **\[Continue (続行)\]**​ をクリックします。 ID プロバイダーにリダイレクトされます。 ## [](#anypoint-platform-にログインして使用するための-url-を許可リストに登録する)Anypoint Platform にログインして使用するための URL を許可リストに登録する 仮想マシンなどの制限された環境を使用している場合、またはプロキシ要件により Anypoint Platform にログインできない場合は、次の URL を許可リストに追加します。これにより、セッションが組織のファイアウォールまたはプロキシによってブロックされたり中断されたりすることがなくなります。 - `https://​*.mulesoft.com/*​` - `https://​*.salesforce.com/*​` - `https://app.launchdarkly.com/*` - `https://clientstream.launchdarkly.com/*` - `https://www.gstatic.com/recaptcha/*` - `https://www.google.com/recaptcha/*` ## [](#関連付けられていないアカウントを使用する)関連付けられていないアカウントを使用する 組織のシステム管理者が組織からアカウントを削除すると、削除されたアカウントは​_未接続_​のままになります。 未接続のアカウントを使用して ​**MuleSoft**​ 組織に参加でき、追加の設定は必要ありません。 アカウントを選択し、対応するパスワードを入力して、​**\[Sign in (サインイン)\]**​ をクリックします。 ## [](#システム管理者アカウントを使用する)システム管理者アカウントを使用する アカウントが異なる組織 (またはその組織内のビジネスグループ) の組織のシステム管理者である場合、ユーザー名の横にエクスクラメーションマークが表示されます。 このアカウントを使用すれば ​**MuleSoft**​ に参加できますが、このアカウントから既存の組織への既存の参照がすべて失われます。 このアカウントを選択して関連付けられたパスワードを入力すると、決定を確認するように要求されます。続行する場合は次の手順を実行します。 - 以前のビジネスグループに他にメンバーがいる場合、親組織の組織のシステム管理者が自動的にそのビジネスグループの組織のシステム管理者として割り当てられます。 - 他にメンバーがいない場合、ビジネスグループは削除されます。 ## [](#組織のオーナーとして関連付けられたアカウント)組織のオーナーとして関連付けられたアカウント よくあるシナリオは、アカウントを作成して既存の組織に関連付けない場合です。この場合、アカウントは自動的に​_新規_​組織に割り当てられ、アカウントが​[組織のオーナー](https://docs.mulesoft.com/jp/access-management/roles#organization-owner)​に設定されます。 このアカウントを選択し、対応するパスワードを入力して、​**\[Sign In (サインイン)\]**​ ボタンをクリックすると、所有する組織に他にメンバーがいない場合: \* 既存の組織へのすべての関連付けが失われるという警告が表示されます。 \* 元の組織が削除されます。 ただし、アカウントが所有する組織に他にメンバーがいる場合、Anypoint Platform では ​**MuleSoft**​ に移行できません。 所有する組織からアカウントを​_解放_​するには、 [https://help.mulesoft.com](https://help.mulesoft.com)​ でサポートチケットを開きます。次の情報を入力します。 - オーナーに昇格させるための、所有する組織内の別のユーザーの ​`userId`​ と ​`userName`​。 - 前述の組織の ​`Organization Name`​ と ​`Organization Id`​。 移行が完了したことをサポートが確認したら、アカウントを使用して MuleSoft に参加できます。
無料のトライアルアカウントを使用していて、ユーザー名を新しい組織に移行するには、トライアルアカウントに関連付けられた組織から組織のオーナーアカウントを削除するために現在の組織に別の組織のシステム管理者が必要です。
## [](#profile-linking-context-users)Anypoint Platform プロファイルのリンク 外部 ID プロバイダー (IdP) を使用して Anypoint Platform に初めてログインしたときに、Anypoint Platform によって、IdP プロファイルに関連付けられたメールアドレスに一致するユーザーアカウント候補が検索されます。プロファイルをリンクするためのオプションは、プロファイルで Anypoint ID プロバイダー (IdP) が使用されているか、シングルサインオン (SSO) を使用する外部 IdP が使用されているかによって異なります。Anypoint プラットフォームでは次のリンクがサポートされています。 - ログイン情報 (Anypoint IdP によって管理されるログイン) を使用したローカルプロファイルへの SSO ログインのリンク - 異なる IdP を使用してログインする別の SSO ログインへの SSO ログインのリンク - それぞれが異なる IdP を使用してログインする他の複数のプロファイルへの SSO ログインのリンク Anypoint Platform では、同じ IdP を使用する複数のプロファイルのリンクはサポートされていません。IdP は、OpenID Connect (OIDC) プロバイダーである必要があります。最大 25 個のユーザープロファイルをリンクできます。この機能は、​[組織のシステム管理者が有効化している](https://docs.mulesoft.com/jp/access-management/external-identity-index#enable-profile-linking)​場合にのみ使用できます。 ### [](#profile-linking)既存のプロファイルへの新規 SSO ログインのリンク 初めて SSO を使用してログインしようとしたときに、同じメールアドレスを共有しており、ログインに異なる ID プロバイダー (IdP) を使用する他のユーザープロファイルがある場合、プロファイルをリンクするように求められます。同じ IdP を使用するプロファイルをリンクすることはできません。 1. Anypoint Platform ログインページで、​**\[Sign in with ( でサインイン)\]**​ をクリックします。 2. 入力を促されたら、IdP のログイン情報を入力します。 SSO ログイン情報が同じ組織内の他のプロファイルとメールアドレスを共有している場合は、プロファイルの 1 つを選択し、それらのログイン情報でログインしてプロファイルをリンクするように求められます。 3. **\[Link your Account (アカウントのリンク)\]**​ ページで、リンクするプロファイルを選択します。 各プロファイルの上にマウスポインターを置くと、使用されている ID プロバイダーが表示されます。 4. **\[Link Accounts (アカウントをリンク)\]**​ をクリックします。 5. 選択したプロファイルのログイン情報を入力します。 これで、ユーザープロファイルの ​**\[Logged In Via (ログイン元)\]**​ セクションに、リンクされたプロファイルが表示されます。 ## [](#ユーザー情報を更新する)ユーザー情報を更新する 1. Anypoint Platform にログインします。 2. Anypoint Platform ナビゲーションバーで、Anypoint Platform アカウントに関連付けられたイニシャルを含む丸のアイコンをクリックします。 3. ドロップダウンで、​**\[Profile (プロファイル)\]**​ をクリックします。 ![ユーザープロファイルのアクセスポイント](/mulesoft/current/ja-jp/access-management/_images/managing-accounts-roles-and-permissions-98132.png) 連絡先情報の変更、パスワードの変更、アカウントに割り当てられた権限のリストの表示ができます。 ### [](#重要なアカウント情報の管理)重要なアカウント情報の管理 セキュリティを強化するため、メールアドレスを変更する前に Access Management から再認証が求められる場合があります。 Access Management は、以下の状況で再認証を要求します。 - パスワードを入力してから 30 分以上が経過すると、Access Management はパスワードの再入力を要求します。 - 多要素認証 (MFA) を有効にしてある場合、パスワードを入力して MFA を使用してから 8 時間以上が経過すると、Access Management はパスワードの再入力と MFA によるログインの確認を要求します。 ログインまたは再認証を行うたびにタイマーがリセットされます。ログインから 30 分が経過するまでは、Access Management はパスワードの再入力を要求しません。 接続アプリケーションとクライアントでは再認証は求められません。API コールを実行してメールアドレスを変更するスクリプトを使用している場合は、再認証への対応が必要な場合があります。 ### [](#メールアドレスの検証)メールアドレスの検証 2022 年 10 月 10 日以降、非 SSO ユーザーは Anypoint Platform のメールアドレスを検証する必要があります。メールアドレスを検証していない場合は、ログインするたびにメール検証要求プロンプトが表示されます。 ログインプロンプトを使用してメールを検証するか、ユーザープロファイルでメールを検証できます。 SSO ユーザーは、Anypoint Platform を介してメールアドレスを検証することはできず、検証プロンプトは表示されません。 1. Anypoint Platform にログインします。 2. Anypoint Platform ナビゲーションバーで、Anypoint Platform アカウントに関連付けられたイニシャルを含む丸のアイコンをクリックします。 3. ドロップダウンで、​**\[Profile (プロファイル)\]**​ をクリックします。 4. **\[Contact Info (連絡先情報)\]**​ タブをクリックします。 5. **\[Email (メール)\]**​ セクションで、​**\[Verify Email (メールを検証)\]**​ をクリックします。 ウィンドウが表示され、Anypoint Platform アカウントのメールアドレスで受け取った検証コードを入力するよう求められます。検証メールが届くまで数分かかる場合があります。数分経ってもメールが受信箱に表示されない場合は、迷惑メールフォルダーを確認してください。 6. 検証コードを入力します。 7. **\[Confirm (確認)\]**​ をクリックします。 メールアドレスが検証されました。 ## [](#アカウントのメールアドレスの変更)アカウントのメールアドレスの変更 Anypoint Platform アカウントへのログインに使用するメールアドレスを変更できます。
SSO ユーザーは、Anypoint Platform を介してアカウントのメールアドレスを変更することはできません。
1. Anypoint Platform にログインします。 2. Anypoint Platform ナビゲーションバーで、Anypoint Platform アカウントに関連付けられたイニシャルを含む丸のアイコンをクリックします。 3. ドロップダウンで、​**\[Profile (プロファイル)\]**​ をクリックします。 4. **\[Contact Info (連絡先情報)\]**​ タブをクリックします。 5. **\[Email (メール)\]**​ 行で、鉛筆アイコンをクリックします。 6. 新しいメールアドレスを入力します。 7. **\[Save Changes (変更を保存)\]**​ をクリックします。 8. Anypoint Platform に 30 分以上ログインしている場合は、パスワードを再入力して再認証します。 ウィンドウが表示され、入力した新しいメールアドレスで受け取った検証コードを入力するよう求められます。 9. 検証コードを入力します。 10. **\[Confirm (確認)\]**​ をクリックします。 入力したメールアドレスが Anypoint Platform のプライマリメールアドレスになります。 ## [](#パスワードをリセットする)パスワードをリセットする パスワードをリセットする場合、新しいパスワードは 8 ～ 64 文字で、大文字、小文字、数字がそれぞれ 1 つ以上含まれている必要があります。パスワードには、ASCII 標準文字のみを使用できます。 また、直近 3 つのパスワードは再利用できません。 1. Anypoint Platform のログイン画面に移動します。 2. **\[Forgot your username or password (ユーザー名またはパスワードを忘れた場合)\]**​ リンクをクリックします。 3. **\[Forgot your credentials (ログイン情報を忘れた場合)\]**​ フォームにユーザー名を入力します。 新しいパスワードを作成するためのリンクがメールで届きます。 4. メールに記載されたパスワードのリセットリンクをクリックします。 5. **\[Reset your password (パスワードをリセット)\]**​ フォームに新しいパスワードを入力して ​**\[Reset Password (パスワードをリセット)\]**​ をクリックします。 ## [](#ユーザー名を忘れた場合)ユーザー名を忘れた場合 1. Anypoint Platform のログイン画面に移動します。 2. **\[Forgot your username or password (ユーザー名またはパスワードを忘れた場合)\]**​ リンクをクリックします。 3. **\[Forgot your credentials (ログイン情報を忘れた場合)\]**​ フォームに、Anypoint Platform アカウントに使用したメールアドレスを入力し、​**\[Request credentials (ログイン情報を要求)\]**​ をクリックします。 Anypoint Platform からメールアドレスに関連付けられたユーザー名のリストが記載されたメールが届きます。 ## [](#アカウントをアップグレードする)アカウントをアップグレードする Anypoint Platform トライアルアカウントをエンタープライズライセンスにアップグレードするには、アカウント担当者または [MuleSoft 営業チーム](https://www.mulesoft.com/contact)​にお問い合わせください。 ## [](#既知の問題-アカウントの作成)既知の問題: アカウントの作成 組織に参加するための招待メールからアカウントを作成しようとするときに (別の組織であっても) 既存のユーザー名を使用すると、エラーが表示され、ログイン情報が無効であると誤って示されます。 このエラーは、別の組織に属している場合でも、ユーザー名がすでに存在する場合に発生します。 ユーザー名がすでに自分のものである場合、ユーザー名を以前の組織から招待メールを送信した組織に移動できます。 # Anypoint Platform アクセスに関する FAQ ## [](#access-IAM)アクセスおよび管理 ユーザー権限についての詳細は、​[「Anypoint Platform で使用可能な権限」](https://docs.mulesoft.com/jp/access-management/permissions-by-product)​を参照してください。 ### [](#アクセス管理には誰がアクセスできますか)アクセス管理には誰がアクセスできますか? ルート組織またはビジネスグループに対する「Organization Administrator (組織のシステム管理者)」権限を持つユーザーは、アクセス管理の表示および編集権限を持っています。 チームメンテナーであるユーザーもアクセス管理にアクセスできますが、アクセス管理内でのユーザーのアクションは他の権限によって異なります。 ### [](#監査ログには誰がアクセスできますか)監査ログには誰がアクセスできますか? 「Audit Log Viewer (監査ログ閲覧者)」権限を持つユーザーは、システム管理者権限がない場合でもアクセス管理で監査ログを表示できます。詳細は、​[監査ログのドキュメント](https://docs.mulesoft.com/jp/access-management/audit-logging#access-audit-logging)​を参照してください。 ### [](#接続アプリケーションを変更できるのは誰ですか)接続アプリケーションを変更できるのは誰ですか? ルート組織に対する「Organization Administrator (組織のシステム管理者)」権限を持つユーザーのみが、接続アプリケーションを表示および編集できます。(ルート組織ではない) ビジネスグループに対する管理権限を持つユーザーは、接続アプリケーションを表示または編集できません。 アクセス管理の一部の機能には、接続アプリケーションのスコープまたは権限を使用してアクセスすることはできません。これらの機能は、Web 上のユーザーインターフェースを使用するか、ルート組織に対する「Organization Administrator (組織のシステム管理者)」権限を持つ認証済みユーザーによって生成されたベアラートークンを使用してのみ使用できます。詳細は、​[接続アプリケーションのドキュメント](https://docs.mulesoft.com/jp/access-management/connected-apps-overview#access-and-authorization)​を参照してください。 ## [](#access-management-limits)制限 アクセス管理により、組織の機能に次の制限が課されます。 ### [](#組織の制限)組織の制限: - ルート組織あたりのビジネスグループ数: 100 - ルート組織あたりのユーザー数: 10000 - ルート組織またはビジネスグループあたりの環境数: 150 - ルート組織あたりの API Manager クライアント数 - Anypoint Platform の内部クライアントプロバイダーによる管理: 10,000 - 外部クライアントプロバイダーによる管理: 10,000 - ルート組織あたりの外部アクセスリレーション数: 20 - 外部組織あたりの権限数: 1000 - 監査ログの保持期間: 30 日 ～ 2190 日 ### [](#チームロールユーザー権限)チーム、ロール、ユーザー権限: - ルート組織あたりのチーム数: 1000 - 親チーム下でネストできるレベル数: 10 - チームあたりの権限数: 1000 - API Manager クライアントまたはランタイムクライアントあたりの権限数: 3000 - カスタムロールあたりの権限数: 400 - ユーザーあたりの権限数: 5000 - ルート組織またはビジネスグループあたりのロール数: 500 - ユーザーあたりのロール数: 700 - チームあたりの外部グループマッピング数: 100 ### [](#id-プロバイダー)ID プロバイダー: - プロバイダーあたりの ID 管理プロバイダーのキー数: 3 - ルート組織あたりの ID 管理プロバイダー数: 25 ### [](#クライアントプロバイダー)クライアントプロバイダー: - ルート組織あたりのクライアント管理プロバイダー数: 10 ### [](#接続アプリケーション)接続アプリケーション: - ユーザーあたりの承認済みアプリケーション数: 30 - 外部組織がアクセス可能な接続アプリケーション数: 20 - ルート組織あたりの接続アプリケーション数: 2000 - 接続アプリケーションあたりのスコープの割り当て数: 1000 ### [](#ユーザートークンの制限)ユーザートークンの制限: - Gov Cloud のユーザーあたりのアクティブなトークン数: 100 - EU 地域のユーザーあたりのアクティブなトークン数: 100 ## [](#アカウント)アカウント ### [](#1-つのメールアドレスを使用して複数のアカウントを作成できますか)1 つのメールアドレスを使用して複数のアカウントを作成できますか? 同じメールアドレスを使用して複数のアカウントを作成でき、これらのアカウントが 1 つの組織に属するか異なる組織に属するかは関係ありません。ユーザー名は各アカウントで一意である必要があります。 ### [](#既存の組織に参加する方法は)既存の組織に参加する方法は? 既存の組織に参加するには、参加する必要がある組織の組織のシステム管理者に連絡して、その組織への招待を送信するよう依頼します。 招待を受信したら、新しいアカウントを作成して招待を受け入れ、アカウントを組織に関連付けることができます。
自分で作成したアカウントから組織に入力したすべてのデータは元の組織に関連付けられたままになります。
### [](#アカウントの請求情報を見つける方法は)アカウントの請求情報を見つける方法は? アカウント担当者に問い合わせるか、 [MuleSoft 連絡フォーム](https://www.mulesoft.com/contact)​を使用して請求情報を取得します。 ### [](#トライアルの期限切れが近い場合どうすればよいですか)トライアルの期限切れが近い場合、どうすればよいですか? アカウント担当者に問い合わせるか [MuleSoft 連絡フォーム](https://www.mulesoft.com/contact)​を使用してオンプレミス Mule Runtime インスタンスの Enterprise ライセンスを要求するか、CloudHub でサブスクリプションアカウントを作成します。 ### [](#外部-id-管理を使用してどこでログインできますか)外部 ID 管理を使用してどこでログインできますか? 組織が外部 ID 管理を使用している場合、​**anypoint.mulesoft.com/accounts/login/​_yourorganizationname_**​ でアカウントにログインします。 ### [](#アカウントを削除する方法は)アカウントを削除する方法は? アカウント削除または移行用の [MuleSoft サポートケース](https://help.mulesoft.com)​を作成してください。 ## [](#アカウントの招待)アカウントの招待 ### [](#どのアカウントを使用する必要がありますか)どのアカウントを使用する必要がありますか? 1 つ以上の既存の MuleSoft コミュニティアカウントが招待を受信したメールアドレスに関連付けられている場合、MuleSoft は既存のアカウントを使用してログインして招待を受けるように促します。フォーム下部にある​**サインアップ**​リンクに従って新しいアカウントを作成することもできます。 ### [](#別のメールアドレスを使用する方法は)別のメールアドレスを使用する方法は? 送信先となっていたメールアドレスを使用して招待を受け入れます。招待を受け入れた後で、プロファイルにアクセスしてメールアドレスを変更します。 ### [](#何も表示されない理由は)何も表示されない理由は? 招待を受け入れてログインしたにもかかわらず組織の開発者ポータルで何も表示されない場合、次のいずれかが表示に影響を与えている可能性があります。 - 組織でまだ誰も API を追加していないため、表示する API Portal が存在しない。 - 非公開 API Portal への​**ポータル閲覧者**​アクセス権が付与されておらず、表示する公開 API Portal が存在しない。 ## [](#api-アクセス)API アクセス ### [](#api-バージョンに対するアクセス権を付与する方法は)API バージョンに対するアクセス権を付与する方法は? API バージョンに対するアクセス権を他のユーザーに付与するには、自分が ​**API バージョンオーナー**​であり、相手が組織のメンバーである必要があります。 1. \[API Version Details (API バージョン詳細)\] ページに移動します。 2. **\[Permissions (権限)\]**​ タブをクリックします。 3. ユーザーが自分と同じ組織のメンバーである場合、そのユーザーを API にアクセスするよう招待します。 4. ユーザーを追加したら、​**\[Permission (権限)\]**​ 列のドロップダウンを使用して、​**ポータル閲覧者**​アクセス権または ​**API バージョンオーナー**​アクセス権を管理できます。このタブでは、API に対する直接的な権限が付与されたすべてのユーザーを表示することもできます。
[Permissions (権限)]​ タブにはカスタムロールに基づいた権限を持つユーザーは表示されません。これは、ロールを [API Version Details (API バージョン詳細)] ページで管理できないためです。API バージョンに対するロールベースの権限についての情報は、​組織のシステム管理者​にお問い合わせください。
### [](#開発者ポータルを参照する方法は)開発者ポータルを参照する方法は? 他の組織の開発者ポータルを参照するには、アカウントからサインアウトします。自分の組織にログインしている間は、自分の組織の開発者ポータルにしかアクセスできません。
別の組織に属する API へのアクセス権を要求するには、その組織の Anypoint Platform アカウントを持っている必要があります。
### [](#api-に対するアクセス権を要求する方法は)API に対するアクセス権を要求する方法は? 使用したい API を所有する組織のメンバーでない場合、次の手順を実行します。 - その API を所有する組織のアカウントを使用してログインします。 - その組織のアカウントを持っていない場合、API Portal のドキュメントを参照してアカウントの要求方法を確認してください。 ### [](#関連情報)関連情報 - [アクセス管理をトラブルシューティングする](https://docs.mulesoft.com/jp/access-management/troubleshoot-access-management) - [製品別の権限](https://docs.mulesoft.com/jp/access-management/permissions-by-product) - [監査ログへのアクセス](https://docs.mulesoft.com/jp/access-management/audit-logging#access-audit-logging) - [接続アプリケーションへのアクセスおよび認証](https://docs.mulesoft.com/jp/access-management/connected-apps-overview#access-and-authorization) # Anypoint Platform で使用可能な権限 Anypoint Platform には、ソフトウェアのさまざまな領域へのユーザーアクセスを制御するさまざまな権限があります。各製品には独自の権限がありますが、次の権限のほとんどは​[チーム](https://docs.mulesoft.com/jp/access-management/teams)​に割り当てたり、​[個々のユーザー](https://docs.mulesoft.com/jp/access-management/users#grant-user-permissions)​に付与したり、組み合わせて​[ロール (非推奨)](https://docs.mulesoft.com/jp/access-management/roles#create-custom-roles)​ を作成したりできます。その他は、それぞれの製品インターフェースで割り当てることができます。さらに、一部の権限は環境またはビジネスグループレベルで設定できます。 一部の製品を適切に使用するには、他の製品の権限が必要です。たとえば Anypoint Monitoring では、ユーザーは Anypoint Monitoring 関連の権限に加えて、特定の Runtime Manager の権限が必要です。ユーザーに必要な権限とその設定方法を確認するには、各製品のドキュメントを参照してください。 組織、そのライセンス、およびエンタイトルメントによっては、設定中にこれらの権限の一部が表示されない場合があります。 ## [](#アクセス管理)アクセス管理 Organization Administrator (組織のシステム管理者) ルート組織レベルで、シークレット管理、ネットワーク管理、その他の表示、変更、実行、削除など、Anypoint Platform で利用できるほとんどの権限をユーザーに付与します。 Organization Administrator (組織のシステム管理者) 権限は、\[Organization Administration (組織のシステム管理者)\] ページへのアクセスを許可します。このページでは、ユーザーを追加し、ユーザーおよび権限を管理し、組織の詳細を表示および編集し、​**\[API Manager\] > \[Client Applications (クライアントアプリケーション)\]**​ にアクセスし、組織のクライアント ID とクライアントシークレットにアクセスして、開発者ポータルのテーマをカスタマイズできます。この権限により、ユーザーはすべての API のすべてのバージョン、すべての登録済みアプリケーション、Anypoint Platform のすべての API Portal を編集できるようになります。 MuleSoft では、セキュリティ上の理由から、この権限を付与するユーザー数をできるだけ少なく抑えることを推奨しています。 Audit Log Config Manager (監査ログ設定マネージャー) ユーザーは組織全体の監査ログの保持期間を設定できます。 この権限は、ルート組織レベルで適用します。この権限は、組織の \[Access Management (アクセス管理)\] で最新の UI が有効になっている場合にのみ表示されます。 Audit Log Viewer (監査ログ閲覧者) ユーザーが Access Management で監査ログを閲覧できるようにします。 ## [](#anypoint-code-builder)Anypoint Code Builder Anypoint Code Builder Developer (Anypoint Code Builder 開発者) ユーザーは Anypoint Code Builder のクラウド IDE インスタンスを作成して使用できます。この権限は、Anypoint Code Builder for Desktop には適用されません。 ## [](#api-catalog-api-カタログ)API Catalog (API カタログ) API Catalog Contributor (API カタログコントリビューター) ユーザーは API カタログを使用してアセットやその他のリソースをカタログ化できます。 ## [](#api-experience-hub)API Experience Hub API Experience Hub Admin (API Experience Hub 管理者) ユーザーは API Experience Hub のコンテンツを表示、作成、変更、削除できます。 API Experience Hub Community User (API Experience Hub コミュニティユーザー) ユーザーは API Experience Hub のコンテンツを表示できますが、変更はできません。 ## [](#api-governance)API Governance Governance Administrator (ガバナンス管理者) ユーザーはプロファイルを管理し、レポートを表示できます。 ## [](#api-manager)API Manager 組織によっては、API Manager で使用可能な次の権限セットのいずれかが表示される場合があります。 API Manager Environment Administrator (API Manager 環境システム管理者) ユーザーは指定された環境で API を表示、作成、変更、削除でき ます。 ユーザーは、指定された API Manager 環境内の API 設定、グループ、プロキシ、アラート、コントラクト、層、ポリシー、自動ポリシー、その他の設定に関連するアクションを実行することもできます。 API Group Administrator (API グループ管理者) ユーザーは指定された環境で API グループおよび API グループインスタンスを表示、作成、変更、非推奨化、削除できます。 Deploy API Proxies (API プロキシのデプロイ) ユーザーは指定された環境で API プロキシをデプロイできます。 Manage API Alerts (API アラートの管理) ユーザーは指定された環境で API アラートを表示、作成、変更、削除できます。 Manage APIs Configuration (API 設定の管理) ユーザーは指定された環境で API 設定を表示および変更できます。 Manage Contracts (コントラクトの管理) ユーザーは指定された環境でコントラクトと層を表示、承諾、却下、削除できます。 Manage Policies (ポリシーの管理) ユーザーは指定された環境で API ポリシーを表示、作成、変更、削除できます。 View API Alerts (API アラートの参照) ユーザーは指定された環境で API アラートを表示できます。 View APIs Configuration (API 設定の参照) ユーザーは指定された環境で API 設定を表示できます。 View Contracts (コントラクトの参照) ユーザーは指定された環境でコントラクトと層を表示できます。 View Policies (ポリシーの参照) ユーザーは指定された環境で API ポリシーを表示できます。 または API Creator (API 作成者) 指定された環境で API を作成できます。 API Versions Owner (API バージョンオーナー) 指定されたビジネスグループ内のすべての API バージョンを表示、変更、削除、非推奨化できます。 Portals Viewer (ポータル閲覧者) 指定されたビジネスグループ内のすべてのポータルを表示できます。 ## [](#data-gateway-データゲートウェイ)Data Gateway (データゲートウェイ) Data Gateway Administrator (データゲートウェイ管理者) ユーザーはデータゲートウェイデザイナーへのフルアクセス権があります。 Data Gateway Viewer (データゲートウェイ閲覧者) ユーザーはデータゲートウェイデザイナーへの参照のみアクセス権があります。 ## [](#datagraph)DataGraph Contribute (参加) ユーザーは次の操作を実行できます。 - 統合スキーマにソース API を追加する。 - 統合スキーマに追加されたソース API スキーマを編集する。 - クエリを実行するためのアクセス権を要求する。 - 環境に API スキーマを昇格する。 - UI からクエリを実行中にクエリトレースをリアルタイムで表示する。 - クエリエディターから統合スキーマのコピーをダウンロードする。 Consume ユーザーは次の操作を実行できます。 - 統合スキーマを表示および探索する。 - クエリを実行し、UI からデータ要求を行うためのアクセス権を要求する。 - クエリエディターから統合スキーマのコピーをダウンロードする。 Operate (操作) ユーザーは次の操作を実行できます。 - 顧客向けのログを表示する。 - Anypoint Datagraph の専用ロードバランサーの URL を設定する。 DataGraph Admin (DataGraph 管理者) ユーザーは次の操作を実行できます。 - 統合スキーマへの参加、コンシューム、操作を行う。 - 使用量メトリクスを表示する。 DataGraph Project - Contributor (DataGraph プロジェクト - コントリビューター) ユーザーは次の操作を実行できます。 - 統合スキーマにソース API を追加する。 - 統合スキーマに追加されたソース API スキーマを編集する。 - クエリを実行するためのアクセス権を要求する。 - 環境に API スキーマを昇格する。 - UI からクエリを実行中にクエリトレースをリアルタイムで表示する。 - 特定のプロジェクトでクエリエディターから統合スキーマのコピーをダウンロードする。 DataGraph Project - Operator (DataGraph プロジェクト - オペレーター) ユーザーは顧客向けのログを表示し、特定のプロジェクトで Anypoint Datagraph の専用ロードバランサー URL を設定できます。 DataGraph Project - Admin (DataGraph プロジェクト - 管理者) ユーザーは次の操作を実行できます。 - 統合スキーマへの参加、コンシューム、操作を行う。 - 特定のプロジェクトの使用量メトリクスを表示する。 ## [](#design-center)Design Center Design Center Developer (Design Center 開発者) ユーザーはビジネスグループ内のすべてのプロジェクトを表示、作成、および管理できます。 この権限を使用して、特定のビジネスグループ内のすべてのプロジェクトの管理者をセットアップします。 Design Center Creator (Design Center 作成者) ユーザーは Design Center でナビゲーションパネルからプロジェクトを作成できるほか、作成したまたはユーザーと共有しているすべてのプロジェクトを表示できます。 この権限を使用して、プロジェクトを作成、編集、維持するユーザーを招待します。 Design Center Viewer (Design Center 閲覧者) ユーザーはビジネスグループ内の Design Center プロジェクトを表示し、モッキングサービスを使用してプロジェクトをテストできます。 この権限を持つユーザーは、新しいプロジェクトの作成、既存のプロジェクトの編集または名前変更、他のユーザーとのプロジェクトの共有を行うことはできません。 特定のビジネスグループのプロジェクトをコンシュームするユーザーにこの権限を割り当てます。 ### [](#design-center-プロジェクトレベル権限)Design Center プロジェクトレベル権限 Project Administrator (プロジェクト管理者) ユーザーはビジネスグループ内の Design Center プロジェクトを管理および共有できます。 この権限を使用して、特定のビジネスグループ内のすべてのプロジェクトの管理者をセットアップします。 Project Editor (プロジェクト編集者) ユーザーはビジネスグループ内の Design Center プロジェクトを編集できます。 この権限を使用して、プロジェクトを作成、編集、維持するユーザーを招待します。 Project Viewer (プロジェクト閲覧者) ユーザーはビジネスグループ内の Design Center プロジェクトを表示し、モッキングサービスを使用してプロジェクトをテストできます。 この権限を持つユーザーは、新しいプロジェクトの作成、既存のプロジェクトの編集または名前変更、他のユーザーとのプロジェクトの共有を行うことはできません。 特定のビジネスグループのプロジェクトをコンシュームするユーザーにこの権限を割り当てます。 ## [](#exchange)Exchange Exchange Administrator (Exchange 管理者) ユーザーは次の操作を実行できます。 - ビジネスグループ内のアセットを表示、作成、およびダウンロードする。 - 既存のアセットバージョンのアセットポータルコンテンツを編集する。 この権限を持つユーザーは、「Exchange Contributors (Exchange コントリビューター)」および「Exchange Viewers (Exchange 閲覧者)」権限を持つユーザーと同じアクセス権があり、アセットを別のユーザーと共有したり、アセットを非推奨にしたり、アセットを削除したりできます。 この権限を使用して、特定のビジネスグループ内のすべてのアセットに対して Exchange Administrators (Exchange 管理者) をセットアップします。 Exchange Contributor (Exchange コントリビューター) ユーザーはビジネスグループ内のアセットを表示、作成、およびダウンロードできます。 この権限を持つユーザーは、既存のアセットバージョンのアセットポータルコンテンツを編集できます。 この権限を使用して、アセットポータルの説明を編集および管理するユーザーを招待します。 Exchange Viewer (Exchange 閲覧者) ユーザーはビジネスグループ内のアセットを表示およびダウンロードできます。 この権限を持つユーザーは、新しいアセットの追加、アセットポータルコンテンツの編集、他のユーザーとのアセットの共有を行うことはできません。 特定のビジネスグループのアセットをコンシュームするユーザーにこの権限を割り当てます。 Exchange Creator (Exchange 作成者) ユーザーはビジネスグループのカタログ内に新しいアセットを作成できます。この権限を持つユーザーは、ビジネスグループ内の他のユーザーが作成したアセットまたはアセットバージョンを変更できません。 この権限を持つユーザーがアセットを作成すると、作成したアセットに対する「Asset Administrator (アセット管理者)」権限が自動的に割り当てられます。「Asset Administrator (アセット管理者)」権限により、これらのユーザーは自分が作成したアセットのみ変更できます。 この権限を使用して、このユーザーが作成したアセット以外のアセットの変更を禁止すると同時に、ビジネスグループの全チームのすべての開発者が Exchange でアセットを新規作成できるようにします。 Asset Viewer (アセット閲覧者) ユーザーはアセットを表示およびダウンロードできます。 この権限を持つユーザーは、アセットポータルコンテンツの編集または他のユーザーとのアセットの共有を行うことはできません。 この権限を使用して、アセットを表示およびダウンロードするビジネスグループ外のユーザーを招待します。 Asset Contributor (アセットコントリビューター) ユーザーはアセットの表示、新規バージョンの追加、およびダウンロードを行えます。 この権限を使用して、アセットのポータルコンテンツを表示、ダウンロード、追加、および編集するビジネスグループ外のユーザーを招待します。 Asset Administrator (アセット管理者) ユーザーはアセットを表示、作成、ダウンロード、非推奨化、削除できます。 この権限を持つユーザーは、「Exchange Administrator (Exchange 管理者)」権限を持つユーザーと同じアクセス権がありますが、1 つのアセットのみに限られます。この権限は、デフォルトでアセット作成者に割り当てられます。 この権限を使用して、アセットに対する管理者権限をその他のユーザーにまで拡大します。 ## [](#monitoring)Monitoring Monitoring Administrator (Monitoring 管理者) ユーザーは Anypoint Monitoring のコンテンツを表示、作成、変更、削除できます。 Monitoring Viewer (Monitoring 閲覧者) ユーザーは Anypoint Monitoring でコンテンツを表示できますが、変更はできません。 ## [](#mq)MQ View clients (クライアントの参照) ユーザーは各クライアントアプリケーションのクライアントアプリケーション ID とクライアントシークレットを含めすべてのクライアントアプリケーションを表示できます。 View destinations (宛先の参照) ユーザーは次の操作を実行できます。 - すべての宛先とその設定 (\[ID\]、\[Type (種別)\]、\[Message TTL (メッセージ TTL)\]、\[Message Lock Default TTL (メッセージロックのデフォルト TTL)\]) を参照する。 - キュー待機中メッセージを参照する。 - インフライトメッセージの統計情報を参照する。 Clear destinations (宛先のクリア) ユーザーは次の操作を実行できます。 - すべての宛先とその設定 (\[ID\]、\[Type (種別)\]、\[Message TTL (メッセージ TTL)\]、\[Message Lock Default TTL (メッセージロックのデフォルト TTL)\]) を参照する。 - キュー待機中メッセージを参照する。 - インフライトメッセージの統計情報を参照する。 - 宛先をクリアする。 Manage clients (クライアントの管理) ユーザーは次の操作を実行できます。 - 各クライアントアプリケーションのクライアントアプリケーション ID とクライアントシークレットを含めすべてのクライアントアプリケーションを参照する。 - クライアントアプリケーションを作成する。 Administer destinations (宛先の管理) ユーザーは次の操作を実行できます。 - すべての宛先とその設定 (\[ID\]、\[Type (種別)\]、\[Message TTL (メッセージ TTL)\]、\[Message Lock Default TTL (メッセージロックのデフォルト TTL)\]) を参照する。 - キュー待機中メッセージを参照する。 - インフライトメッセージの統計情報を参照する。 - 宛先をクリアする。 - 新しいキュー、メッセージエクスチェンジ、バインドを作成する。 - 既存のキュー、メッセージエクスチェンジ、バインドを編集する。 - キューからメッセージをパージする。 Manage destinationss (宛先の管理) (非推奨) この権限は非推奨です。\[Manage (管理)\] 権限と同じ機能を実行するには、次の権限をユーザーに割り当てます。 - Administer destinations (宛先の管理) - Destination subscriber for given environment (特定の環境の宛先のサブスクライバー) - Destination publisher for given environment (特定の環境の宛先のパブリッシャー) Destination subscriber for given environment (特定の環境の宛先のサブスクライバー) ユーザーは宛先からメッセージをコンシュームしたり、宛先からメッセージを削除したりできます。 Destination publisher for given environment (特定の環境の宛先のパブリッシャー) ユーザーは宛先にメッセージを送信し、宛先のメッセージ TTL を更新できます。 Read MQ Stats (MQ 統計情報の参照) ユーザーは組織および環境の統計情報を参照できます。 ## [](#partner-manager)Partner Manager Partner Manager Administrator (Partner Manager システム管理者) ユーザーはホスト、パートナー、メッセージフロー設定、トランザクションアクティビティへの完全なアクセス権があります。 View Host、Partners、and Message Flows (ホストパートナー、およびメッセージフローの参照) ユーザーはホスト、パートナー、およびメッセージフローの設定への参照のみアクセス権があります。 このユーザーはトランザクションアクティビティを参照できません。 Manage Partners and Message Flows (パートナーおよびメッセージフローの管理) ユーザーは次の操作を実行できます。 - パートナーまたはメッセージフローの設定を作成、変更、削除する。 - パートナー設定を参照する。 このユーザーはトランザクションアクティビティを参照および管理できません。 Manage Activity (アクティビティの管理) ユーザーはトランザクションアクティビティを参照および管理できます。 このユーザーはパートナーまたはメッセージフローの設定を参照または変更できません。 Manage Host (ホストの管理) ユーザーはホストの設定を作成、変更、削除できます。 このユーザーはパートナーの設定またはトランザクションアクティビティを参照または変更できません。このアクセス権は、ユーザーに「Organization Administrator (組織のシステム管理者)」権限がある場合でも適用されます。 View Activity (アクティビティの参照) ユーザーはトランザクションアクティビティへの参照のみアクセス権があります。 このユーザーはパートナーまたはメッセージフローの設定を参照または変更できません。 ## [](#rpa)RPA Unresolved include directive in modules/ROOT/pages/permissions-by-product.adoc - include::rpa-home::partial$rpa-permissions.adoc\[\] ## [](#runtime-manager)Runtime Manager CloudHub Network Administrator (CloudHub ネットワーク管理者) ユーザーは CloudHub ネットワークリソースを管理できます。 CloudHub Network Viewer (CloudHub ネットワーク閲覧者) ユーザーは CloudHub ネットワークリソースを参照できます。 Delete Applications (アプリケーションの削除) ユーザーは特定の環境でアプリケーションを削除できます。 Download Applications (アプリケーションのダウンロード) ユーザーは特定の環境でアプリケーションファイルをダウンロードできます。 Manage Alerts (アラートの管理) ユーザーは特定の環境でアプリケーションアラートを作成、更新、削除できます。 Manage Application Data (アプリケーションデータの管理) ユーザーは特定の環境でアプリケーションデータを作成および削除できます。 Manage Queues (キューの管理) ユーザーは特定の環境でアプリケーションキューをクリアできます。 Read Runtime Fabric (Runtime Fabric の読み取り) ユーザーは組織内の Runtime Fabric を照会できます。 Manage Runtime Fabrics (Runtime Fabrics の管理) ユーザーは Runtime Fabric リソースを参照、作成、更新、削除できます。 Manage Runtime Fabric (Runtime Fabric の管理) ユーザーは Runtime Fabric リソースを参照、作成、更新、削除できます。 Manage Schedules (スケジュールの管理) ユーザーは特定の環境でアプリケーションのスケジュールを実行および更新できます。 Manage Settings (設定の管理) ユーザーは特定の環境でアプリケーション設定を更新できます。 Manage Tenants (テナントの管理) ユーザーは特定の環境でアプリケーションテナントを作成、更新、削除できます。 Read Alerts (アラートの読み取り) ユーザーは特定の環境でアラートを参照できます。 Read Applications (アプリケーションの読み取り) ユーザーは特定の環境でアプリケーションを参照できます。 Manage Servers (サーバーの管理) ユーザーはサーバーおよび Flex Gateway リソースを作成、更新、削除できます。 Read Servers (サーバーの読み取り) ユーザーはサーバーおよび Flex Gateway リソースを参照できます。 Manage Application Flows (アプリケーションフローの管理) ユーザーはフローを更新できます。 Create Applications (アプリケーションの作成) ユーザーは特定の環境でアプリケーションを作成できます。 ## [](#シークレットマネージャー)シークレットマネージャー Grant access to secrets (シークレットへのアクセス権の付与) ユーザーは特定の環境でメタデータの参照と読み取りを行い、シークレットへのアクセス権を付与できます。 Manage secret groups (シークレットグループの管理) ユーザーは次の操作を実行できます。 - 特定の環境でシークレットグループを作成、変更、削除、参照、コピーする。 - ユーザーが新しいコピーまたは復元操作を開始できるかどうかを確認する。 Read secrets metadata (シークレットメタデータの読み取り) ユーザーは特定の環境でシークレットのメタデータの参照と読み取りを行うことができます。 Write secrets (シークレットの作成) ユーザーは特定の環境でシークレットをアップロード、作成、および変更できます。 ## [](#tokenization-トークナイゼーション)Tokenization (トークナイゼーション) Manage Tokenization Services (トークナイゼーションサービスの管理) ユーザーはトークナイゼーションリソースを表示、作成、編集、削除できます。 Manage Tokenization Formats (トークナイゼーション形式の管理) ユーザーはトークナイゼーション形式を表示、作成、編集、削除できます。 ## [](#使用方法)使用方法 Usage Viewer (使用状況閲覧者) ユーザーが使用状況レポートを閲覧できるようにします。 ## [](#visualizer)Visualizer Visualizer Editor (Visualizer エディター) ユーザーは Anypoint Visualizer のすべてのコンテンツを表示、作成、変更、削除できます。 # Azure Active Directory クライアント管理の設定 動的クライアント登録を使用して、Anypoint Platform に Azure Active Directory (Azure AD) クライアント管理を設定できます。Azure AD をクライアントプロバイダーとして使用すれば、既存の設定で API コンシューマーを認証および承認することができます。Anypoint Platform の Azure AD 設定には、OAuth 2.0 クライアントアプリケーションの登録要求を Azure AD でサポートされる要求に変換するステートレスのマイクロサービスも用意されています。 ## [](#設定ウォークスルー)設定ウォークスルー 1. 組織のシステム管理者権限を持つアカウントを使用して Anypoint Platform にログインします。 2. ナビゲーションバーまたは Anypoint Platform のメインページで、​**\[Access Management (アクセス管理)\]**​ をクリックします。 3. \[Access Management (アクセス管理)\] ナビゲーションメニューで、​**\[Client Providers (クライアントプロバイダー)\]**​ をクリックします。 4. **\[Add Client Provider (クライアントプロバイダーを追加)\]**​ をクリックして、​**\[OpenID Connect DCR for Azure (Azure 用の OpenID Connect DCR)\]**​ を選択します。 **\[Add OIDC Azure client provider (OIDC Azure クライアントプロバイダーを追加)\]**​ ページが表示されます。 5. クライアントプロバイダーの名前と説明を入力します。 6. ID プロバイダーの設定から次の値を入力します。 1. **Issuer (発行者)**​: OpenID プロバイダーアサートがその信頼される発行者である URL。 2. **Tenant ID for Azure AD (Azure AD のテナント ID)**​: Azure AD から取得するテナント ID。テナント ID の取得についての詳細は、 [「How to find your Azure Active Directory tenant ID (Azure Active Directory のテナント ID を見つける方法)」](https://docs.microsoft.com/en-us/azure/active-directory/fundamentals/active-directory-how-to-find-tenant)​を参照してください。 3. **Client ID (クライアント ID)**​: Azure AD でアプリケーションを作成可能な ID プロバイダー (IdP) の既存のクライアントのクライアント ID。 4. **Client Secret (クライアントシークレット)**​: クライアント ID に対応するクライアントシークレット。 7. **\[Advanced Settings (詳細設定)\]**​ セクションを展開します。次の選択は省略可能です。 1. **Disable server certificate validation (サーバー証明書の検証を無効化)**​: Azure AD クライアント管理インスタンスに自己署名証明書、または内部認証機関によって署名された証明書が表示される場合は、サーバー証明書の検証を無効にします。 2. **Enable client deletion in Anypoint Platform (Anypoint Platform でクライアントの削除を有効化)**​: このインテグレーションで作成されたクライアントの削除を有効にします。 3. **Enable client deletion and updates in IdP (IdP でクライアントの削除および更新を有効化)**​: このオプションを使用するには、​**\[Enable client deletion in Anypoint Platform (Anypoint Platform でクライアントの削除を有効化)\]**​ オプションも選択する必要があります。このオプションにより、Azure AD によって ​`[https://graph.microsoft.com/v1.0/applications/{clientId}](https://graph.microsoft.com/v1.0/applications/{clientId})`​ に対して行われたアウトバウンドコールを通じて設定済みの IdP で外部クライアントの更新および削除が可能になります。 `PATCH`​ ペイロードの例については、 [「Update application (アプリケーションを更新する)」](https://docs.microsoft.com/en-us/graph/api/application-update?view=graph-rest-1.0&tabs=http)​ドキュメントを参照してください。​`DELETE`​ ペイロードの例については、 [「Delete application (アプリケーションを削除する)」](https://docs.microsoft.com/en-us/graph/api/application-delete?view=graph-rest-1.0&tabs=http)​ドキュメントを参照してください。 現在、クライアントシークレットの更新はサポートされていません。 8. **\[Create (作成)\]**​ をクリックします。 ## [](#microsoft-id-プラットフォームのサポート)Microsoft ID プラットフォームのサポート ### [](#アクセストークン)アクセストークン API では、Anypoint Platform の Azure AD クライアント管理は Microsoft ID プラットフォームで [v1 と v2 の両方の JSON Web Token](https://docs.microsoft.com/en-us/azure/active-directory/develop/access-tokens)​ (JWT) をサポートします。 ### [](#oauth-2-0-エンドポイント)OAuth 2.0 エンドポイント Anypoint Platform は、Azure AD v2.0 エンドポイント (Microsoft ID プラットフォームエンドポイント) を使用して取得されたトークンのみをサポートします。たとえば、Anypoint Platform は ​`[https://login.microsoftonline.com/{tenantId}/oauth2/v2.0/token](https://login.microsoftonline.com/{tenantId}/oauth2/v2.0/token)`​ というトークンエンドポイントをサポートします。 認証コード許可種別を使用してトークンを取得する場合には、次のプロパティを使用してください。 - `authorize url`​: `[https://login.microsoftonline.com/{tenantId}/oauth2/v2.0/authorize](https://login.microsoftonline.com/{tenantId}/oauth2/v2.0/authorize)` - `token url`​: `[https://login.microsoftonline.com/{tenantId}/oauth2/v2.0/token](https://login.microsoftonline.com/{tenantId}/oauth2/v2.0/token)` - `client id`​: {自分のクライアント ID} - `client secret`​: {自分のクライアントシークレット} - `scope`​: `[https://graph.microsoft.com/.default](https://graph.microsoft.com/.default)` Anypoint Platform は、カスタムスコープをサポートしません。Microsoft Graph のデフォルトスコープを使用してください。 ### [](#許可種別)許可種別 [Microsoft Azure AD クライアントプロバイダーを使用して新しいアプリケーションを作成](https://docs.microsoft.com/en-us/graph/api/application-post-applications?view=graph-rest-1.0&tabs=http)​する場合、サポートされる許可種別は指定できません。Microsoft Azure AD 側のこの制限により、Anypoint Platform では許可種別の選択がサポートされていません。 サポートされる許可種別については、 [Microsoft ID プラットフォームのドキュメント](https://docs.microsoft.com/en-us/azure/active-directory/develop/v2-oauth2-auth-code-flow)​を参照してください。 ### [](#クライアントシークレット)クライアントシークレット Microsoft の推奨に従って、シークレットの初期有効期限は 6 か月に設定されています。 ## [](#制限事項)制限事項 ### [](#microsoft-ナショナルクラウド)Microsoft ナショナルクラウド Anypoint Platform は、Azure Government や Azure China 21Vianet などの Microsoft ナショナルクラウドにデプロイされた Azure AD クライアントプロバイダーをサポートしていません。 ## [](#トークンの検証)トークンの検証 Microsoft Azure AD は標準ではイントロスペクションエンドポイントが提供されませんが、Anypoint Platform には、Azure AD をクライアントプロバイダーとして使用する場合に​[トークンの検証用のトークンイントロスペクションを実装するポリシー](#policies::policies-included-openid-token-enforcement.adoc#token-validation-endpoint-authentication)​があります。 このポリシーを使用するには、​[OAuth2.0 エンドポイント](#oauth-2-0-endpoints)​に関するドキュメントに従って、サポートされているトークンを生成します。 ### [](#トークンが失効したエラー)トークンが失効したエラー Azure AD から取得した有効なトークンを使用して Anypoint API を呼び出すことで OIDC ポリシーを適用しようとしたときに、​`「Token has been revoked (トークンが失効しました)」`​というエラーが表示される場合は、​[OAuth 2.0 エンドポイントに関するドキュメント](#oauth-2-0-endpoints)​を参照して、サポートされている方法を使用してトークンを取得していることを確認します。それでもトークンの検証が失敗する場合は、サポートにお問い合わせください。 ## [](#関連情報)関連情報 - [How to find your Azure Active Directory tenant ID (Azure Active Directory のテナント ID を見つける方法)](https://docs.microsoft.com/en-us/azure/active-directory/fundamentals/active-directory-how-to-find-tenant) - [Microsft ID プラットフォームのアクセストークン](https://docs.microsoft.com/en-us/azure/active-directory/develop/access-tokens) - [Microsoft ナショナルクラウド](https://learn.microsoft.com/en-us/azure/active-directory/develop/authentication-national-cloud) # ID プロバイダーの管理 最大 25 の外部 ID プロバイダー (IdP) を設定して、組織でユーザーのシングルサインオン (SSO) を有効にします。 Anypoint Platform では現在、SSO プロバイダーの SAML 2.0 設定と OpenID Connect (OIDC) 設定をサポートしています。 アクセス管理 API を使用している場合は、次の点に注意します。 - 新しい IdP が対象範囲外の古いエンドポイントは、新しいエンドポイントに置き換えられます。 - 2021 年 10 月 31 日以前に作成された IdP は、古いエンドポイントと下位互換性があります。 - 従来の IdP が削除された場合、その後再び追加されても古いエンドポイントはサポートされません。 ## [](#anypoint-platform-でのユーザー-id-の管理)Anypoint Platform でのユーザー ID の管理 デフォルトで、組織は Anypoint Platform を使用してユーザー ID とログイン情報を管理します。1 つ以上の外部 ID プロバイダーを追加した場合は、この機能を無効にできます。 Anypoint Platform を使用してユーザー ID を管理する組織は、アクセス管理設定と外部 ID プロバイダーのいずれかを使用して、新しいユーザーを組織に追加するかどうかを制御します。 ユーザーアカウントに多要素認証 (MFA) を求めない組織は、MFA と除外アカウントの有効/無効を選択します。組織が MFA を求める場合は、システム管理者が ​**\[Identity Providers (ID プロバイダー)\]**​ セクションの ​**\[Anypoint\]**​ 設定を使用して除外アカウントを管理します。 ## [](#始める前に)始める前に 始める前に、次の準備が整っていることを確認します。 - 組織のシステム管理者権限 - OpenID Connect または SAML 2.0 の ID プロバイダー ## [](#id-プロバイダーを管理する)ID プロバイダーを管理する ID プロバイダーのリストにアクセスして、設定を定義し、ID プロバイダーを追加します。 1. 組織のシステム管理者権限を持つアカウントを使用して Anypoint Platform にログインします。 2. ナビゲーションバーまたは Anypoint Platform のメインページで、​**\[Access Management (アクセス管理)\]**​ をクリックします。 3. \[Access Management (アクセス管理)\] ナビゲーションメニューで、​**\[Identity Providers (ID プロバイダー)\]**​ をクリックします。 ID プロバイダーのリストが表示されます。 ## [](#id-プロバイダーを追加する)ID プロバイダーを追加する **\[Add Identity Provider (ID プロバイダーを追加)\]**​ をクリックして、追加する ID プロバイダー種別を選択します。 次のいずれかを選択します。 - [OpenID Connect](https://docs.mulesoft.com/jp/access-management/conf-openid-connect-task) - [SAML 2.0](https://docs.mulesoft.com/jp/access-management/conf-saml-sso) ## [](#id-プロバイダーを削除する)ID プロバイダーを削除する 複数の ID プロバイダーが設定されている場合は、不要になった外部 ID プロバイダーを削除します。 IdP を削除する前に、別の IdP (ネイティブの Anypoint Platform IdP、外部 IdP など) にユーザーのログイン情報と権限構造が設定されていることを確認します。 IdP を削除するときは、次の点に注意します。 - ユーザーがこの IdP を使用して Anypoint Platform にログインできなくなります。 - この IdP に関連付けられている外部のチームやロールグループのマッピングがすべて削除されます。 - この IdP に関連付けられているアクセス管理 API のエンドポイントがサポートされなくなります。 ID プロバイダーを削除する手順は、次のとおりです。 1. 組織のシステム管理者権限を持つアカウントを使用して Anypoint Platform にログインします。 2. ナビゲーションバーまたは Anypoint Platform のメインページで、​**\[Access Management (アクセス管理)\]**​ をクリックします。 3. \[Access Management (アクセス管理)\] ナビゲーションメニューで、​**\[Identity Providers (ID プロバイダー)\]**​ をクリックします。 4. 削除する ID プロバイダーの横にある ​**\[…​\]**​ メニューをクリックします。 5. **\[Delete…​ (削除…​)\]**​ をクリックします。 6. **\[API Update (API の更新)\]**​ ウィンドウで、​**\[Continue (続行)\]**​ をクリックします。 7. ID プロバイダーの名前を入力します。 8. **\[Delete (削除)\]**​ をクリックします。 ## [](#enable-profile-linking)ユーザーによる Anypoint Platform プロファイルのリンクを有効化 組織のシステム管理者は、同じメールアドレスを使用してログインする複数の Anypoint Platform プロファイルをユーザーがリンクできるようにすることができます。 Anypoint プラットフォームでは次のリンクがサポートされています。 - ログイン情報 (Anypoint IdP によって管理されるログイン) を使用したローカルプロファイルへの SSO ログインのリンク - 異なる IdP を使用する別の SSO ログインへの SSO ログインのリンク - 異なる IdP を使用する他の複数のプロファイルへの SSO ログインのリンク Anypoint Platform では、同じ IdP を使用する複数のプロファイルのリンクはサポートされていません。OpenID Connect (OIDC) IdP のみがサポートされています。 1. 組織のシステム管理者権限を持つアカウントを使用して Anypoint Platform にログインします。 2. ナビゲーションバーまたは Anypoint Platform のメインページで、​**\[Access Management (アクセス管理)\]**​ をクリックします。 3. \[Access Management (アクセス管理)\] ナビゲーションメニューで、​**\[Identity Providers (ID プロバイダー)\]**​ をクリックします。 4. **\[Link Multiple SSO Profiles (複数の SSO プロファイルをリンク)\]**​ セクションで、​**\[Enabled (有効)\]**​ をクリックします。 5. **\[Save Changes (変更を保存)\]**​ をクリックします。 これで、組織内のユーザーは、同じメールアドレスを共有する他の IdP プロファイルと SSO ログインをリンクできます。 ## [](#remove-linked-profile-org-admin)ユーザーアカウントからリンクされたプロファイルの削除 組織のシステム管理者は、​`/accounts/api/organizations/:orgId/users/:userId/identityProviderProfiles`​ に対する ​`DELETE`​ コールを実行することで、ユーザーアカウントからリンクされたプロファイルを削除できます。詳細は、 [「Access Management API (アクセス管理 API)」ドキュメント](https://anypoint.mulesoft.com/exchange/portals/anypoint-platform/f1e97bc6-315a-4490-82a7-23abe036327a.anypoint-platform/access-management-api/)​を参照してください。 # ID 管理について Anypoint Platform 組織のシステム管理者は、Anypoint Platform で ID 管理を設定し、シングルサインオン (SSO) のためにユーザーをセットアップします。組織には、SSO 用に設定された最大 25 個の外部 ID プロバイダー (​_IdP_​) を設定できます。次のシングルサインオン標準のいずれかを使用して、ID 管理を設定します。 - OpenID Connect: SSO を含む認証サーバーによるエンドユーザーの ID 検証 - SAML 2.0: クロスドメイン SSO を含む Web ベースの認証 次の図は、SAML の ID 管理プロセスを示しています。 ![SAML の ID 管理プロセスフローを示している図](/mulesoft/current/ja-jp/access-management/_images/external-identity-decbd.png) OpenID Connect または SAML 2.0 を設定する前に、PingFederate、OpenAM、Okta などの OpenID Connect 対応プロバイダーを選択します。OpenID Connect を使用していない場合、SAML 2.0 対応プロバイダーを選択します。 次の SAML プロバイダーは完全にサポートされています。 - Salesforce - PingFederate (バージョン: 6、7、8) - OpenAM (バージョン: 14) - Okta 次の SAML プロバイダーは機能することがわかっていますが、積極的にテストされているわけではありません。 - Active Directory Federation Services (AD FS) - Shibboleth - onelogin - CA Single Sign-On - SecureAuth 次のプロバイダーは OpenID Connect との連携が完全にサポートされています。 - Salesforce - PingFederate (バージョン: 6、7、8) - OpenAM (バージョン: 14) - Okta ID プロバイダーを選択した後: - ID プロバイダー設定で Anypoint Platform 組織をオーディエンスとしてセットアップします。
選択した IdP は、組織全体およびすべてのビジネスグループで有効になります。
- Anypoint Platform ルート組織で ID 管理を設定します。 - IdP と Anypoint Platform で一致するように属性名を設定します。 詳細は、ID プロバイダーのドキュメントを参照してください。 ## [](#外部-id-プロバイダーを使用したユーザーの管理)外部 ID プロバイダーを使用したユーザーの管理 外部 ID 管理を設定したら、外部 ID 管理ソリューションと内部プロビジョニングプロセスを使用して、新しい SSO ユーザーを追加する必要があります。外部 ID プロバイダーの設定後にユーザーの招待機能を使用してユーザーを組織に追加する場合、これらのユーザーのログイン情報は外部 ID プロバイダーではなく Anypoint ID プロバイダーを使用して組織に保存されます。 SSO を使用してログインするユーザーは、システムへの新規ユーザーとなります。新規ユーザーのユーザー名が Anypoint Platform 組織にすでに存在するユーザーと同じ場合、新規ユーザーは同じユーザー名で元のユーザーと共存します。同じユーザー名のユーザーは、お互いに独立して管理されます。 ## [](#関連情報)関連情報 - [OpenID Connect を設定する](https://docs.mulesoft.com/jp/access-management/conf-openid-connect-task) - [SAML を設定する](https://docs.mulesoft.com/jp/access-management/conf-saml-sso) - [Anypoint Platform Private Cloud で LDAP を設定する](https://docs.mulesoft.com/jp/access-management/conf-ldap-private-cloud-task) # LDAP 設定 - [LDAP グループでユーザーをチームまたはロールにマップする方法](https://docs.mulesoft.com/jp/access-management/map-users-roles-teams#configure-multiple-group-mappings-for-single-sign-on-using-ldap) - [Anypoint Platform Private Cloud での LDAP の設定方法](https://docs.mulesoft.com/jp/access-management/conf-ldap-private-cloud-task) # OpenAM を使用したクライアント管理の設定 1. 組織のシステム管理者権限を持つアカウントを使用して Anypoint Platform にログインします。 2. ナビゲーションバーまたは Anypoint Platform のメインページで、​**\[Access Management (アクセス管理)\]**​ をクリックします。 3. **\[Business Groups (ビジネスグループ)\]**​ メニューで、ルート組織を選択します。 4. \[Access Management (アクセス管理)\] ナビゲーションメニューで、​**\[Client Providers (クライアントプロバイダー)\]**​ をクリックします。 5. **\[Add Client Provider (クライアントプロバイダーを追加)\]**​ をクリックしてから ​**\[OpenAM\]**​ を選択します。 **\[Add OpenAM client provider (OpenAM クライアントプロバイダーを追加)\]**​ ページが表示されます。 6. 次の必須項目を入力します。 - Version (バージョン) OpenAM バージョン 14。 - Admin Token Provider (システム管理者トークンプロバイダー) - Create URL (作成 URL) OAuth 認証用のアクセストークンを作成するエンドポイント。 - Username (ユーザー名) アクセス権を要求するユーザーの名前。 - Password (パスワード) アクセス権を要求するユーザーのパスワード。 - OAuth2 Authorization Provider, Authorize URL (OAuth2 認証プロバイダー、承認 URL) `/oauth2/authorize`​。OpenAM アプリケーションのベースパスに対して相対的。絶対 URL を指定します (ベース URI とパス)。 - OAuth2 Token Provider, Create URL (OAuth2 トークンプロバイダー、作成 URL) `/oauth2/access_token`​。OpenAM アプリケーションのベースパスに対して相対的。絶対 URL を指定します (ベース URI とパス)。 - OAuth2 Token Validation Provider (OAuth2 トークン検証プロバイダー) - URL の検証 トークン検証エンドポイントは、OpenAM アプリケーションのベースパスに対して相対的な ​`/oauth2/tokeninfo`​ です。 - Username Token Mapping (ユーザー名トークンマッピング) 対象 OpenAM システム内でクライアントを新規作成するための権限を持つユーザーの名前。 - OAuth2 Client Provider (OAuth2 クライアントプロバイダー) - Create URL (作成 URL) OpenAM クライアント管理 API リソースが提供される URL。通常、エンドポイントは ​`/oauth2/client`​ にあります。OpenAM システム管理者に確認してください。 - Delete URL (削除 URL) テストクライアントを削除するために DELETE 要求を送信するための URL 宛先。 - スコープ READ や WRITE など、サポートされる OAuth 機能。 - Default Scopes (デフォルトスコープ) クライアントアプリケーションで指定されない場合に使用するデフォルトの OAuth 機能。 7. 設定を保存します。 これで、OpenAM OAuth トークン適用ポリシーを API に適用できるようになりました。 ## [](#関連情報)関連情報 - [OAuth 2.0 について](https://docs.mulesoft.com/jp/api-manager/latest/mule-oauth-provider-landing-page) - [OpenAM および PingFederate OAuth トークン適用ポリシー](#api-manager::openam-oauth-token-enforcement-policy.adoc) # OpenID Connect ID 管理の設定 このトピックでは、OpenID Connect でのクライアント登録の 2 通りの ID 管理手順について説明します。 - 動的登録 - 手動登録 MuleSoft は Anypoint Platform で次の登録のサポートを検証します。 - Okta および OpenAM で動的に作成されたクライアント - Salesforce、Okta、OpenAM、および PingFederate で手動で作成されたクライアント 前述の ID プロバイダーとのインテグレーションは公式にテスト済みですが、Anypoint Platform では OpenID Connect プロトコルをサポートしています。つまり、プロトコルをサポートする ID プロバイダーは、 [仕様](http://openid.net/specs/openid-connect-core-1_0.html)​から外れない限り、連携できます。 すでに ID プロバイダーで Anypoint Platform をクライアントアプリケーションとして設定している場合、手動登録を実行してください。それ以外で、ID プロバイダーが動的クライアント登録をサポートしている場合は、動的登録を実行してください。登録中に、いくつかの URL を指定する必要があります。次のテーブルで、登録中にプロバイダーに応じて指定する必要がある URL の例を示します。
URL 名 Okta の URL 例 Salesforce の URL 例 OpenAM の URL 例 PingFederate の URL 例

Base (ベース)

https://example.okta.com/oauth2/v1

https://domain.my.salesforce.com/services/oauth2

https://example.com/openam/oauth2

https://example.com:9031

Client Registration (クライアント登録)

{BASE URL}/clients

{BASE URL}/clients

{BASE URL}/connect/register

なし

Authorize (認証)

{BASE URL}/authorize

{BASE URL}/authorize

{BASE URL}/authorize

{BASE URL}/as/authorization.oauth2

Token (トークン)

{BASE URL}/token

{BASE URL}/token

{BASE URL}/access_token

{BASE URL}/as/token.oauth2

User Info (ユーザー情報)

{BASE URL}/userinfo

{BASE URL}/userinfo

{BASE URL}/userinfo

{BASE URL}/idp/userinfo.openid
## [](#openid-connect-を動的に設定する)OpenID Connect を動的に設定する 1. 組織のシステム管理者権限を持つアカウントを使用して Anypoint Platform にログインします。 2. ナビゲーションバーまたは Anypoint Platform のメインページで、​**\[Access Management (アクセス管理)\]**​ をクリックします。 3. **\[Business Groups (ビジネスグループ)\]**​ メニューで、ルート組織を選択します。 4. \[Access Management (アクセス管理)\] ナビゲーションメニューで、​**\[Identity Providers (ID プロバイダー)\]**​ をクリックします。 5. **\[Identity Management (ID 管理)\]**​ ページで、​**\[OpenID Connect\]**​ を選択します。 \[External Identity - Identity Management OpenID Connect (外部 ID - ID 管理 OpenID Connect)\] フォームが表示されます。 6. ID プロバイダーの設定から値を取得した後で、次の必須項目に入力します。 - Client Registration URL (クライアント登録 URL) Anypoint を ID プロバイダーのクライアントアプリケーションとして動的に登録するための URL。 - Authorize Header (認証ヘッダー) 動的クライアント登録要求の認証ヘッダー。これは、\[Advanced Settings (詳細設定)\] リンクの省略可能な項目です。このヘッダーは、プロバイダーが認証済みのクライアントに対する登録要求を制限している場合に必須です。 - Okta: この値は ​`SSWS ${api_token}`​ です。ここで、​`api_token`​ は Okta を通じて作成される API トークンです。 - OpenAM: この値は ​`Bearer ${api_token}`​ です。ここで、​`api_token`​ は OpenAM を通じて作成される API トークンです。 - Authorize URL (認証 URL) ユーザーが OpenID Connect クライアントアプリケーションを認証してユーザーの ID へのアクセスを許可する URL。 - Token URL (トークン URL) 安全な JSON Web トークンでエンコードされたユーザーの ID を提供する URL。 - User Info URL (ユーザー情報 URL) ユーザープロファイル情報を Anypoint に返すための URL。 7. 設定を保存します。 8. サインアウトして、組織の SSO URL に移動します。たとえば、次のようになります。 `https://anypoint.mulesoft.com/accounts/login/{yourOrgDomain}` 9. ID プロバイダーを通じてログインし、設定をテストします。
ID プロバイダーで動的に登録されたアプリケーションには、デフォルト設定しかありません。追加の機能 (グループマッピングなど) を設定する場合は、プロバイダー側で設定を更新する必要があります。動的に登録されたアプリケーションの設定は、現在サポートされていません。
## [](#openid-connect-を手動で設定する)OpenID Connect を手動で設定する 1. 組織のシステム管理者権限を持つアカウントを使用して Anypoint Platform にログインします。 2. ナビゲーションバーまたは Anypoint Platform のメインページで、​**\[Access Management (アクセス管理)\]**​ をクリックします。 3. \[Access Management (アクセス管理)\] ナビゲーションメニューで、​**\[Identity Providers (ID プロバイダー)\]**​ をクリックします。 4. \[Identity Management (ID 管理)\] から、\[OpenId Connect\] を選択します。 \[External Identity - Identity Management OpenID Connect (外部 ID - ID 管理 OpenID Connect)\] フォームが表示されます。 5. \[Client Registration URL (クライアント登録 URL)\] で ​`Use manual registration`​ をクリックします。 6. ID プロバイダー内で Anypoint Platform のクライアントアプリケーションを作成します。 - ID プロバイダーから、認証済みユーザーをリダイレクトするためのリダイレクト URI が要求されます。\[Client ID (クライアント ID)\] 項目の上で自動的に生成されるリダイレクト URI を使用します。 - ID プロバイダー内で、クライアントのサポートされるスコープに ​`openid`​、​`profile`​、​`email`​ が含まれることを確認します。 - ID プロバイダー内で、クライアントが ​`authorization_code`​ 許可種別を使用することを確認します。 - \[Client ID (クライアント ID)\] と \[Client Secret (クライアントシークレット)\] の値を安全な場所に保存し、次のステップでこれらの値を入力します。 7. ID プロバイダーの設定からこれらの値を取得した後で、次の必須項目に入力します。 - Client ID (クライアント ID) 手動で作成されたクライアントアプリケーションについて指定した一意の識別子。 - Client Secret (クライアントシークレット) Anypoint Platform クライアントアプリケーションを ID プロバイダーに対して認証するためのパスワードまたはシークレット。 - Authorize URL (認証 URL) ユーザーが OpenID Connect クライアントアプリケーションを認証してユーザーの ID へのアクセスを許可する URL。 - Token URL (トークン URL) 安全な JSON Web トークンでエンコードされたユーザーの ID を提供する URL。 - User Info URL (ユーザー情報 URL) ユーザープロファイル情報をクライアントアプリケーションに返す URL。 - OpenID Connect Issuer (OpenID Connect 発行者) OpenID プロバイダーの場所。ほとんどのプロバイダーでは、​`/.well-known/openid-configuration`​ が発行者に追加され、openID Connect 仕様のメタデータ URL を生成します。Salesforce では、​`issuer`​ の値を指定する必要があります。 8. 設定を保存します。 9. サインアウトして、組織の SSO URL に移動します。たとえば、次のようになります。 `https://anypoint.mulesoft.com/accounts/login/{yourOrgDomain}` 10. ID プロバイダーを通じてログインし、設定をテストします。 ## [](#関連情報)関連情報 - [Okta OpenID Connect](https://developer.okta.com/docs/api/resources/oidc/) - [動的クライアント登録](https://developer.okta.com/docs/api/resources/oauth-clients/) - [トークンの取得](https://developer.okta.com/docs/api/getting_started/getting_a_token/) - [ユーザーの取得](https://developer.okta.com/docs/api/resources/users/#get-user) - [Salesforce OAuth 2.0 Web Server Authentication Flow (Salesforce OAuth 2.0 Web サーバー認証フロー)](https://help.salesforce.com/articleView?id=remoteaccess_oauth_web_server_flow.htm) - [Salesforce OpenID Connect、Authentication Request (認証要求)](https://help.salesforce.com/articleView?id=sso_provider_openid_connect.htm) - [Salesforce OAuth Refresh Token Process (Salesforce OAuth 更新トークンプロセス)](https://developer.salesforce.com/docs/atlas.en-us.api_rest.meta/api_rest/intro_understanding_refresh_token_oauth.htm) - [Salesforce Understanding Username-Password OAuth (Salesforce によるユーザー名とパスワードの OAuth の理解)](https://developer.salesforce.com/docs/atlas.en-us.api_rest.meta/api_rest/intro_understanding_username_password_oauth_flow.htm) - [AM 5 OAuth 2.0 ガイド、セクション 3.1。OAuth 2.0 Client and Resource Server Endpoints (OAuth 2.0 クライアントおよびリソースサーバーエンドポイント)](https://backstage.forgerock.com/docs/am/5/oauth2-guide/#rest-api-oauth2-client-endpoints) - [AM 5 OpenID Connect 1.0 ガイド、セクション 2.4。To Register a Relying Party Dynamically (証明書利用者を動的に登録する方法)](https://backstage.forgerock.com/docs/am/5/oidc1-guide/index.html#register-openid-connect-client-dynamic) - [AM 5 OpenID Connect 1.0 ガイド、セクション 3.1。Authorizing OpenID Connect 1.0 Relying Parties (OpenID Connect 1.0 証明書利用者の承認)](https://backstage.forgerock.com/docs/am/5/oidc1-guide/index.html#openid-connect-examples) - [PingFederate Authorization Endpoint (PingFederate 認証エンドポイント)](https://documentation.pingidentity.com/pingfederate/pf84/index.shtml#concept_authorizationEndpoint.html#concept_authorizationEndpoint) - [PingFederate Token Endpoint (PingFederate トークンエンドポイント)](https://documentation.pingidentity.com/pingfederate/pf84/index.shtml#adminGuide/concept/tokenEndpoint.html) # OpenID Connect クライアント管理の設定 MuleSoft は、OpenID Connect 動的クライアント登録オープン標準を実装する ID プロバイダーによるクライアント管理をサポートします。 MuleSoft は Anypoint Platform で Salesforce、Okta、OpenAM v14 の動的クライアント登録のサポートを明示的に検証します。 次のテーブルで、登録中にプロバイダーに応じて指定する必要がある URL の例を示します。

URL 名

Okta の URL 例

OpenAM の URL 例

Salesforce の URL 例

Base (ベース)

https://example.okta.com/oauth2/v1

https://example.com/openam/oauth2

https://example.salesforce.com/services/oauth2

Client Registration (クライアント登録)

{BASE URL}/clients

{BASE URL}/connect/register

{BASE URL}/register

Authorize (承認)

{BASE URL}/authorize

{BASE URL}/authorize

{BASE URL}/authorize

Token (トークン)

{BASE URL}/token

{BASE URL}/access_token

{BASE URL}/token

Token Introspection (トークンイントロスペクション)

{BASE URL}/introspect

{BASE URL}/introspect

{BASE URL}/introspect
1. 組織のシステム管理者権限を持つアカウントを使用して Anypoint Platform にログインします。 2. ナビゲーションバーまたは Anypoint Platform のメインページで、​**\[Access Management (アクセス管理)\]**​ をクリックします。 3. \[Access Management (アクセス管理)\] ナビゲーションメニューで、​**\[Client Providers (クライアントプロバイダー)\]**​ をクリックします。 4. **\[Add Client Provider (クライアントプロバイダーを追加)\]**​ をクリックして、​**\[OpenID Connect Dynamic Client Registration (OpenID Connect 動的クライアント登録)\]**​ を選択します。 **\[Add OIDC client provider (OIDC クライアントプロバイダーを追加)\]**​ ページが表示されます。 5. ID プロバイダーの設定から値を取得したら、各セクションの次の必須項目にそれらの値を入力します。 - **動的クライアント登録** - **Issuer (発行者)**​: OpenID プロバイダーアサートがその信頼される発行者である URL。 - **Client Registration URL (クライアント登録 URL)**​: クライアントアプリケーションを ID プロバイダーのクライアントアプリケーションとして動的に登録するための URL。 - **Authorization Header (認証ヘッダー)**​: サーバーで認証するためのログイン情報を表示するヘッダー。このヘッダーは、プロバイダーが承認済みのクライアントに対する登録要求を制限している場合に必須です。 - Okta の場合、この値は ​`SSWS ${api_token}`​ です。ここで、​`api_token`​ は Okta を通じて作成される API トークンです。 - ForgeRock の場合、この値は ​`Bearer ${api_token}`​ です。ここで、​`api_token`​ は ForgeRock を通じて作成される API トークンです。 - Salesforce の場合、この値は ​`Bearer ${api_token}`​ です。ここで、​`api_token`​ は Salesforce を通じて作成される API トークンです。 ​**\[Advanced Settings (詳細設定)\]**​ では、以下のオプションを選択することもできます。 - **Disable server certificate validation (サーバー証明書の検証を無効化)**​: OpenID クライアント管理インスタンスで自己署名証明書、または内部認証機関によって署名される証明書が表示される場合、サーバー証明書の検証を無効にします。 - **Enable client deletion in Anypoint Platform (Anypoint Platform でクライアントの削除を有効化)**​: このインテグレーションで作成されたクライアントの削除を有効にします。 - **Enable client deletion and updates in IdP (IdP でクライアントの削除および更新を有効化)**​: このオプションを使用するには、​**\[Enable client deletion in Anypoint Platform (Anypoint Platform でクライアントの削除を有効化)\]**​ オプションも選択する必要があります。このオプションにより、Anypoint Platform によって ​`{clientRegistrationUrl}/{clientID}`​ に対して行われたアウトバウンドコールを通じて設定済みの IdP で外部クライアントの更新および削除が可能になります。​`clientRegistrationUrl`​ は ​**\[Client Registration URL (クライアント登録 URL)\]**​ で設定した値です。たとえば、​`https://identity.example.com/oauth2/connect/register/6779ef20e75817b79602`​ のようにします。 - `Authorization:`​ ヘッダーは、​**\[Advanced settings (詳細設定)\]**​ の ​`Authorization Header`​ が設定されている場合のみ要求に含まれます。 - 渡される ​`client_id`​ 要求パラメーターは、​`PUT`​ 要求ペイロードで渡される ​`client_id`​ と同じです。 - ペイロードで渡される ​`token_endpoint_auth_method`​ は常に ​`client_secret_basic`​ です。 - OIDC の ​**\[Client Provider (クライアントプロバイダー)\]**​ で設定した内容から取得されるのは、​`Client Registration URL`​ と ​`Authorization Header`​ のみです。 PUT (更新) 要求のペイロードの例を次に示します。 PUT /oauth2/connect/register/{{client\_id}} Accept: application/json Host: identity.example.com Authorization: Bearer access-token { "client\_id": "client\_id", "client\_secret": "some-secret", "redirect\_uris": \[ "https://example.com/" \], "grant\_types": \[ "authorization\_code" \], "token\_endpoint\_auth\_method": "client\_secret\_basic", "response\_types": \[ "code" \], "client\_name": "test-client-name" }
要求の ​client_name​ はインバウンド側の ​name​ にマップされます。
認証方法は許可種別によって異なります。たとえば、許可種別が ​implicit​ の場合、​id_token​ と ​token​ が返されます。
DELETE リクエストヘッダーの例を次に示します。 DELETE /oauth2/connect/register/{{client\_id}} Host: identity.example.com Authorization: Bearer access-token
コールが直接 IDP に対して使用されている場合、​PUT​ と ​DELETE​ のどちらもが機能しないことが予期されます。自分で管理しているアプリケーションを参照することによる捕捉を目的としているため、特定のプロバイダー用に適切な削除および更新の API を実装できます。
- **Client Request Timeout (seconds) (クライアント要求のタイムアウト (秒))**​: クライアントプロバイダーの要求がタイムアウトするまでの時間。最小値は 5 秒です。最大値は 20 秒です。 - **Token Introspection Client (トークンイントロスペクションクライアント)** - **Client ID (クライアント ID)**​: すべてのクライアントの​_すべて_​のトークンのイントロスペクションが可能な IdP の既存のクライアントのクライアント ID。 - Okta の場合、この値は「Confidential (機密)」クライアントである必要があります。 - ForgeRock の場合、この値は「Confidential (機密)」クライアントである必要があります。 - Salesforce の場合、この値は「Confidential (機密)」クライアントである必要があります。 - **Client Secret (クライアントシークレット)**​: クライアント ID に対応するクライアントシークレット。 - **OpenID Connect Authorization URLs (OpenID Connect 認証 URL)** - **Authorize URL (認証 URL)**​: ユーザーが OpenID Connect クライアントアプリケーションを認証してユーザーの ID へのアクセスを許可する URL。 - **Token URL (トークン URL)**​: 安全な JSON Web トークンでエンコードされたユーザーの ID を提供する URL。 6. **\[Create (作成)\]**​ をクリックします。 これを正常に設定すると、API Manager を通じて OpenID Connect OAuth トークン適用ポリシーを API ゲートウェイに適用できます。API Portal を通じて API アクセスを要求すると、トークンプロバイダーとして機能する設定済みの IDP でクライアントアプリケーションが動的に生成されます。
Okta の場合、Okta システム管理者は動的に生成されたクライアントをユーザーまたはユーザーのグループに割り当てて、クライアント ID およびクライアントシークレットを送信することでアクセストークンを受信できるようにする必要があります。
Anypoint Platform が設定済みの OIDC エンドポイントに対して HTTP コールを行った 5 秒後に応答がない場合、HTTP コールはタイムアウトになります。
## [](#サポートされる許可種別)サポートされる許可種別 ### [](#api-portal-で事前入力される許可種別)API Portal で事前入力される許可種別 OIDC 動的クライアント登録プロバイダーのセットアップ中に省略可能な ​**\[Issuer (発行者)\]**​ 項目を設定すると、Anypoint Platform はその UI に、プロバイダーでサポートされるすべての OIDC 許可種別 (​`client credentials`​、​`password`​ など) を自動的に入力します。プロバイダーでサポートされる許可種別を確認するには、​`_$ISSUER_​/.well-known/openid-configuration`​ を使用してプロバイダーの検出エンドポイントを確認します。ここで、​`_$ISSUER_`​ はプロバイダーとして設定された発行者です。クライアントプロバイダーの ​`_$ISSUER_​/.well-known/oauth-authorization-server`​ エンドポイントで [この仕様](https://datatracker.ietf.org/doc/html/rfc8414#section-3)​がサポートされている場合、許可種別を ​`_$ISSUER_​/.well-known/openid-configuration`​ とマージする前に、エンドポイントが検出されて検証されます。このプロセスで、Okta ユーザーのクライアントログイン情報許可種別も使用できるようになります。 ### [](#許可種別の更新)許可種別の更新 **\[Issuer (発行者)\]**​ が設定されており、​`/.well-known`​ URL を使用可能な場合、既存のクライアントプロバイダーに移動してそれを再度保存すると、​`/.well-known`​ メタデータからの ​`grant_types_supported`​ に基づいて許可種別が更新されます。クライアントプロバイダーを作成または更新すると、システムによって ​`/.well-known`​ メタデータが取得されます。 ### [](#デフォルトの許可種別)デフォルトの許可種別 **\[Issuer (発行者)\]**​ 項目が設定されていない場合、またはプロバイダーの検出エンドポイントを使用できない場合は、​[Anypoint Exchange API ポータル](https://docs.mulesoft.com/jp/exchange/)​で API クライアントアプリケーションを作成するときに Anypoint Platform UI にデフォルトで次の許可種別が表示されます。 - 暗黙的 - Authorization (認証) - Refresh Token (更新トークン)
[Refresh Token (更新トークン)] 許可種別を選択できるのは、認証認可種別も選択している場合のみです。
## [](#関連情報)関連情報 - [OpenAM、OpenID Connect、または PingFederate OAuth トークン適用ポリシーについて](#api-manager::openam-oauth-token-enforcement-policy.adoc) - [OAuth 2.0 について](https://docs.mulesoft.com/jp/api-manager/latest/mule-oauth-provider-landing-page) - [How to find your Azure Active Directory tenant ID (Azure Active Directory のテナント ID を見つける方法)](https://docs.microsoft.com/en-us/azure/active-directory/fundamentals/active-directory-how-to-find-tenant)​。 - [OpenAM 13.5 開発者ガイド、手順 14.4 To Register a Relying Party Dynamically (証明書利用者を動的に登録する方法)](https://backstage.forgerock.com/docs/openam/13.5/admin-guide#register-openid-connect-client-dynamic) - [Okta OpenID Connect, Dynamic Client Registration (Okta OpenID Connect、動的クライアント登録)](https://developer.okta.com/docs/api/resources/oauth-clients) - [Okta OpenID Connect & OAuth 2.0 API (Okta OpenID Connect および OAuth 2.0 API)](https://developer.okta.com/docs/api/resources/oidc/) - [AM 5 OAuth 2.0 ガイド、3.1。OAuth 2.0 Client and Resource Server Endpoints (OAuth 2.0 クライアントおよびリソースサーバーエンドポイント)](https://backstage.forgerock.com/docs/am/5/oauth2-guide/#rest-api-oauth2-client-endpoints) # PingFederate を使用したクライアント管理の設定 Anypoint Platform は、PingFederate バージョン 6 ～ 8 のみをサポートします。バージョン 9 以降の場合​[、「OpenID Connect クライアント管理の設定」](https://docs.mulesoft.com/jp/access-management/configure-client-management-openid-task)​の手順に従って、PingFederate クライアントプロバイダーを OIDC プロバイダーとして設定できます。 クライアントプロバイダー URL を設定する場合、​`/as/clients.oauth2`​ ではなく、エンドポイント ​`/pf-ws/rest/oauth/clients`​ を使用します。この設定には、PingFederate の動的クライアント登録 URL を使用しないでください。 ## [](#pingfederate-クライアントプロバイダーを追加する手順)PingFederate クライアントプロバイダーを追加する手順 1. 組織のシステム管理者権限を持つアカウントを使用して Anypoint Platform にログインします。 2. ナビゲーションバーまたは Anypoint Platform のメインページで、​**\[Access Management (アクセス管理)\]**​ をクリックします。 3. **\[Business Groups (ビジネスグループ)\]**​ メニューで、ルート組織を選択します。 4. \[Access Management (アクセス管理)\] ナビゲーションメニューで、​**\[Client Providers (クライアントプロバイダー)\]**​ をクリックします。 5. **\[Add Client Provider (クライアントプロバイダーを追加)\]**​ をクリックしてから ​**\[PingFederate\]**​ を選択します。 **\[Add PingFederate client provider (PingFederate クライアントプロバイダーを追加)\]**​ ページが表示されます。 6. 次の必須項目を入力します。 - OAuth2 Authorization Provider, Authorize URL (OAuth2 認証プロバイダー、承認 URL) OAuth 2.0 によって定義され、リソースオーナーと直接やり取りすること、オーナーを認証すること、およびオーナー認証を取得することを目的として使用される認証エンドポイント。次に例を示します。 `https://ec2-55-88-144-83.us-west-2.compute.amazonaws.com:9031/as/authorization.oauth2` - OAuth2 Token Provider, Create URL (OAuth2 トークンプロバイダー、作成 URL) OAuth 認証用のアクセストークンを作成するエンドポイント。次に例を示します。 `https://ec2-55-88-144-83.us-west-2.compute.amazonaws.com:9031/as/token.oauth2` - OAuth2 Token Validation Provider (OAuth2 トークン検証プロバイダー) - URL の検証 OAuth 2.0 仕様で定義されるトークンエンドポイント。クライアントはここでアクセストークンを取得し、あるいはその認証許可を表示することで更新トークンを取得できます。次に例を示します。 `https://ec2-55-88-144-83.us-west-2.compute.amazonaws.com:9031/as/token.oauth2` - Username Token Mapping (ユーザー名トークンマッピング) アクセス権を要求するユーザーの名前。たとえば、ユーザー名マッピングトークン uid。 - Client Id (クライアント ID) HTTP 基本認証を使用して認証されるクライアントのユーザー名である省略可能なクライアント識別子。 - Client Secret (クライアントシークレット) HTTP 基本認証を使用して認証されるクライアントの省略可能なクライアントパスワード。 - OAuth 2 Client Provider (OAuth 2 クライアントプロバイダー) - Create URL (作成 URL) PingFederate クライアント管理 API リソースが提供される URL。次に例を示します。 `https://ec2-55-88-144-83.us-west-2.compute.amazonaws.com:9031/pf-ws/rest/oauth/clients` ベース URL はサーバーのベース URL にもできます。これは PingFederate システム管理者に確認してください。 - Delete URL (削除 URL) テストクライアントを削除するために DELETE 要求を送信するための URL 宛先。次に例を示します。 `https://ec2-55-88-144-83.us-west-2.compute.amazonaws.com:9031/pf-ws/rest/oauth/clients/{{client_id}}` - Username (ユーザー名) 対象 PingFederate システム内でクライアントを新規作成するための権限を持つユーザーの名前。 - Password (パスワード) 対象 PingFederate システム内でクライアントを新規作成するための権限を持つユーザーのパスワード。 7. すでに承認を受けているかをバイパス承認ページで確認してください。 8. 設定を保存します。 これで、PingFederate OAuth トークン適用ポリシーを API に適用できるようになりました。 ## [](#関連情報)関連情報 - [PingFederate 8.0 OAuth 2.0 エンドポイント](https://docs.pingidentity.com/bundle/pingfederate-80/page/adminGuide/concept/oAuth2_0Endpoints.html) - [PingFederate 8.0 Web サービスインターフェース](https://docs.pingidentity.com/bundle/pingfederate-80/page/adminGuide/concept/webServiceInterfaces.html) - [OAuth 2.0 について](https://docs.mulesoft.com/jp/api-manager/latest/mule-oauth-provider-landing-page) - [OpenAM および PingFederate OAuth トークン適用ポリシー](#api-manager::openam-oauth-token-enforcement-policy.adoc) # Private Cloud Edition の機能 ## [](#概要)概要 このセクションでは、Anypoint Platform Private Cloud Edition で使用可能なアクセス管理機能について説明します。 Anypoint Platform Private Cloud Edition を実行しているユーザーは次の操作を実行できます。 1. [LDAP](https://docs.mulesoft.com/jp/access-management/external-identity#configure-ldap)​ を使用して​[ユーザー管理](https://docs.mulesoft.com/jp/access-management/external-identity#user-management)​を設定する。 2. Anypoint Platform Private Cloud Edition インストールから API Manager アラートを送信するように ​[SMTP サーバー](#smtp)​を設定する 3. Anypoint Platform の SSL 暗号化を処理するために​[証明書および非公開キー](#Security)​を設定する 4. Anypoint Platform ログインメッセージにカスタマイズした​[免責事項](#Disclaimer)​を追加する ## [](#smtp)SMTP Anypoint Platform Private Cloud Edition では、​**API Manager**​ と ​**Runtime Manager**​ の両方のメールアラートを配信するために独自の SMTP メールサーバーをセットアップする必要があります。\[Access Management (アクセス管理)\] メニューの \[SMTP\] セクションで、セットアップしたサーバーを参照できます。

このサービスで、SMTP サーバーが自動で作成されることはありません。環境内の既存の SMTP サーバーの設定を使用して設定することを目的としています。
左のナビゲーションバーで、​**\[SMTP\]**​ オプションをクリックして SMTP サーバーの詳細を設定します。 ![on premises features 2c60a](/mulesoft/current/ja-jp/access-management/_images/on-premises-features-2c60a.png)
項目 説明 例

Host (ホスト)

SMTP サーバーのホスト名

​smtp.gmail.com​

Port (ポート)

SMTP サーバーと通信するために使用されるポート

​587​

Username (ユーザー名)

SMTP サーバーを認証するためのユーザー名

​mulesoft.onprem.smtp@gmail.com​

Password (パスワード)

SMTP パスワード

​examplepassphrase​
設定を行った後で、下の ​**\[Save (保存)\]**​ ボタンをクリックします。 ## [](#dns-または-ip)DNS または IP Anypoint Platform のインスタンスをローカルネットワークに公開するために使用する DNS または IP を指定する必要があります。これは、Mule Runtime が通信できるようにするために必要です。 1. **\[Access Management (アクセス管理)\]**​ を入力します。 2. \[\*DNS/IP\] タブを選択します。 3. **\[Platform DNS/IP (プラットフォームの DNS/IP)\]**​ 項目にプラットフォームをホストするアドレスを入力します。 4. **\[Save (保存)\]**​ をクリックします。 ![on premises features 2f348](/mulesoft/current/ja-jp/access-management/_images/on-premises-features-2f348.png) ## [](#セキュリティ)セキュリティ 独自の証明書を使用するように Anypoint Platform を設定できます。 さらに、キーエクスチェンジ方法として暗号化と DH グループを選択できます。 左のナビゲーションバーで、​**\[Security (セキュリティ)\]**​ リンクをクリックします。 ![on prem features 5f98d](/mulesoft/current/ja-jp/access-management/_images/on-prem-features-5f98d.png) 1. **\[Certificate (証明書)\]**​ 項目で、​**\[Browse (参照)\]**​ ボタンをクリックしてハードドライブ内で証明書を検索します。 2. **\[Key (キー)\]**​ 項目で、​**\[Browse (参照)\]**​ ボタンをクリックして指定した証明書の非公開キーを検索します。 3. \[Save (保存)\] ボタンをクリックします。 4. 必要に応じて、デフォルト設定を無視することを選択し、独自の暗号化および Diffie-Hellman グループファイルを選択することもできます。 ![on premises features 3120e](/mulesoft/current/ja-jp/access-management/_images/on-premises-features-3120e.png) 5. `Use default ciphers and DH Group`​ マークのチェックを外します。 1. 使用する暗号化 (例: `ECDHE-RSA-AES128-SHA256`​) を定義します。 2. DH グループをアップロードします。 ## [](#免責事項)免責事項 **\[Disclaimer (免責事項)\]**​ セクションをクリックして、ユーザーが Anypoint Platform のログインページにアクセスしたときに表示される免責事項メッセージをセットアップできます。 ![on prem features d22af](/mulesoft/current/ja-jp/access-management/_images/on-prem-features-d22af.png) カスタム HTML メッセージをセットアップすることもできます。 # SAML アサーションを使用して API ベアラートークンを取得する方法 このトピックでは、Anypoint Platform からベアラートークンを取得する方法について説明します。SAML 2.0 を使用するように設定されている ID プロバイダーを使用している場合、組織内の統合ユーザーはベアラートークンを使用してプラットフォーム API にアクセスできます。
SAML アサーションを使用して API ベアラートークンを取得できるのは、IdP が開始したシングルサインオンのみです。サービスプロバイダーが開始した SSO では、未承諾のアサーションはサポートされていません。
ベアラートークンにより、ユーザーがアクセスする権限を持つプラットフォーム API へのアクセス権が提供されます。各ベアラートークンは、API のロールおよび権限が付与されている特定のユーザーに関連付けられています。ユーザーがアクセスする権限を持たない API にアクセスしようとすると、API は ​`401 Unauthorized`​ エラーを返します。 ベアラートークンの有効性は、\[Default Session Timeout (デフォルトのセッションタイムアウト)\] プロパティについて定義された値によって決まります。これは、ルート組織のプロパティで設定されます。詳細は、​[組織の設定](https://docs.mulesoft.com/jp/access-management/organization#organization-settings)​についての説明を参照してください。 SAML アサーションを使用して API ベアラートークンを取得するには、次の手順を実行します。 1. [ブラウザーで SAML 応答を表示する方法](https://docs.mulesoft.com/jp/access-management/troubleshoot-saml-assertions-task)​の説明にあるように、ID プロバイダーの SAML 応答を取得します。 次のステップで使用するためにこの応答を記録します。 2. 次の ​`curl`​ コマンドを実行してベアラートークンを取得します。この例の ​``​ は、前のステップで取得した SAML 応答に置き換えます。
SAML 応答は Base64 でエンコードされている必要があります。 SAML 応答文字列が URL エンコードされている場合、​curl​ コマンドを実行する前に文字列をデコードする必要があります。
curl -X POST \\ https://anypoint.mulesoft.com/accounts/login/:org-domain/providers/:providerId/receive-id \\ -H 'Content-Type: application/json' \\ -H 'X-Requested-With: XMLHttpRequest' \\ -d '{ "SAMLResponse": "" }' ベアラートークンを取得したら、組織内の統合ユーザーはこれを使用して API にアクセスできます。たとえば、次のいずれかの方法を使用して API にアクセスできます。 - **Anypoint CLI**​: ユーザーは ​`-bearer`​ オプションを ​`anypoint-cli`​ コマンドに指定して、プラットフォーム API にアクセスできます。詳細は、​[「Anypoint CLI」](https://docs.mulesoft.com/jp/anypoint-cli/latest/#authentication)​を参照してください。 - **curl**​: ユーザーは次で示しているように API エンドポイントにアクセスするときにベアラートークンを渡してプラットフォーム API にアクセスできます。 curl -X GET \\ https://anypoint.mulesoft.com/accounts/api/me \\ -H 'Authorization: Bearer ' ## [](#関連情報)関連情報 - [組織の設定](https://docs.mulesoft.com/jp/access-management/organization#organization-settings) - [Anypoint CLI](https://docs.mulesoft.com/jp/anypoint-cli/latest/) - [ブラウザーで SAML 応答を表示する方法](https://docs.mulesoft.com/jp/access-management/troubleshoot-saml-assertions-task) # SAML 情報の確認方法 SAML 情報の検証中に情報を変更する必要があると判断した場合は、MuleSoft サポートポータルにログインして要求を送信します。 1. Anypoint Platform で、\[Access Management (アクセス管理)\] > \[External Identity (外部 ID)\] をクリックします。 2. \[Identity Management (ID 管理)\] から、\[SAML 2.0\] を選択できます。 SAML 2.0 設定が表示されます。 3. group\_attribute 値が正しい属性名に設定されていることを確認します。 次の SAML アサーションの例では、group\_attribute は「memberOf」です。 ```xml cn=jira-users,ou=groups,dc=muleforge,dc=org cn=confluence-users,ou=groups,dc=muleforge,dc=org cn=mule-community,ou=groups,dc=muleforge,dc=org cn=SR-User,ou=Groups,dc=muleforge,dc=org ``` ## [](#関連情報)関連情報 [MuleSoft サポートポータル](https://www.mulesoft.com/support-login) # SSO の前提条件と制限事項について このトピックでは、Anypoint Platform 内で SSO を使用する場合の前提条件と制限事項について説明します。 ## [](#前提条件)前提条件 SSO を使用する前に、以下の手順の実行が完了していることを確認してください。 - ユーザー名およびメールアドレスをアサーションで送信するように ID プロバイダーを設定する。 - ユーザー名およびメールアドレスを予期される属性名にマップするように Anypoint Platform を設定する。この設定を行わないと、403 未承認エラーメッセージが表示されてログインに失敗します。 - ID プロバイダーの SAML アサーションを署名済みとして設定し、必要に応じて - **AES128**​ または ​**AES256**​ ブロック暗号化アルゴリズム、 - **RSA-OAEP (MGF1 でマスク生成、SHA1 でハッシュ)**​ キートランスポートアルゴリズム、および - **SAML 2.0**​ SSO ページからダウンロードできる ​**Anypoint Platform 署名証明書**​により暗号化済みとして設定します。 - ID プロバイダーは、POST 要求として HTTP 経由で送信される XML ファイルとして SAML アサーションを発行します。 ## [](#クライアントに関する考慮事項)クライアントに関する考慮事項 クライアントの動作に関連する以下の考慮事項に注意してください。 - 統合組織を設定する前に作成されたユーザーアカウントは組織内に残ります。ただし、ユーザーは Anypoint Platform ログインページからしかログインできません。ID プロバイダーのリダイレクトされたログインページからログインすることはできません。 - 既存の非統合ユーザーは通常どおりに作業を続行できますが、以下の例外があります。 - ユーザーセッションがタイムアウトになった場合、ユーザーは汎用のログインページではなく統合 ID ログインページにリダイレクトされます。組織を識別するリンクおよびブックマークはユーザーを統合ログインページにリダイレクトしますが、非統合ユーザーの場合はリダイレクトに失敗します。 - ユーザー情報のアサーションを処理するように ID プロバイダーを設定している場合、ユーザーは次の URL を使用して Anypoint Platform にログインする必要があります。 https://anypoint.mulesoft.com/accounts/login/{your\_org\_domain} ## [](#制限事項)制限事項 - OpenID Connect はシングルログアウトをサポートしていません。 - SAML ユーザーが特定のグループに属する場合、Anypoint Platform では自動的に組織の同等の権限が付与されません。 - Anypoint Platform ではシングルサインオン用の SAML アサーションが生成されません。 IdP により、自分で設定したサインオン URL が生成されます。 - 外部 ID 設定は組織レベルでのみ使用できます。 ビジネスグループの外部 ID プロバイダーは設定できません。 - ID プロバイダーからユーザーを削除する場合、Anypoint Platform 組織からもユーザーを手動で削除する必要があります。 - SAML ID プロバイダーを削除し、まったく同じ設定で再作成した場合、新しい ID プロバイダーとみなされます。この設定を使用して Anypoint Platform にログインするユーザーは、新しい ID プロバイダーに関連付けられます。削除された IdP にまだ関連付けられている既存のユーザーアカウントがある場合、別の IdP に関連付けられているため、重複したユーザーが表示されます。 # SSO 用の SAML の設定 ユーザーが Anypoint Platform にアクセスするときに追加のログイン情報を提供せずに済むように、ユーザーの外部認証とシングルサインオン (SSO) 機能を提供する SAML を設定します。 SSO 用の SAML の設定には、以下が含まれます。 - 設定された SAML ID プロバイダー (IdP) で開始する - Anypoint Platform で ​**\[External Identity - Identity Management SAML 2.0 (外部 ID - ID 管理 SAML 2.0)\]**​ フォームに移動して入力し、必要に応じていくつかの詳細設定を定義する - 新しい設定を保存してテストする ## [](#前提条件)前提条件 - Anypoint Platform 組織がオーディエンスとしてセットアップされている必要があります。 - `POST`​ 要求を ​`https://anypoint.mulesoft.com/accounts/login/:org-domain/providers/:providerId/receive-id`​ に送信するようにアサーションコンシューマーサービスが設定されている必要があります。 `:providerId`​ は、プロバイダー設定を作成した後でのみ使用できます。

  • Anypoint Platform EU コントロールプレーンを使用している場合、エンドポイントは ​https://eu1.anypoint.mulesoft.com/accounts/login/:org-domain/providers/:providerId/receive-id​ です。

  • Anypoint Platform Gov Cloud を使用している場合、エンドポイントは ​https://gov.anypoint.mulesoft.com/accounts/login/:org-domain/providers/:providerId/receive-id​ です。
## [](#configure-saml)ID 管理で SAML を設定する 1. 組織のシステム管理者権限を持つアカウントを使用して Anypoint Platform にログインします。 2. ナビゲーションバーまたは Anypoint Platform のメインページで、​**\[Access Management (アクセス管理)\]**​ をクリックします。 3. \[Access Management (アクセス管理)\] ナビゲーションメニューで、​**\[Identity Providers (ID プロバイダー)\]**​ をクリックします。 4. **\[Identity Providers (ID プロバイダー)\]**​ > ​**\[SAML 2.0\]**​ を選択します。 5. **\[Configurations (設定)\]**​ タブで、​**\[Identity Management SAML 2.0 (ID 管理 SAML 2.0)\]**​ フォームの必須項目を入力します。 - **Sign On URL (サインオン URL)** サインイン用に IdP によって提供されるリダイレクト URL。例: `https://example.com/sso/saml`​。 - **Sign Off URL (サインオフ URL)** サインアウト要求をリダイレクトするための URL。そのため、ユーザーは Anypoint Platform からサインアウトすると同時に、SAML ユーザーの状況がサインアウトに設定されます。 - **Issuer (発行者)** SAML アサーションを送信する ID プロバイダーインスタンスの ID。 - **Public Key (公開キー)** SAML アサーションに署名するために ID プロバイダーによって提供される公開キー。SAML 応答の「X509Certificate」値です。 - **Audience (オーディエンス)** Anypoint Platform 組織を識別する任意の文字列値。この文字列の通常の値は ​`.anypoint.mulesoft.com`​ です。 - **Single Sign-On Initiation (シングルサインオンの開始)** Anypoint Platform、ID プロバイダー (Okta など)、またはその両方で SSO を開始できるかどうかを指定します。 - **\[Service Provider Only (サービスプロバイダーのみ)\]**​ オプションでは、Anypoint Platform のみが SSO を開始できます。 - **\[Identity Provider Only (ID プロバイダーのみ)\]**​ オプションでは、外部 ID プロバイダーのみが SSO を開始できます。 - **\[Both (両方)\]**​ オプションでは、Anypoint Platform または外部 ID プロバイダーが SSO を開始できます。 新しく設定された ID プロバイダー設定の場合、この設定のデフォルト値は ​**\[Both (両方)\]**​ です。 6. **\[Advanced settings (詳細設定)\]**​ を展開し、必要に応じて以下の値を入力します。 - **Username Attribute (ユーザー名属性)** ユーザー名にマップされる SAML ​`AttributeStatements`​ の項目名。値が設定されていない場合は、SAML ​`Subject`​ の ​`NameID`​ 属性が使用されます (注意: これは SAML ​`AttributeStatements`​ の外部となります)。 - **First Name Attribute (名属性)** `First Name`​ にマップされる SAML ​`AttributeStatements`​ の項目名。 - **Last Name Attribute (姓属性)** `Last Name`​ にマップされる SAML ​`AttributeStatements`​ の項目名。 - **Email Attribute (メール属性)** `Email`​ にマップされる SAML ​`AttributeStatements`​ の項目名。 - **Group Attribute (グループ属性)** `Group`​ にマップされる SAML ​`AttributeStatements`​ の項目名。 - **Require encrypted SAML assertions (暗号化された SAML アサーションが必須)** 有効化されている場合は、ID プロバイダーから送信される SAML アサーションが暗号化されていて、​[「前提条件」](https://docs.mulesoft.com/jp/access-management/sso-prerequisites-about)​に記述されているガイドラインに準拠している必要があります。 7. **\[Create (作成)\]**​ をクリックします。 8. Anypoint Platform からログアウトし、​**\[Identity Management SAML 2.0 (ID 管理 SAML 2.0)\]**​ フォームで入力した \[sign-on URL (サインオン URL)\] に移動します。次に、ID プロバイダーを通じてログインして設定をテストします。 ## [](#saml-鍵の循環)SAML 鍵の循環 セキュリティのベストプラクティスとして、多くの組織は SAML 2.0 アサーションの暗号化に使用する鍵を循環します。鍵の循環機能により、Anypoint Platform で新しい鍵を生成したり、公開キーと非公開キーのペア (最大 3 つの鍵) をアップロードしたりできます。鍵を循環する場合、Anypoint Platform や IdP で新しい​_主キー_​を指定したり、不用な鍵を失効させて、鍵循環から削除したりできます。 作成する鍵や Anypoint Platform にアップロードする鍵は、IdP にも存在している必要があります。Anypoint Platform に存在するすべての鍵で、IdP によって送信される SAML 2.0 アサーションを復号化できます。ただし、SAML 2.0 AuthnRequest および SLO 要求の署名には Anypoint Platform で主キーのみが使用されます。署名を検証するには、IdP で主キーが設定されている必要があります。
デフォルトの Anypoint Platform SSO 証明書から新しい証明書に移行する場合、IdP のアサーションコンシューマーサービス (ACS) URL を更新する必要があります。鍵の循環機能で生成される鍵は、新しい ACS URL でのみサポートされます。すでに ACS URL が ​…​/accounts/login/:org-domain/providers/:providerId/receive-id​ のパターンに従っている場合、ACS URL を変更する必要はありません。
### [](#鍵の循環で使用する鍵の追加)鍵の循環で使用する鍵の追加 鍵の循環機能を使用する場合、IdP で使用する鍵が Anypoint Platform で利用できる必要があります。Anypoint Platform では、新しい鍵を生成したり、既存の公開/非公開キーのペアをアップロードしたりできます。 #### [](#新しい鍵を生成する)新しい鍵を生成する 1. 組織のシステム管理者権限を持つアカウントを使用して Anypoint Platform にログインします。 2. ナビゲーションバーまたは Anypoint Platform のメインページで、​**\[Access Management (アクセス管理)\]**​ をクリックします。 3. \[Access Management (アクセス管理)\] ナビゲーションメニューで、​**\[Identity Providers (ID プロバイダー)\]**​ をクリックします。 4. SAML 2.0 IdP の横で、​**\[Edit (編集)\]**​ をクリックします。 5. **\[Anypoint Keys (Anypoint 鍵)\]**​ タブをクリックします。 6. **\[+ New key (+ 新しい鍵)\]**​ をクリックし、​**\[Generate (生成)\]**​ を選択します。 新しく生成された鍵が鍵のリストに表示されます。 #### [](#既存の非公開キーと公開キーのペアをアップロードする)既存の非公開キーと公開キーのペアをアップロードする 1. 組織のシステム管理者権限を持つアカウントを使用して Anypoint Platform にログインします。 2. ナビゲーションバーまたは Anypoint Platform のメインページで、​**\[Access Management (アクセス管理)\]**​ をクリックします。 3. \[Access Management (アクセス管理)\] ナビゲーションメニューで、​**\[Identity Providers (ID プロバイダー)\]**​ をクリックします。 4. SAML 2.0 IdP の横で、​**\[Edit (編集)\]**​ をクリックします。 5. **\[Anypoint Keys (Anypoint 鍵)\]**​ タブをクリックします。 6. **\[+ New key (+ 新しい鍵)\]**​ をクリックし、​**\[Upload (アップロード)\]**​ を選択します。 7. **\[Private key (非公開キー)\]**​ 項目に非公開キーを貼り付けます。 8. **\[Public key (公開キー)\]**​ 項目に証明書を貼り付けます。 9. **\[Upload (アップロード)\]**​ をクリックします。 アップロードした鍵が鍵のリストに表示されます。 ### [](#主キーを循環する)主キーを循環する 最大 3 つの鍵を保存できるため、Anypoint Platform からの要求の署名に使用される​_主キー_​を指定する必要があります。 主キーを再割り当てする前に、使用する鍵に IdP がアクセスできることを確認します。 1. 組織のシステム管理者権限を持つアカウントを使用して Anypoint Platform にログインします。 2. ナビゲーションバーまたは Anypoint Platform のメインページで、​**\[Access Management (アクセス管理)\]**​ をクリックします。 3. \[Access Management (アクセス管理)\] ナビゲーションメニューで、​**\[Identity Providers (ID プロバイダー)\]**​ をクリックします。 4. SAML 2.0 IdP の横で、​**\[Edit (編集)\]**​ をクリックします。 5. **\[Anypoint Keys (Anypoint 鍵)\]**​ タブをクリックします。 6. 主キーにする鍵の横で、​**\[…​\]**​ をクリックし、​**\[Use as primary key…​ (主キーとして使用…​)\]**​ を選択します。 7. **\[Apply (適用)\]**​ をクリックします。 ### [](#鍵を失効させる)鍵を失効させる セキュリティを確保するために、すでに主キーとして使用した鍵を失効させます。 鍵を失効させる前に、IdP でその鍵が使用されていないことを確認します。 公開キーを失効させると、Anypoint Platform によって対応する非公開キーも失効します。セキュリティの上の理由から、失効した鍵は取得できません。 1. 組織のシステム管理者権限を持つアカウントを使用して Anypoint Platform にログインします。 2. ナビゲーションバーまたは Anypoint Platform のメインページで、​**\[Access Management (アクセス管理)\]**​ をクリックします。 3. \[Access Management (アクセス管理)\] ナビゲーションメニューで、​**\[Identity Providers (ID プロバイダー)\]**​ をクリックします。 4. SAML 2.0 IdP の横で、​**\[Edit (編集)\]**​ をクリックします。 5. **\[Anypoint Keys (Anypoint 鍵)\]**​ タブをクリックします。 6. 失効させる鍵の横で、​**\[…​\]**​ をクリックし、​**\[Revoke (失効)\]**​ を選択します。 7. **\[Revoke (失効)\]**​ をクリックします。 ## [](#saml-メタデータのインポート)SAML メタデータのインポート 新しい SAML 2.0 設定を作成するときに、​**\[Import IdP Metadata (IdP メタデータをインポート)\]**​ リンクを使用して、ID プロバイダーの SAML 2.0 メタデータを含む XML ファイルを Anypoint Platform にアップロードできます。アップロードすると、XML ファイルの値が ​**\[Identity Management SAML 2.0 (ID 管理 SAML 2.0)\]**​ フォームに自動的に入力されます。 XML ファイルをアップロードしてメタデータをインポートする場合: - ファイルは 16 KB 未満である必要があります。 - 複数のエントリを含む XML ファイルをアップロードした場合、Anypoint Platform は最初の ID プロバイダー設定を使用します。 - Anypoint Platform はアップロードした XML の値の有効性をチェックしません。 ID プロバイダー設定を作成する前に、ID 設定が正しいことを確認してください。 ## [](#saml-メタデータのエクスポート)SAML メタデータのエクスポート ID プロバイダーがサービスプロバイダーメタデータのアップロードをサポートしている場合は、​**\[Anypoint service provider metadata (Anypoint サービスプロバイダーメタデータ)\]**​ リンクをクリックして、SAML 設定を XML ファイルにダウンロードできます。その場合、このファイルを ID プロバイダーにアップロードして Anypoint Platform を設定できます。このデータをエクスポートするには、SAML 2.0 ID 設定が必要である点に注意してください。 ## [](#cookie-を使用した-sso-リダイレクトプロセス)Cookie を使用した SSO リダイレクトプロセス Anypoint Platform は Cookie を使用して、SSO ユーザーがログインを開始した場所と同じ場所にユーザーを確実にリダイレクトします。 1. ユーザーが Anypoint Platform にログインすると、ログインセッションに対する Cookie (​`mulesoft.sess=xxxxx`​) が作成されます。 この Cookie には、ユーザーがログインを開始した場所 (公開ポータルなど) が含まれます。 2. Cookie はユーザーのブラウザーに渡されます。 3. ユーザーは認証のために SSO プロバイダーに転送されます。 4. SSO を使用してユーザーが認証されると、プロバイダーはユーザーを認証決定 SAML 応答と共に Anypoint Platform に戻します。 5. ブラウザーからセッション Cookie (​`mulesoft.sess=xxxxx`​) が渡され、ユーザーはログインプロセスを開始した場所に返されます。 6. ユーザーが Anypoint Platform に正常にログインすると、​`mulesoft.sess`​ Cookie は OWASP 標準に基づいてそのデフォルト値に戻ります。 ユーザーをその権限に基づいてリダイレクトすることもできます。たとえば、次のような場合です。 - ブラウザーが Cookie を渡さない。 - Cookie の有効期限が切れた。 - Cookie がデフォルト値に設定されている。 このような場合、組織のシステム管理者権限を持つユーザーは Anypoint Platform ランディングページにリダイレクトされます。 組織のシステム管理者権限を持たないユーザーは Anypoint Exchange に転送されます。 ## [](#saml-id-プロバイダーの更新)SAML ID プロバイダーの更新 組織のシステム管理者は既存の SAML プロバイダーを更新できます。ただし、​`[Issuer (発行者)]`​ または ​`[Audience (オーディエンス)]`​ を更新すると、別の IdP に切り替わり、意図しないユーザーの重複などの問題が発生する可能性があります。詳細は、 [ユーザーの重複防止に関するヘルプ記事](https://help.mulesoft.com/s/article/External-identity-migration-How-to-prevent-duplicate-users-being-created)​を参照してください。 ## [](#saml-id-プロバイダーの制限を表示する)SAML ID プロバイダーの制限を表示する 設定された各 SAML IdP には、Anypoint Platform によって課された制限にどれだけ近づいているかを示す ​**\[Limits (制限)\]**​ セクションがあります。 制限を表示する手順は、次のとおりです。 1. \[Access Management (アクセス管理)\] ナビゲーションメニューで、​**\[Identity Providers (ID プロバイダー)\]**​ をクリックします。 2. 制限を表示する SAML IdP をクリックします。 3. **\[Limits (制限)\]**​ タブをクリックします。 アクセス管理での制限についての詳細は、​[「制限」](https://docs.mulesoft.com/jp/access-management/troubleshooting-anypoint-platform-access#access-management-limits)​を参照してください。 ## [](#関連情報)関連情報 - [シングルログアウトの設定](https://docs.mulesoft.com/jp/access-management/single-log-out-task) # アクセス管理について アクセス管理を使用すると、​[Anypoint Platform アカウントを作成](https://docs.mulesoft.com/jp/access-management/managing-your-account#how-to-create-your-account)​して、ユーザープロファイルを設定できます。 組織の所有者とシステム管理者は、アクセス管理を使用して次の操作を実行できます。 - 組織に​[ユーザーを招待](https://docs.mulesoft.com/jp/access-management/users)​し、アクセス権を管理する。 - [ビジネスグループ](https://docs.mulesoft.com/jp/access-management/business-groups)​を作成してアプリケーションや API などの Anypoint Platform リソースを含める。 - アプリケーションと API のデプロイを管理する​[環境](https://docs.mulesoft.com/jp/access-management/environments)​を作成する。 - [チーム](https://docs.mulesoft.com/jp/access-management/teams)​機能を使用して、​[個々のユーザーに権限を割り当てる](https://docs.mulesoft.com/jp/access-management/managing-permissions)​か階層型ユーザー管理をセットアップし、組織のアセットや領域へのアクセスを管理する。 - 統合​[外部 ID プロバイダー (IdP)](https://docs.mulesoft.com/jp/access-management/external-identity)​ を使用して、ユーザー ID を管理し、シングルサインオン (SSO) を設定する。 - [多要素認証](https://docs.mulesoft.com/jp/access-management/multi-factor-authentication)​を使用して、組織を不正アクセスから保護する。 - [外部クライアントプロバイダー](https://docs.mulesoft.com/jp/access-management/managing-api-clients)​を設定して、クライアントアプリケーションを承認する。 - [監査ログ](https://docs.mulesoft.com/jp/access-management/audit-logging)​を使用して、ユーザーと接続アプリケーションのアクティビティを表示する。 - プラットフォームへのアクセスを委任する​[接続アプリケーション](https://docs.mulesoft.com/jp/access-management/connected-apps-overview)​を開発および設定する。 - 他の Anypoint Platform 組織とのコラボレーションを促進するために​[外部組織へのアクセス](https://docs.mulesoft.com/jp/access-management/external-organization-access)​を許可する。 アクセス管理により、ユーザーおよびクライアントの管理、組織およびビジネスグループ、ロールおよび権限に関連したリソースにプログラムでアクセスするための REST API も提供されます。 この API を使用するには、 [アクセス管理 API Portal](https://anypoint.mulesoft.com/apiplatform/anypoint-platform/#/portals/organizations/68ef9520-24e9-4cf2-b2f5-620025690913/apis/11270/versions/11646/pages/11244)​ を使用します。 [コントロールプレーン](https://docs.mulesoft.com/hosting-home/)​によっては、一部のアクセス管理機能を組織で使用できない場合があります。たとえば、プラットフォームからのアカウント作成およびユーザー招待は、Anypoint Platform Private Cloud Edition では使用できません。Mulesoft Government Cloud の場合、一部の機能も使用できません。 組織のシステム管理者の場合、アカウントについてご不明な点がある場合は、MuleSoft アカウントチームまでお問い合わせください。それ以外の場合、組織のシステム管理者にお問い合わせください。 # アクセス管理をトラブルシューティングする 問題が発生した場合の対策について、ヒントを紹介します。 ## [](#anypoint-platform-へのアクセスに関する問題)Anypoint Platform へのアクセスに関する問題 ### [](#サインインログイン情報が認識されない)サインインログイン情報が認識されない Anypoint Platform にログインしようとしたときにログイン情報が認識されない場合、以下をお試しください。 - 正しい URL を使用して組織にログインしていることを確認します。 組織が外部 ID 管理システムを使用している場合、ログイン URL は ​**anypoint.mulesoft.com/accounts/login/_yourOrganizationDomain_**​ です。 - アカウントの正しいユーザー名およびパスワードを使用していることを確認します。 - 組織が外部 ID 管理システムを使用しておらず、ログイン情報が機能しない場合は、パスワードをリセットするか、アカウントがまだ有効であるか組織のシステム管理者に確認してください。 ### [](#アクセス管理の招待リンクがエラーを返す)アクセス管理の招待リンクがエラーを返す 招待のリンクをクリックしてエラーが返される場合、招待の有効期限が切れているか、取り消されていることが考えられます。組織のシステム管理者に連絡して、新たに招待するよう依頼してください。 ## [](#openid-connect-クライアント管理)OpenID Connect クライアント管理 ### [](#クライアントアプリケーションを更新しようとしたときにエラーが発生する)クライアントアプリケーションを更新しようとしたときにエラーが発生する OpenID Connect 管理でクライアントアプリケーションを更新しようとしたときに ​`There was an error while talking to CoreServices`​ が発生するのは、このインテグレーションを通じて作成されたクライアントの更新が現在はサポートされていないためです。 [「OpenID Connect クライアント管理の設定方法」](https://docs.mulesoft.com/jp/access-management/configure-client-management-openid-task)​を参照してください。 ### [](#リダイレクトを実行したときにエラーが発生する)リダイレクトを実行したときにエラーが発生する OpenID Connect プロバイダーへのリダイレクトが行われると、​`Invalid Scopes error`​ が発生します。 原因: この問題は、​`openid`​、​`profile`​、​`email`​ スコープが自動登録クライアントによってサポートされていないと起こる場合があります。 解決策: `openid`​、​`profile`​、​`email`​ スコープを手動でクライアントに追加します。 # エンドユーザー向けの接続アプリケーション エンドユーザーは、Anypoint Platform ログイン情報を使用したサードパーティアプリケーションへの API アクセスとログインを委任できます。 次のメッセージが表示されているときに、自分のアカウントへのアクセスを認証できます。 ![アプリケーションがデータを使用することを認証する前にユーザーに表示されるインターフェース](/mulesoft/current/ja-jp/access-management/_images/connected-apps-authorize.png) Figure 1. エンドユーザーは ​**\[Authorize App (アプリケーションを認証)\]**​ インターフェースを使用して、データへのアクセスを要求している組織、およびデータの使用方法を確認できます。エンドユーザーが ​**\[Grant Access (アクセス権の付与)\]**​ をクリックすると、アプリケーションが ​**\[Authorize App (アプリケーションを認証)\]**​ インターフェースで示されたデータにアクセスすることが認証されます。 エンドユーザーは、自分のプロファイル設定で認証したサードパーティアプリケーションを管理できます。右上にあるプロファイルアイコンをクリックして ​**\[Profile (プロファイル)\]**​ を選択すると、プロファイルで認証済みのアプリケーションが表示されます。次のスクリーンショットは、認証済み接続アプリケーションがユーザーのプロファイルページ内でどのように表示されるかを示しています。 ![認証済み接続アプリケーションとそのスコープを含むユーザーのプロファイル](/mulesoft/current/ja-jp/access-management/_images/connected-apps-in-profile.png) Figure 2. **\[Application Name (アプリケーション名)\]**​ 列には、ユーザーがデータを共有しているアプリケーションの名前がリストされます。​**\[Scopes (スコープ)\]**​ 列には、接続アプリケーションが持つ権限に加えて、アプリケーションに付与されたトークンがリストされます。 組織のシステム管理者がアプリケーションをブロックした場合、エンドユーザーはアプリケーションが情報にアクセスすることを認証できません。 ほとんどのアプリケーションはサードパーティによって開発されているため、MuleSoft はアプリケーションがアクセスを要求しているデータをどのように使用するかについて責任を負いません。アプリケーションに関するご質問またはご不明な点がある場合は、開発者情報リンクに移動し、アプリケーション管理者にお問い合わせください。 # クライアント管理について Anypoint Platform はデフォルトではクライアントプロバイダーとして機能しますが、クライアントアプリケーションを認証するための外部クライアントプロバイダーを 25 個まで設定することもできます。API オーナーは、API にアクセスしようとするクライアントアプリケーションを認証するために OAuth 2.0 ポリシーを適用できます。OAuth 2.0 ポリシーを使用するには OAuth 2.0 プロバイダーが必要です。 複数のクライアントプロバイダーを設定して、​[それらのクライアントプロバイダーを異なる環境に関連付ける](https://docs.mulesoft.com/jp/access-management/environments#add-an-idp-to-an-existing-environment)​ことができます。 すでに環境を作成してある状況で複数のクライアントプロバイダーを設定した場合は、新しいクライアントプロバイダーを環境に関連付けることができます。既存のアセットや API のダウンタイムを回避するため、クライアントプロバイダーを割り当て直す前に既存のクライアント設定を確認してください。 ルート組織からクライアントプロバイダーを削除すると、そのクライアントプロバイダーは、使用されていた他の環境では使用できなくなります。また、削除されたクライアントプロバイダーを使用していたアセットや API へのアクセスを要求してきたユーザーの認証もできなくなります。 以下の OAuth プロバイダーを設定できます。 - [OpenAM バージョン: 14](https://docs.mulesoft.com/jp/access-management/conf-client-mgmt-openam-task) - [PingFederate バージョン: 6 ～ 8](https://docs.mulesoft.com/jp/access-management/conf-client-mgmt-pf-task) - [動的クライアント登録に対応したクライアントプロバイダー](https://docs.mulesoft.com/jp/access-management/configure-client-management-openid-task) - [Azure Active Directory クライアント管理](https://docs.mulesoft.com/jp/access-management/configure-client-management-azure) 動的クライアント登録に準拠する ID プロバイダーは、 [『OpenID Connect Dynamic Client Registration 1.0 incorporating errata set 1 (OpenID Connect 動的クライアント登録 1.0 の組み込みの正誤表セット 1)』](https://openid.net/specs/openid-connect-registration-1_0.html)​に準拠している必要があります。 サポートされるプロバイダー用に Anypoint Platform でクライアント管理を設定するには、使用するプロバイダーの ID プロバイダー (IdP) アカウントが必要です。 ## [](#クライアントプロバイダーを削除する)クライアントプロバイダーを削除する
クライアントプロバイダーを削除する前に、そのクライアントプロバイダーと連動している API、アセット、環境が存在しないことを確認してください。これらが連動している場合、削除後には機能しなくなります。たとえば、API が削除したクライアントプロバイダーと連動していた場合、その API へのユーザーアクセス要求は認証されなくなります。
1. 組織のシステム管理者権限を持つアカウントを使用して Anypoint Platform にログインします。 2. ナビゲーションバーまたは Anypoint Platform のメインページで、​**\[Access Management (アクセス管理)\]**​ をクリックします。 3. **\[Business Groups (ビジネスグループ)\]**​ メニューで、ルート組織を選択します。 4. \[Access Management (アクセス管理)\] ナビゲーションメニューで、​**\[Client Providers (クライアントプロバイダー)\]**​ をクリックします。 5. 削除するクライアントプロバイダーの名前をクリックします。 6. クライアントプロバイダーのページで ​**\[Delete (削除)\]**​ をクリックします。 7. クライアント ID プロバイダーの名前を入力します。 8. **\[Delete (削除)\]**​ をクリックします。 ## [](#関連情報)関連情報 - [OpenID Connect Client Registration 1.0 incorporating errata set 1 (エラータセット 1 を含む OpenID Connect Client Registration 1.0)](https://openid.net/specs/openid-connect-registration-1_0.html) - [OpenAM によるクライアント管理の設定](https://docs.mulesoft.com/jp/access-management/conf-client-mgmt-openam-task) - [PingFederate によるクライアント管理の設定](https://docs.mulesoft.com/jp/access-management/conf-client-mgmt-pf-task) - [OpenID Connect クライアント管理の設定](https://docs.mulesoft.com/jp/access-management/configure-client-management-openid-task) # シングルログアウトの設定 システム管理者が SAML を使用する場合、シングルログアウトを設定できます。OpenID Connect はシングルログアウトをサポートしていません。シングルログアウトを使用すると、ユーザーまたはユーザーエージェントは認証済みの環境からログアウトし、サービスプロバイダーと ID サーバーの両方が正常にログアウトを処理できます。 次の手順では、シングルログアウトを実行する方法と、サインアウト後のユーザーのリダイレクト先を制御する方法について説明します。多くの場合、ユーザーを別のページにリダイレクトすることをお勧めします。こうしたリダイレクトは PingFederate 設定で設定できます。​`redirect_uri`​ クエリパラメーターを SLO サービス URL に追加すると、Anypoint Platform はユーザーを Anypoint Platform のサインインページではなくその URL にルーティングします。 1. たとえば PingFederate で、\[SP Configuration for the Anypoint Platform (Anypoint Platform 用の SP 設定)\] をクリックします。 2. **\[Browser SSO (ブラウザー SSO)\] > \[Configure Browser SSO (ブラウザー SSO を設定)\] > \[SAML Profiles (SAML プロファイル)\]**​ で、以下の項目が設定されていることを確認します。 - IdP-Initiated SSO (IdP が開始した SSO) - IdP-Initiated SLO (IdP が開始した SLO) - SP-Initiated SLO (SP が開始した SLO) 3. **\[Protocol Settings (プロトコル設定)\] > \[Configure Protocol Settings (プロトコル設定を設定)\]**​ で、以下の値を使用して SLO サービス URL を設定します。 - バインディング: POST - Endpoint URL (エンドポイント URL) `PARTNER_SP_ID`​ を正しい値に設定します: `https://anypoint.mulesoft.com/accounts/logout/receive-id`​。 4. 次の URL を使用してユーザーをサインインページにリダイレクトします。 https://anypoint.mulesoft.com/accounts/logout/receive-id?redirect\_uri=https%3A%2F%2Fanypoint.mulesoft.com%2Faccounts%2Flogin%2Fyour-domain または、次の URL を使用してユーザーをポータルページにリダイレクトします。 https://anypoint.mulesoft.com/accounts/logout/receive-id?redirect\_uri=https%3A%2F%2Fanypoint.mulesoft.com%2Fapiplatform%2Fyour-domain%2F%23%2Fportals 5. **\[Allowable SAML Bindings (可能な SAML バインディング)\]**​ で、​**\[Redirect (リダイレクト)\]**​ をクリックします。 6. **\[Encryption Policy (暗号化ポリシー)\]**​ で​**何も選択しない**​か、または​**アサーション全体**​を選択し、保存してから \[Protocol Settings (プロトコル設定)\] および \[Browser SSO (ブラウザー SSO)\] を終了します。 7. \[SP Configuration for Anypoint Platform (Anypoint Platform 用の SP 設定)\] を表示する場合は、​**\[Credentials (ログイン情報)\] > \[Configure Credentials (ログイン情報を設定)\]**​ の順に移動します。 8. **\[Signature Verification Settings (署名検証設定)\] > \[Manage Signature Verification Settings (署名検証設定を管理)\] > \[Trust Model to Unanchored (未固定への信頼モデル)\]**​ を設定し、次の場所から証明書をインポートします。 `http://docs.mulesoft.com/downloads/access-management/anypoint-platform-slo.pem`​ 9. この証明書をアクティブな証明書にします。 ## [](#関連情報)関連情報 - [SSO 用の SAML の設定](https://docs.mulesoft.com/jp/access-management/conf-saml-sso) # チームの設定 組織チームのすべてのユーザーは自動的にルート組織チームのメンバーになるため、各ユーザーはルート組織チームのすべての権限を継承します。 親チームの下に​_子チーム_​を作成し、それぞれのチームメンバーのニーズに基づいて異なる権限セットを持つようにチームを設定できます。 子チームを作成して権限を割り当てたら、ユーザーに必要な権限に応じて各チームにユーザーを追加できます。 さらに、維持するチーム内のユーザーと権限を変更できる​_チームメンテナー_​を割り当てることができます。 チームメンテナーは、次の方法でチームを管理できます。 - チーム名を変更する - チームのメンバーを追加または削除する - 追加のチームメンテナーを追加または削除する - チームを別の親チームの下に移動する (他の親チームを維持している場合) - チームを削除する ## [](#子チームの作成)子チームの作成 子チームは、次の状況で作成できます。 - ルートの組織のシステム管理者は、任意の組織レベルで子チームを作成できます。 - ビジネスグループの組織のシステム管理者は、ルートレベルで子チームを作成し、そのチームのメンテナーになることができます。 - チームメンテナーは、そのチームの子チームを作成できます。 すべての子チームは親からユーザー権限を継承しますが、追加の権限を設定できます。 **\[Teams (チーム)\]**​ ページに子チームを作成する手順は、次のとおりです。 1. 組織のシステム管理者権限を持つアカウントを使用して Anypoint Platform にログインします。 2. ナビゲーションバーまたは Anypoint Platform のメインページで、​**\[Access Management (アクセス管理)\]**​ をクリックします。 3. \[Access Management (アクセス管理)\] ナビゲーションメニューで、​**\[Teams (チーム)\]**​ をクリックします。 4. **\[Create Team (チームを作成)\]**​ をクリックします。 5. 子チームの一意で直感的な名前を入力します。 使用できるのは英数字、ハイフン、アンダースコア、スペースのみです。文字制限は 255 です。 6. 親チームを選択します。 7. **\[Save (保存)\]**​ を選択します。 新しい子チームは、チームリストの親チームの下に表示されます。そのリストから任意の親チームを選択し、その ​**\[Child teams (子チーム)\]**​ タブに移動して、そのすべての親チームの子チームのリストを表示できます。 ## [](#チーム権限の管理)チーム権限の管理 チーム機能の使用を開始すると、組織のルートチームは「Everyone at (<ルート組織> の全員)」という名前になり、権限は割り当てられません。 そのチームに権限を割り当てずに「Everyone at (<ルート組織> の全員)」にユーザーを招待すると、ユーザーは組織でタスクを実行したりアセットを表示したりできなくなります。 組織のシステム管理者権限がある場合は、子チームの権限に加えて、このチームの権限を設定できます。 組織全体ではなく、特定のビジネスグループで組織のシステム管理者権限を持っている場合は、組織内の既存のチームまたはユーザーに権限を割り当てることができます。 **\[Teams (チーム)\]**​ ページでチームの権限を設定する手順は、次のとおりです。 1. 変更するチームのチームメンテナーのアカウントを使用して、Anypoint Platform にログインします。 2. ナビゲーションバーまたは Anypoint Platform のメインページで、​**\[Access Management (アクセス管理)\]**​ をクリックします。 3. \[Access Management (アクセス管理)\] ナビゲーションメニューで、​**\[Teams (チーム)\]**​ をクリックします。 チームメンテナーのみの権限があり、ルート組織に適用される他の権限がない場合は、\[Access Management (アクセス管理)\] の ​**\[Teams (チーム)\]**​ セクションに自動的にリダイレクトされます。 4. 権限を設定するチームをクリックします。 5. **\[Permissions (権限)\]**​ タブをクリックします。 6. **\[Permissions (権限)\]**​ セクションで ​**\[Add permissions (権限を追加)\]**​ をクリックします。 **\[Add Permissions (権限を追加)\]**​ ウィンドウが表示されます。 7. **\[Select Permissions (権限を選択)\]**​ セクションで、追加する権限を選択して ​**\[Next (次へ)\]**​ をクリックします。 8. **\[Select Business Groups (ビジネスグループを選択)\]**​ セクションで、権限を適用するビジネスグループを選択します。環境を選択できる権限を選択した場合は、その権限に適用する環境を選択できます。​**\[Next (次へ)\]**​ をクリックします。 **\[Review (確認)\]**​ セクションで、権限およびその権限が適用されるビジネスグループと環境を確認します。 9. **\[Add Permissions (権限を追加)\]**​ をクリックします。 これで、選択した権限がチームメンバーに適用され、チームの ​**\[Permissions (権限)\]**​ セクションに表示されます。 ### [](#チームの権限の制限を表示する)チームの権限の制限を表示する ルート組織のチームを含む各チームには、Anypoint Platform によって課された制限にどれだけ近づいているかを示す ​**\[Limits (制限)\]**​ セクションがあります。 制限を表示する手順は、次のとおりです。 1. \[Access Management (アクセス管理)\] ナビゲーションメニューで、​**\[Teams (チーム)\]**​ をクリックします。 2. 制限を表示するチームをクリックします。 3. **\[Limits (制限)\]**​ タブをクリックします。
使用される権限の数には、システムによって自動的に付与される内部権限が含まれる場合がありますが、これらは UI に常に表示されるとは限りません。
アクセス管理での制限についての詳細は、​[「制限」](https://docs.mulesoft.com/jp/access-management/troubleshooting-anypoint-platform-access#access-management-limits)​を参照してください。 ## [](#チームユーザーの管理)チームユーザーの管理 ルート組織で組織のシステム管理者権限を持っている場合は、次の 3 つの方法を使用して既存のチームにユーザーを追加できます。 - チーム機能インターフェース - メールを介した新しいユーザーへの招待の送信 - 外部グループマッピング ### [](#invite-users-with-teams)チームインターフェースを介したユーザーの追加 1. 変更するチームのチームメンテナーのアカウントを使用して、Anypoint Platform にログインします。 2. ナビゲーションバーまたは Anypoint Platform のメインページで、​**\[Access Management (アクセス管理)\]**​ をクリックします。 3. \[Access Management (アクセス管理)\] ナビゲーションメニューで、​**\[Teams (チーム)\]**​ をクリックします。 チームメンテナーのみの権限があり、ルート組織に適用される他の権限がない場合は、\[Access Management (アクセス管理)\] の ​**\[Teams (チーム)\]**​ セクションに自動的にリダイレクトされます。 4. **\[Teams (チーム)\]**​ ページで、ユーザーを追加するチームを選択します。 5. **\[Add members (メンバーを追加)\]**​ を選択します。 6. チームに追加する各ユーザーの名前を選択します。 7. 各ユーザーに割り当てるメンバーシップ状況 (チームメンバーまたはチームメンテナー) を選択します。 チームメンテナーとして追加されたユーザーは、メンバーシップを確認したらすぐにチームメンテナーの権限を受け取ります。 8. **\[Add member (メンバーを追加)\]**​ を選択します。 ユーザーがチームに追加され、チームの権限を受け取ります。 ### [](#招待メールを介したユーザーの追加)招待メールを介したユーザーの追加 組織に新しいユーザーを招待するメールを送信する場合、招待を受け入れたときにユーザーが自動的に追加されるチームを指定できます。また、ユーザーは組織のルートチームに自動的に追加されます。このチームはデフォルトでは「Everyone at (<ルート組織> の全員)」と呼ばれます。 メールを介して既存のチームにユーザーを招待する方法についての詳細は、​[「Anypoint Platform へのユーザーの招待」](https://docs.mulesoft.com/jp/access-management/users#inviting-a-user-to-anypoint-platform)​を参照してください。 ### [](#外部グループマッピング介したユーザーの追加)外部グループマッピング介したユーザーの追加 SAML、OIDC、または LDAP を使用したシングルサインオン (SSO) を使用する場合は、SSO ユーザーをチームにマップできます。詳細は、​[「チームへの SSO ユーザーのマップ」](https://docs.mulesoft.com/jp/access-management/map-users-roles-teams)​を参照してください。 ### [](#チームメンバーとチームメンテナーの管理)チームメンバーとチームメンテナーの管理 チームにユーザーを追加するときに、そのユーザーがチームメンテナーであるかチームメンバーであるかを選択できます。チームメンバーとチームメンテナーを変更するには、組織のシステム管理者権限を持っているか、自分がチームメンテナーになる必要があります。 チームメンテナーを指定して、完全な組織のシステム管理者権限をユーザーに付与することなくチームメンテナンスの責任をユーザーに委任したり、チームメンテナーの指定を削除してユーザーをチームメンバーに戻したりできます。 1. 組織のシステム管理者権限があるアカウント、または変更するチームのチームメンテナーのアカウントを使用して、Anypoint Platform にログインします。 2. ナビゲーションバーまたは Anypoint Platform のメインページで、​**\[Access Management (アクセス管理)\]**​ をクリックします。 3. \[Access Management (アクセス管理)\] ナビゲーションメニューで、​**\[Teams (チーム)\]**​ をクリックします。 4. **\[Members (メンバー)\]**​ セクションで、チームメンテナーとして指定するユーザーに移動します。 5. **\[Type (種別)\]**​ ドロップダウンで、​**\[Maintainer (メンテナー)\]**​ または ​**\[Member (メンバー)\]**​ を選択します。 ユーザーのチームメンバーシップ状況が更新されます。 ## [](#change-team-name)チームの名前の変更 1. 組織のシステム管理者権限があるアカウント、または変更するチームのチームメンテナーのアカウントを使用して、Anypoint Platform にログインします。 2. ナビゲーションバーまたは Anypoint Platform のメインページで、​**\[Access Management (アクセス管理)\]**​ をクリックします。 3. \[Access Management (アクセス管理)\] ナビゲーションメニューで、​**\[Teams (チーム)\]**​ をクリックします。 4. **\[Settings (設定)\]**​ タブをクリックします。 5. **\[Name (名前)\]**​ ボックスで、チームの名前を入力します。 使用できるのは英数字、ハイフン、カンマ、ピリオド、スペースのみです。文字制限は 255 です。 6. **\[Save changes (変更を保存)\]**​ をクリックします。 チームの名前が変更されました。 ## [](#チームの移動)チームの移動 1. 組織のシステム管理者権限があるアカウント、または変更するチームのチームメンテナーのアカウントを使用して、Anypoint Platform にログインします。 2. ナビゲーションバーまたは Anypoint Platform のメインページで、​**\[Access Management (アクセス管理)\]**​ をクリックします。 3. \[Access Management (アクセス管理)\] ナビゲーションメニューで、​**\[Teams (チーム)\]**​ をクリックします。 4. **\[Settings (設定)\]**​ タブをクリックします。 5. **\[Parent Team (親チーム)\]**​ リストで、新しい親チームを選択します。 6. **\[Save Changes (変更を保存)\]**​ をクリックします。 これで、チームとその子チームが選択した親チームの下に配置されます。 ## [](#チームの削除)チームの削除 チームを削除するには、組織のシステム管理者権限が必要です。チームを削除したら、そのチームは復元できません。ルート組織全体を表すルートチームを削除することはできません。 1. 組織のシステム管理者権限を持つアカウントを使用して Anypoint Platform にログインします。 2. ナビゲーションバーまたは Anypoint Platform のメインページで、​**\[Access Management (アクセス管理)\]**​ をクリックします。 3. 削除するチームの横にある ​**\[…​\]**​ をクリックします。 4. **\[Delete…​ (削除…​)\]**​ をクリックします。 5. 削除するチームの名前を入力します。 6. **\[Delete (削除)\]**​ をクリックします。 チームが削除され、​**\[Teams (チーム)\]**​ ページに表示されなくなります。 # チームを使用したユーザーアクセスの管理 チーム機能を使用すると、ユーザーのグループを作成し、そのグループのメンバーに特定の権限を割り当てることができます。 チームには、拡張性を念頭に置いてユーザーと権限を管理するために役立つカスケード権限構造があります。 ルート組織で組織のシステム管理者権限を持っている場合は、チーム機能を使用して次のことを実現できます。 - シンプルでグローバルな視点から組織を管理する - ユーザーをチームにグループ化し、簡単に権限を管理してアセットを共有する - チームメンバーと子チームの管理を委任するチームメンテナーを割り当てる - 複数のビジネスグループのユーザーとチームの権限を 1 か所で管理する 招待または SSO を介して組織に参加するすべてのユーザーを含む「Everyone at (<ルート組織> の全員)」チームから始めて、メンバーの責任に基づいてより具体的な権限を持つ特殊な​_子チーム_​を作成できます。 チーム機能を使用すると、組織の構造を模倣し、組織の成長に合わせて権限とチームメンバーシップをシームレスに管理できます。 子チームが作成されたら、招待メールを使用するか、​[チーム機能インターフェース](https://docs.mulesoft.com/jp/access-management/configure-teams#invite-users-with-teams)​を使用して、新しいユーザーを適切なチームに直接招待できます。 チームにユーザーを追加するときに、そのユーザーを​_チームメンテナー_​ (チーム構造に従って権限を受け取り、チームメンバーシップを管理するユーザー) にするか、​_メンバー_​ (チーム構造に従って権限を受け取るユーザー) にするかも指定できます。チーム外でも、チーム全体には拡張しない権限が必要な場合は、​[個々のユーザーに特定の権限を割り当てる](https://docs.mulesoft.com/jp/access-management/users#grant-user-permissions)​ことができます。 組織でチーム構造を採用すると、アセットをより簡単に共有することもできます。Anypoint Exchange では、各ユーザーを個別に選択することなく、チーム全体でアセットを共有できます。
チームの権限を管理するには、特定のユーザーまたはチームにアクセス権を付与するリソースを含むビジネスグループに対する組織のシステム管理者権限が必要です。 ルート組織に対する組織のシステム管理者権限がある場合にのみ、組織内のすべてのチームの権限を変更できます。
## [](#権限構造)権限構造 組織のチーム構造を計画するときは、次の点を考慮してください。 - 組織の各メンバーは、「Everyone at (<ルート組織> の全員)」チーム、または​_ルート_​チームのメンバーです。 - チームの構造は、組織の構造を反映している必要があります。これにより、チームを計画し、メンバーのニーズに応じて権限を設定できます。ただし、組織のニーズの変化に応じてチームを移動できます。 - チーム名は、組織全体で一意である必要があります。 - 組織が所有できるチームは 1000 個までです。 - チームは、「Everyone at (<ルート組織> の全員)」を含めて 10 レベルまでネストできます。 - メンバーを追加せずにチームを作成できます。 - すべての子チームは、親チームから権限を継承します。 組織で権限を設定するときに、特権が多すぎない「Everyone at (<ルート組織> の全員)」権限を組織のメインチームに付与します。組織のすべてのメンバーがそのチームのメンバーであるため、すべてのユーザーに許可する権限のみを設定します。最上位のチームの下位に作成する子チームは、親チームの権限を継承します。各子チームに、チームメンバーの責任を反映するより特殊化された権限を付与できます。 ルート組織に対する組織のシステム管理者権限を持っている場合は、ユーザーを任意のチームに追加して、メンバーかメンテナーかを選択できます。各チームには、​_チームメンテナー_​ (独自のチームに新規ユーザーを追加できるメンバー) がいます。チームメンテナーは、メンバーを特定のチームまたは子チームにのみ割り当てることができます。チームメンテナーは、管理するチームに新しいメンテナーを指定することもできます。 組織全体に適用されるチーム構造の例については、​[「チーム構造の例」](https://docs.mulesoft.com/jp/access-management/teams-example)​を参照してください。 ## [](#チームへのオプトイン)チームへのオプトイン 1. Anypoint Platform にログインします。 2. ナビゲーションバーまたは Anypoint Platform のメインページで、​**\[Access Management (アクセス管理)\]**​ をクリックします。 3. \[Access Management (アクセス管理)\] ナビゲーションメニューで、​**\[Try New Features (新機能を試す)\]**​ をクリックします。 4. **\[Start Using These Features (これらの機能の使用を開始する)\]**​ をクリックします。 \[Access Management (アクセス管理)\] ナビゲーションメニューのオプションが変更され、チーム機能を使用できるようになります。​[チームを作成](https://docs.mulesoft.com/jp/access-management/configure-teams#create-a-child-team)​したり、​[既存のロールと権限をチームに移行](https://docs.mulesoft.com/jp/access-management/roles#migrate-roles-to-teams)​したりできます。 ## [](#個々のユーザーへの権限の付与)個々のユーザーへの権限の付与 組織のシステム管理者権限がある場合は、個々のユーザーをチームに割り当てることなく、それらのユーザーに権限を割り当てることができます。個人に権限を割り当てる方法についての詳細は、​[「ユーザーへの権限とロールの付与」](https://docs.mulesoft.com/jp/access-management/users#grant-user-permissions)​を参照してください。 ## [](#関連情報)関連情報 - [チームの設定](https://docs.mulesoft.com/jp/access-management/configure-teams) - [チーム構造の例](https://docs.mulesoft.com/jp/access-management/teams-example) - [Anypoint Platform へのユーザーの招待](https://docs.mulesoft.com/jp/access-management/users#inviting-a-user-to-anypoint-platform) - [ユーザーへの権限とロールの付与](https://docs.mulesoft.com/jp/access-management/users#grant-user-permissions) - [SSO ユーザーをチームにマップする](https://docs.mulesoft.com/jp/access-management/map-users-roles-teams) # チーム構造の例 Acme 組織に「Engineering (エンジニアリング)」というチームがあり、そのチームに特定のコンポーネントの構築に集中する小規模のチームが含まれているとします。Identity (ID) チームと DevOps チームは、大規模の Engineering (エンジニアリング) チーム内の専門チームです。 チーム機能を使用すると、次の方法でユーザーと権限を設定できます。 ![チーム機能を使用した権限構造の図](/mulesoft/current/ja-jp/access-management/_images/access-management-teams-hierarchy.png) ここに示されるユーザーチームは、次のように定義されています。 - Acme このチームは組織とルートチームを表し、組織内のすべてのユーザーがメンバーです。デフォルトでは、チームの名前は「Everyone at Acme (Acme の全員)」です。Anypoint Design Center で新しいプロジェクトを作成し、Anypoint Exchange でアセットを表示することで、すべての Acme ユーザーが組織内で簡単にコラボレーションする権限を設定できます。これを行うには、Everyone at Acme (Acme の全員) チームに対して次の権限を設定する必要があります。 - Design Center Developer (Design Center 開発者) - Exchange Viewer (Exchange 閲覧者) - Engineering (エンジニアリング) Acme チームの最初の子チームであるこのチームには、Acme のすべてのエンジニアが含まれますが、マーケティングチームやパートナーチームなど、Acme の他のメンバーは含まれません。Engineering (エンジニアリング) チームは Everyone at Acme (Acme の全員) チームから権限を継承しますが、必要に応じて追加の権限を付与できます。Engineering (エンジニアリング) チームのメンバーが Sandbox や設計などの本番前の環境にコードをデプロイできるようにする権限を設定できますが、本番にデプロイする権限を除外することもできます。これを行うには、Engineering (エンジニアリング) チームに対して次の権限を設定する必要があります。 - Deploy API Proxies (API プロキシのデプロイ) (Sandbox および設計環境に適用可能) - Design Center Developer (Design Center 開発者) - Exchange Viewer (Exchange 閲覧者) - DevOps このチームは、Engineering (エンジニアリング) チームの下位にある 2 つの子チームの 1 つです。DevOps チームは、すべてのエンジニアリングチーム全体で本番コードを管理する専門エンジニアのグループです。親の Engineering (エンジニアリング) チームとは異なり、本番前のブランチだけでなく、本番環境でコードを管理する権限を DevOps チームに付与できます。これを行うには、DevOps チームに対して次の権限を設定する必要があります。 - Deploy API Proxies (API プロキシのデプロイ) (Sandbox、設計、および本番環境に適用可能) - Design Center Developer (Design Center 開発者) - Exchange Viewer (Exchange 閲覧者) - Identity (ID) このチームは、Engineering (エンジニアリング) チームの下位にある 2 つの子チームの 1 つです。Identity (ID) チームは、指定されたビジネスグループのプロジェクト、アセット、およびその他の資料を管理する責任があります。Engineering (エンジニアリング) チームの子として、Identity (ID) チームもコードを本番前環境にデプロイできますが、DevOps のメンバーとは異なり、Identity (ID) のメンバーは本番環境にデプロイする必要はありません。このチームに組織全体を管理する権限は付与できませんが、監査ログおよび認証サービスビジネスグループのスコープ内の管理者権限を設定することで、監査ログおよび認証サービスビジネスグループを管理する権限を付与できます。Engineering (エンジニアリング) チームから継承された権限と組み合わせると、Identity (ID) チームには次の権限があります。 - Administrator (管理者) (監査ログおよび認証サービスビジネスグループに適用可能) - Deploy API Proxies (API プロキシのデプロイ) (Sandbox および設計環境に適用可能) - Design Center Developer (Design Center 開発者) - Exchange Viewer (Exchange 閲覧者) ## [](#関連情報)関連情報 - [製品別の使用可能な権限](https://docs.mulesoft.com/jp/access-management/permissions-by-product) - [個々のユーザーへの権限の付与](https://docs.mulesoft.com/jp/access-management/users#grant-user-permissions) - [チーム](https://docs.mulesoft.com/jp/access-management/teams) # ビジネスグループ ビジネスグループとは、アプリケーションや API などの Anypoint Platform リソースが含まれる自己完結型のリソースグループです。ユーザーは自分がロールを所有するビジネスグループのみに対するアクセス権を持つため、ビジネスグループによって Anypoint Platform リソースへのアクセス権を個別化して制御できます。 ビジネスグループはルート組織内に存在し、最上位のビジネスグループがルートになる階層ツリーで整理されます。作成する各ビジネスグループには直接的な親が 1 つあり、複数の子を持つことができます。
ビジネスグループは、新しい Anypoint Platform アカウントではデフォルトで有効になっていません。組織でビジネスグループをアクティブ化する場合は、MuleSoft の担当者にお問い合わせください。ビジネスグループは組織ごとに 100 件までに制限されています。
ビジネスグループのサポートを有効にしている組織で、組織のシステム管理者権限がある場合、組織内でビジネスグループを作成および管理できます。 ビジネスグループにより、リソースへのアクセス権をよりきめ細かく制御できます。 ビジネスグループは階層的であるため、親ビジネスグループのオーナーは、別の組織のシステム管理者ユーザーを子ビジネスグループのオーナーにしても、その親のすべての子ビジネスグループの管理者権限を保持します。 反対に、子ビジネスグループのオーナーは次の操作を実行できません。 - 親ビジネスグループまたはルート組織の設定へのアクセスおよび設定の変更 - 親ビジネスグループのクライアント ID およびクライアントシークレットの表示 別のビジネスグループにビジネスグループを作成すると、VPC やロードバランサーなど、親ビジネスグループに割り当てられた再配信可能なエンリッチメントのみを子ビジネスグループに割り当てることができます。 ## [](#ビジネスグループを作成する)ビジネスグループを作成する 最上位または​_ルート_​ビジネスグループでビジネスグループを新規作成すると、ルートビジネスグループで組織のシステム管理者権限を持つ現在のすべてのユーザーが新規作成されたビジネスグループのユーザーのリストに表示されます。 1. 組織のシステム管理者権限を持つアカウントを使用して Anypoint Platform にログインします。 2. ナビゲーションバーまたは Anypoint Platform のメインページで、​**\[Access Management (アクセス管理)\]**​ をクリックします。 3. \[Access Management (アクセス管理)\] ナビゲーションメニューで、​**\[Business Groups (ビジネスグループ)\]**​ をクリックします。 4. アクセスするビジネスグループの名前をクリックします。 **\[Settings (設定)\]**​ セクションが表示され、ルート組織またはビジネスグループに関する詳細が表示されます。 5. 組織のルートビジネスグループを作成するには、​**\[Create business group (ビジネスグループを作成)\]**​ をクリックします。 6. 子ビジネスグループを作成するには、親となるビジネスグループの横にある ​**\[…​\]**​ メニューをクリックします。 7. **\[Create child group (子グループを作成)\]**​ をクリックします。 8. ダイアログボックスに次の情報を入力します。 - **Business Group name (ビジネスグループ名)**​: 新規ビジネスグループの名前。 - **Owner (オーナー)**​: 既存の組織のシステム管理者をビジネスグループオーナーとして割り当てます。 - このビジネスグループで子ビジネスグループを作成することを許可するには、​**\[Can create Business Groups (ビジネスグループを作成できる)\]**​ をオンにします。 - このビジネスグループ内で環境を作成することをオーナーに許可するには、​**\[Can create environments (環境を作成できる)\]**​ をオンにします。 - 組織が所有する再配信可能なリソース (vCore、VPC など) の一部または全部を個別のビジネスグループに割り当てることができます。これにより、リソースがビジネスグループに属する CloudHub デプロイによって使用されるようになります。ビジネスグループを作成するときにリソースを割り当てることも、これらの設定を後から編集することもできます。 - **Enable CloudHub global deployment (CloudHub グローバルデプロイメントを有効にする)** + このオプションは、グローバルデプロイメントが親ビジネスグループで有効になっている場合のみ使用できます。グローバルデプロイメントが有効になっている場合、リージョンは指定したリージョンに従って自動的に入力されます。 - **静的 IP** このオプションは、親ビジネスグループに静的 IP が割り当てられている場合のみ使用できます。このオプションにより、静的 IP アドレスが使用できるようになります。 9. **\[Add Business Group (ビジネスグループを追加)\]**​ をクリックします。 ビジネスグループは階層でルート組織の下に表示されます。

再配信可能なリソースをビジネスグループに割り当てると、これらのリソースはそのグループでのみ使用できるようになり、親組織では使用できなくなります。
## [](#子ビジネスグループを作成する)子ビジネスグループを作成する リソースに対するユーザーアクセスをより適切に制御できるようにビジネスグループ階層を作成します。 1. 子ビジネスグループを作成するには、親となるビジネスグループの横にある ​**\[…​\]**​ メニューをクリックします。 2. **\[Add Business Group (ビジネスグループを追加)\]**​ ダイアログで、​**\[Business Group name (ビジネスグループ名)\]**​ と ​**\[Owner (オーナー)\]**​ を入力し、次のオプションからいずれかを選択します。 - **Owner can create Business Groups (オーナーはビジネスグループを作成できる)** 組織のシステム管理者権限を持つユーザーは、所有するビジネスグループの子ビジネスグループを作成できます。 - **\[Owner can create environments (オーナーは環境を作成できる)\]** 組織のシステム管理者権限を持つユーザーは、ビジネスグループ内で環境を作成できます。 - **Enable CloudHub global deployment (CloudHub グローバルデプロイメントを有効にする)** このオプションは、グローバルデプロイメントが親ビジネスグループで有効になっている場合のみ使用できます。グローバルデプロイメントが有効になっている場合、リージョンは指定したリージョンに従って自動的に入力されます。 - **Static IPs (静的 IP)**​: このオプションは、親ビジネスグループに静的 IP が割り当てられている場合のみ使用できます。このオプションにより、静的 IP アドレスが使用できるようになります。 3. **\[Add Business Group (ビジネスグループを追加)\]**​ をクリックします。 親ビジネスグループ階層に新規ビジネスグループが表示されます。 ## [](#ビジネスグループ間の移動)ビジネスグループ間の移動 組織に複数のビジネスグループがある場合、右上にあるメニューを使用してビジネスグループ間を移動できます。ビジネスグループ間で切り替えると、使用可能な CloudHub デプロイ、API、ユーザー、ロールの設定のリストが変更されます。 ![switch+suborg](/mulesoft/current/ja-jp/access-management/_images/switch-suborg.png)

ビジネスグループを作成するときに、ログアウトして Anypoint Platform にログインし、ビジネスグループナビゲーションメニューで新しく作成されたビジネスグループを表示します。 Anypoint Platform にログインすると、Anypoint Platform からログアウトしたときに最後にアクティブにしていたビジネスグループに戻ります。
組織のシステム管理者権限がない場合、表示できるのは参照権限があるビジネスグループのみです。​**\[Organization (組織)\]**​ タブで、組織ツリーに表示されるのは自分が所属するビジネスグループのみです。 ## [](#creatingroles)ビジネスグループの権限とメンバーシップ 権限とロールはルート組織レベルで適用することもビジネスグループレベルで適用することもできます。ただし、それぞれで制御するリソースは異なります。ある特定のビジネスグループのユーザーに割り当てられた権限およびロールは、他のビジネスグループの同じユーザーに割り当てられた権限およびロールとは無関係です。 ビジネスグループを操作するには、そのビジネスグループ内で権限を付与されているか、そのビジネスグループ内で権限を付与されているチームのメンバーである必要があります。属しているビジネスグループに関係なく、すべてのユーザーはルート組織に属しています。 ビジネスグループのメンバーとして、ビジネスグループを参照する権限とビジネスグループにアクセスする権限が自動的に付与されますが、特定のリソースにアクセスするには、適切な権限またはロールが割り当てられている必要があります。たとえば、ビジネスグループの API および CloudHub デプロイにアクセスするには、そのビジネスグループに適用する権限が割り当てられている必要があります。 たとえば、BusinessGroupA で組織のシステム管理者権限を持っている場合、ユーザーおよびチームに BusinessGroupA の API および CloudHub デプロイへのアクセス権を付与することができます。 BusinessGroupB でも組織のシステム管理者権限を持っていたとしても、BusinessGroupA の API および CloudHub デプロイへのアクセス権を BusinessGroupB のユーザーに付与できるわけではなく、その逆もできません。 ルート組織に属するリソースには、ルート組織レベルで指定された権限が必要です。 任意のレベルで組織のシステム管理者権限が割り当てられているユーザーには、そのレベル内で作成されたすべての子ビジネスグループで同じ権限が自動的に割り当てられるため、子で自動的に表示可能な状態になります。これは、子が作成された後に組織のシステム管理者権限が割り当てられたユーザーには適用されません。 ## [](#ビジネスグループへのアクセス権を制御する)ビジネスグループへのアクセス権を制御する ビジネスグループのユーザーまたはチームのリストを表示し、割り当てられた権限で絞り込むことができます。 1. \[Access Management (アクセス管理)\] ナビゲーションメニューで、​**\[Business Groups (ビジネスグループ)\]**​ をクリックします。 2. アクセスするビジネスグループの名前をクリックします。 **\[Settings (設定)\]**​ セクションが表示され、ルート組織またはビジネスグループに関する詳細が表示されます。 3. **\[Access Overview (アクセスの概要)\]**​ タブをクリックします。 **\[Access Overview (アクセスの概要)\]**​ セクションが表示され、デフォルトで現在のビジネスグループの任意の権限を持つすべてのユーザーのリストが表示されます。 4. ドロップダウンを使用して次の情報を指定します。 - `Users`​ または ​`Teams` - 権限 (製品別に並び替え) - ビジネスグループ ## [](#ビジネスグループを削除する)ビジネスグループを削除する ビジネスグループを削除できるのは、そのグループに属する組織のシステム管理者のみです。組織のシステム管理者であっても、最上位 (ルート) のビジネスグループは削除できません。 1. \[Access Management (アクセス管理)\] ナビゲーションメニューで、​**\[Business Groups (ビジネスグループ)\]**​ をクリックします。 2. ルート組織の名前をクリックします。 3. 削除するビジネスグループの横にある ​**\[…​\]**​ をクリックします。 4. 確認ダイアログでビジネスグループの名前を入力し、​**\[Delete (削除)\]**​ をクリックします。 ## [](#redistribute-resources)既存のビジネスグループ間のリソースの再配信 ビジネスグループのアプリケーションのデプロイメントに基づいて、リソース (vCore、VPC、ロードバランサーなど) を再配信することが必要になる場合があります。 ビジネスグループ階層を使用すると、組織のシステム管理者がそれらのリソースを再配信しない限り、子ビジネスグループでその親グループまたはルート組織のリソースをコンシュームすることを回避できます。リソースは、ルートから親、親から子へ配信されます。 たとえば、ルート組織に使用可能な Sandbox vCore があったとしても、親ビジネスグループに使用可能な Sandbox vCore がなければ、子ビジネスグループで Sandbox vCore を受信できません。 また、階層の下位のビジネスグループに現在割り当てられているリソースをルート組織または親ビジネスグループで解放することはできません。 リソースを再配信するには、組織のシステム管理者権限が必要です。 1. \[Access Management (アクセス管理)\] ナビゲーションメニューで、​**\[Business Groups (ビジネスグループ)\]**​ をクリックします。 2. アクセスするビジネスグループの名前をクリックします。 **\[Settings (設定)\]**​ セクションが表示され、ルート組織またはビジネスグループに関する詳細が表示されます。 3. **\[Settings (設定)\]**​ タブをクリックします。 4. ビジネスグループに割り当てる vCore の数を入力します。 5. **\[Save changes (変更を保存)\]**​ をクリックします。 **\[Business Group Info (ビジネスグループ情報)\]**​ ウィンドウには、使用可能なリソースのみを表す値、子ビジネスグループに再割り当てされたリソース + 選択したビジネスグループによって現在使用されているリソースの合計を表示するリソースカウンターがあります。 ### [](#関連情報)関連情報 - [組織](https://docs.mulesoft.com/jp/access-management/organization) - [チーム](https://docs.mulesoft.com/jp/access-management/teams) - [ロール](https://docs.mulesoft.com/jp/access-management/roles) - [ユーザー](https://docs.mulesoft.com/jp/access-management/users) # ブラウザーでの SAML 応答の表示 ブラウザーで SAML 応答を表示するには、シングルサインオンを実行し、ブラウザーの開発者ツールを使用してベアラートークンおよび SAML 応答を見つけます。
SAML 2.0 対応の SSO のセットアップに関するトラブルシューティングを依頼するために MuleSoft サポートチームに電話をかけるのは、この作業を実行してからにしてください。
1. ブラウザーで新しいタブを開き、Chrome 開発者ツール、Firebug for Firefox、または SAML Tracer を開いて SAML 応答を捕捉します。 2. \[Access Management (アクセス管理)\] ナビゲーションメニューで、​**\[Business Groups (ビジネスグループ)\]**​ をクリックします。 3. ルート組織の名前をクリックします。 4. **\[Settings (設定)\]**​ タブをクリックします。 5. ドメイン名をコピーします。 6. `anypoint.mulesoft.com/accounts/login/_domain_name_`​ に移動します。これにより、IDP のシングルサインオンページにリダイレクトされます。 7. IDP アカウントのログイン情報を入力し、認証を受けます。 8. Chrome 開発者ツールの ​**\[Form data (フォームデータ)\]**​ ウィンドウで、​**\[Params (パラメーター)\]**​ タブを選択します。 他のツールまたはトレーサーでは表示ラベルが異なる場合があります。 9. SAML 応答要素を記録します。 SAML 応答を記録したら、これを使用してプラットフォーム API にアクセスするための​[ベアラートークンを取得](https://docs.mulesoft.com/jp/access-management/saml-bearer-token)​します。SAML 応答を記録しておくと、MuleSoft サポートへの問い合わせ時に MuleSoft サポートに提供することもできます。 1. 次の URL にある MuleSoft サポートポータルにログインします。 https://www.mulesoft.com/support-login 2. Anypoint Platform の SAML 設定のスクリーンショットを提供します。 3. XML SAML アサーションを含めます。 ## [](#例-chrome-開発者ツールの-saml-応答要素)例: Chrome 開発者ツールの SAML 応答要素 次の画像は、SSO を使用して Anypoint Platform にログインした結果として Chrome 開発者ツールに表示されている SAML 応答要素を示しています。 ![iam chromedevtools](/mulesoft/current/ja-jp/access-management/_images/iam-chromedevtools.png) Figure 1. Google Chrome で Anypoint Platform にログインした後の SAML 応答要素。 **\[Network (ネットワーク)\]**​ タブ (1) の ​`receive-id`​ 行 (2) は、ID プロバイダーを介してシングルサインオンを使用して Anypoint Platform へのログインを試行したことを示します。 ログインは成功しているため、​`receive-id`​ を展開して、SAML 応答要素 (3) を含むフォームデータにアクセスできます。ただし、ログインの試行に失敗しても SAML 応答要素は生成されます。 # ユーザー ルート組織のシステム管理者は、ユーザーの有効化、無効化、または削除を行うことができます。 ユーザーの横にあるチェックボックスをオンにして、そのユーザーに関連する追加のオプションを表示します。 - **Enable (有効化)**​: 選択した組織またはビジネスグループで無効なユーザーを有効にします。 - **Disable (無効化)**​: 選択した組織またはビジネスグループでユーザーを無効にします。ユーザーはログインできなくなります。 - **Delete (削除)**​: ルート組織から削除すると、ユーザーの権限がすべて削除され、ユーザーが未接続になります。ビジネスグループから削除すると、選択されたビジネスグループのみのユーザーの権限がすべて削除されます。削除されたユーザーのデータは、監査ログの目的で組織に存在します。 ## [](#始める前に)始める前に 始める前に、次の準備が整っていることを確認します。 - 組織のシステム管理者権限 - 「API バージョンオーナー」権限 (API バージョンのユーザー権限を管理する場合) ## [](#anypoint-platform-へのユーザーの招待)Anypoint Platform へのユーザーの招待

この機能は Anypoint Platform Private Cloud Edition、Government Cloud、またはシングルサインオン (SSO) に外部 ID プロバイダーを使用する組織では使用できません。サードパーティの IdP または LDAP を使用して、新規ユーザーの招待を含め、ユーザーを管理する必要があります。
ルート組織の組織のシステム組織のシステム管理者は、新しいユーザーを招待したり、組織の既存のユーザーを管理したりできます。 組織に新しいユーザーを招待するには、次の手順を実行します。 1. \[Access Management (アクセス管理)\] ナビゲーションメニューで、​**\[Users (ユーザー)\]**​ をクリックします。 2. **\[Invite user (ユーザーを招待)\]**​ をクリックします。 3. 組織に招待するユーザーのメールアドレスをカンマ区切りリストとして入力します。 4. 必要に応じて、これらのユーザーに権限を割り当てる​[チーム](https://docs.mulesoft.com/jp/access-management/teams)​または​[ロール (非推奨)](https://docs.mulesoft.com/jp/access-management/roles)​ を選択します。 5. **\[Send Invitation (招待を送信)\]**​ をクリックします。 指定したユーザーに組織に参加するための招待メールが届きます。招待されたユーザーは受信した招待のリンクを使用して組織に参加する必要があります。ユーザーがリンクをクリックすると、組織の名前がすでに入力された ​**\[Company (会社)\]**​ 項目を含むサインアップフォームが表示されます。 メールリンクの有効期限は 1 週間です。 招待されたユーザーには同じリソースのセットへのアクセス権が付与されます (持っている権限が異なり、表示または実行できる内容が制限される場合もあります)。 ## [](#送信済みの招待の再送信またはキャンセル)送信済みの招待の再送信またはキャンセル **\[Pending Invites (保留中の招待)\]**​ をクリックすると、まだ受け入れられていない招待をすべて表示できます。管理する必要がある招待を選択して、​**\[Re-send Invite (招待を再送信)\]**​ または ​**\[Cancel Invite (招待をキャンセル)\]**​ をクリックします。 ## [](#grant-user-permissions)ユーザーへの権限の付与 組織のシステム管理者は、​[チーム](https://docs.mulesoft.com/jp/access-management/teams)​または​[ロール](https://docs.mulesoft.com/jp/access-management/roles)​ (非推奨) を使用して、またはユーザーに個別に権限を付与することでユーザーアクセスを管理します。チームとロールの機能は相互に排他的である点に注意してください。 **\[Users (ユーザー)\]**​ ページでユーザー名をクリックすると、そのユーザーに関するその他の情報にアクセスしたり、権限を管理および表示したり、チームまたはロールを管理および表示したり、そのパスワードをリセットしたりすることができます。 デフォルトでは、新しい組織やビジネスグループごとに次の割り当てを行うことができます。 - Assign API permissions (API 権限を割り当てる): アクセス権を付与する API の名前を選択してから、バージョンおよび権限を選択します。 - Assign Runtime Manager permissions (Runtime Manager 権限を割り当てる): アクセス権を付与する Runtime Manager 環境の名前を選択してから、権限を選択します。 - Assign teams (チームを割り当てる): アクセス権を付与するチームの名前を選択します。 - Assign roles (ロールを割り当てる) (非推奨): 付与するロールの名前を選択します。組織およびビジネスグループ内のデフォルトロールについての説明は、​[「ロール」](https://docs.mulesoft.com/jp/access-management/roles)​セクションを参照してください。

従来のロールユーザーインターフェースでは、ロールおよび権限は組織 (場合によってはビジネスグループ) でグループ化されます。つまり、選択している組織やビジネスグループに存在するリソースに関連したロールおよび権限しか割り当てることができません。
必要に応じて、ユーザー権限を削除することもできますが、割り当て済みのチームまたはロールを通じてそれらの権限が付与されている場合、それぞれ ​[teams (チーム)](https://docs.mulesoft.com/jp/access-management/teams)​ または ​[Roles (ロール)](https://docs.mulesoft.com/jp/access-management/roles)​ 機能を使用することでのみ権限を削除できます。​**\[Users (ユーザー)\]**​ ページでチームベースまたはロールベースの権限を表示または削除することはできません。 ロール機能は廃止されたため、階層内の権限を管理するには、​[**\[Try New Features (新機能を試す)**](https://docs.mulesoft.com/jp/access-management/teams#opt-in-to-teams)​ を選択してチーム機能にオプトイン\]​することをお勧めします。 従来のロールインターフェースまたはチーム機能を使用して、個々のユーザーに権限を付与できます。 従来のロールインターフェースで個々のユーザーに権限を付与する手順は、次のとおりです。 1. 組織のシステム管理者権限を持つアカウントを使用して Anypoint Platform にログインします。 2. ナビゲーションバーまたは Anypoint Platform のメインページで、​**\[Access Management (アクセス管理)\]**​ をクリックします。 3. \[Access Management (アクセス管理)\] ナビゲーションメニューで、​**\[Users (ユーザー)\]**​ をクリックします。 4. 権限を割り当てるユーザーのユーザー名をクリックします。 5. **\[Permissions (権限)\]**​ セクションで、権限を割り当てる製品をクリックします。 6. **\[Permission(s) (権限)\]**​ セクションの ​**\[Select access (アクセスを選択)\]**​ 項目で、割り当てる権限を選択し、​**\[+\]**​ をクリックします。 7. 環境に権限を割り当てることができる製品を選択した場合は、​**\[Environment (環境)\]**​ 項目で割り当てる権限を選択し、​**\[+\]**​ をクリックします。 これで、選択した権限がユーザーに付与されます。 [チーム機能](https://docs.mulesoft.com/jp/access-management/teams#opt-in-to-teams)​を有効にして個々のユーザーに権限を付与する手順は、次のとおりです。 1. 組織のシステム管理者権限を持つアカウントを使用して Anypoint Platform にログインします。 2. ナビゲーションバーまたは Anypoint Platform のメインページで、​**\[Access Management (アクセス管理)\]**​ をクリックします。 3. \[Access Management (アクセス管理)\] ナビゲーションメニューで、​**\[Users (ユーザー)\]**​ をクリックします。 4. 権限を割り当てるユーザーの名前をクリックします。 5. **\[Permissions (権限)\]**​ タブをクリックします。 6. **\[Permissions (権限)\]**​ セクションで ​**\[Add permissions (権限を追加)\]**​ をクリックします。 **\[Add Permissions (権限を追加)\]**​ ウィンドウが表示されます。 7. **\[Select Permissions (権限を選択)\]**​ セクションで、追加する権限を選択して ​**\[Next (次へ)\]**​ をクリックします。 8. **\[Select Business Groups (ビジネスグループを選択)\]**​ セクションで、権限を適用するビジネスグループを選択します。環境を選択できる権限を選択した場合は、その権限に適用する環境を選択できます。​**\[Next (次へ)\]**​ をクリックします。 **\[Review (確認)\]**​ セクションで、権限およびその権限が適用されるビジネスグループと環境を確認します。 9. **\[Add Permissions (権限を追加)\]**​ をクリックします。 これで、指定したビジネスグループおよび環境で選択した権限がユーザーに付与されます。 ## [](#ユーザーの制限を表示する)ユーザーの制限を表示する ユーザーの各管理ページには、Anypoint Platform によって課された制限にどれだけ近づいているかを示す ​**\[Limits (制限)\]**​ セクションがあります。 制限を表示する手順は、次のとおりです。 1. \[Access Management (アクセス管理)\] ナビゲーションメニューで、​**\[Users (ユーザー)\]**​ をクリックします。 2. 制限を表示するユーザーをクリックします。 3. **\[Limits (制限)\]**​ タブをクリックします。
使用される権限の数には、システムによって自動的に付与される内部権限が含まれる場合がありますが、これらは UI に常に表示されるとは限りません。
アクセス管理での制限についての詳細は、​[「制限」](https://docs.mulesoft.com/jp/access-management/troubleshooting-anypoint-platform-access#access-management-limits)​を参照してください。 ## [](#削除済みユーザーの管理)削除済みユーザーの管理 ルート組織からユーザーを削除すると、そのユーザーは​_論理削除_​された状態になります。このユーザーはルート組織やビジネスグループにはアクセスできなくなりますが、Anypoint Platform アカウントは残り、後で別の組織に関連付けることができます。Anypoint Platform は、このようなユーザーのレコードを監査ログのために維持しています。 ユーザーを削除しても、そのユーザーにより作成されたアセットは影響を受けません。たとえば、Exchange で API を作成したユーザー、API Manager で API を作成したユーザー、または Runtime Manager でアプリケーションを作成したユーザーを削除しても、そのユーザーが作成したアセットには影響しません。 組織から削除された Anypoint Platform ユーザーが元の組織にログインしようとすると、​`「Your credentials are not valid (ログイン情報が無効です)」`​のエラーメッセージが返されてログインに失敗します。 組織のシステム管理者は、そのユーザーを同じ組織に再び招待することができますが、ユーザーは新しいユーザー名を作成する必要があります。ユーザーが古いアカウントでログインしようとすると、​`「Cannot create user. User already exists (ユーザーを作成できません。そのユーザーはすでに存在します)」`​のエラーメッセージが返されてサインアップ要求が失敗します。 削除された統合ユーザーがログインしようとすると、​`「This user is disabled (このユーザーは無効です)」`​のエラーメッセージが返されますが、ユーザーは無効アカウントとして組織に表示されます。組織のシステム管理者は、このユーザーを再び有効化することができます。 ## [](#公開-api-の外部ユーザーの管理)公開 API の外部ユーザーの管理 API Portal を公開にした場合、他のすべての Anypoint Platform 組織のユーザーがクライアントアプリケーションを登録して API をコールできます。こうしたユーザーが公開開発者ポータルにログインすると、組織の外部にいるため、外部ユーザーとみなされます。 ユーザーが初めて Anypoint Platform にログインすると、自動的に ​**\[External Users (外部ユーザー)\]**​ タブに追加されます。\[Access Management (アクセス管理)\] の ​**\[External Users (外部ユーザー)\]**​ タブから、すべての外部ユーザーのリストを表示できます。この画面からこれらの外部ユーザーを個別に有効化または無効化することもできます。外部ユーザーを無効にすると、公開ポータルにログインできなくなります。 自分の組織に属していない外部ユーザーは追加権限を持たないため、Anypoint Platform の他の部分でこれらの外部ユーザーを検索することはできません。アプリケーションのデプロイなどのタスクを実行する権限をユーザーに付与するには、組織に参加するようにユーザーを招待する必要があります。 ## [](#重要なアカウント情報の管理)重要なアカウント情報の管理 組織のシステム管理者は、重要なユーザー情報の一部を変更できます。セキュリティを強化するため、組織ユーザーのメールアドレスを変更する前に Access Management から再認証が求められる場合があります。接続アプリケーションとクライアントでは再認証は求められません。API コールを実行して組織ユーザーのメールアドレスを変更するスクリプトを使用している場合は、再認証への対応が必要な場合があります。 Access Management は、以下の状況で再認証を要求します。 - パスワードを入力してから 30 分以上が経過すると、Access Management はパスワードの再入力を要求します。 - 多要素認証 (MFA) を有効にしてある場合、パスワードを入力して MFA を使用してから 8 時間以上が経過すると、Access Management はパスワードの再入力と MFA によるログインの確認を要求します。 ログインまたは再認証を行うたびにタイマーがリセットされます。ログインから 30 分が経過するまでは、Access Management はパスワードの再入力を要求しません。 ## [](#関連情報)関連情報 - [アセットを共有またはポータルにパブリッシュする方法](https://docs.mulesoft.com/jp/exchange/to-share-an-asset) - [ユーザー管理](https://docs.mulesoft.com/jp/access-management/external-identity#managing-users) - [サードパーティの IdP を通じた SSO](https://docs.mulesoft.com/jp/access-management/external-identity#instructions-for-saml-configuration) - [LDAP](https://docs.mulesoft.com/jp/access-management/external-identity#configure-ldap) # ユーザープロファイルを更新する 設定済みの IdP に初めてログインするときに、IdP 情報を使用して Anypoint ユーザーが作成されます。 ユーザープロファイルにはユーザー名、名前、メールアドレスが含まれます。通常、OpenID Connect の ​`userinfo`​ エンドポイントによって、認証済みユーザーのユーザー名が含まれる ​`preferred_username`​ クレームが提供されます。ただし、OpenAM や PingFederate などの一部の IdP では ​`preferred_username`​ クレームがサポートされていません。そのため、Anypoint Platform がユーザーを作成するときに ​`preferred_username`​ クレームが存在しない場合、​`email`​ および ​`sub`​ クレーム値はユーザー名になります。 クレームは ​`preferred_username`​、​`email`​、​`sub`​ の順序で行われます。 ユーザー名がランダムな文字の単一文字列として作成され、メールアドレスが定義されていない場合、その文字列では、​`id`​ トークンと ​`userinfo`​ エンドポイントがユーザーに表示される ​`sub`​ クレームが返される可能性があります。 設定済み IdP からユーザープロファイル情報を更新するには、IdP から Anypoint Platform にログインします。ログインすると、ユーザープロファイルは IdP からの情報で自動的に更新されます。 # ロール
ロールは非推奨になり​チーム​機能に置き換えられましたが、ビジネスグループを使用してロールを管理できます。ほとんどのロールは代わりに権限として付与します。
_ロール_​とは、Anypoint Platform 内の各製品または機能へのアクセスを制御する事前定義定義済みの権限のセットです。製品に応じて、標準の権限が含まれる事前定義済みのロールを使用できる場合もあれば、各ロールについて独自の権限を指定できる場合もあります。ロールは、個々のユーザーに対してのみ設定されます。ビジネスグループ間で機能するアクセスソリューションには、​[チーム機能](https://docs.mulesoft.com/jp/access-management/teams)​を使用します。 Anypoint Platform 内でロールおよび権限を管理するには、組織のシステム管理者権限を持っている必要があります。API バージョンのユーザー権限を管理するには、API バージョンオーナー権限を持っている必要があります。 Anypoint Platform には 2 種類のロールがあります。 - **デフォルトのロール**​: 組織またはビジネスグループを作成したときに自動的に作成されるロール。これらのロールにより、Anypoint Platform のコア機能に対する権限およびアクセス権限が提供されます。ユーザーをデフォルトのロールに割り当てることはできますが、デフォルトのロールを削除することはできません。 - **カスタムロール**​: カスタムロールを作成および削除できます。ユーザーを割り当ててカスタムロールに権限を追加できるだけでなく、カスタムロールを特定の Anypoint Platform 製品に関連付けることもできます。たとえば、「Application Designer (アプリケーションデザイナー)」というカスタムロールを作成して、Design Center 権限をこのロールに付与し、このロールが割り当てられたユーザーが Design Center にアクセスできるようにすることができます。 ロールはビジネスグループ固有であるため、画面の右上にあるユーザー名の横に表示されるメニューをクリックして、ロールを管理する適切なビジネスグループ内にいることを確認してください。 ## [](#アクセスロール)アクセスロール 1. 組織のシステム管理者権限を持つアカウントを使用して Anypoint Platform にログインします。 2. ナビゲーションバーまたは Anypoint Platform のメインページで、​**\[Access Management (アクセス管理)\]**​ をクリックします。 3. \[Access Management (アクセス管理)\] ナビゲーションメニューで、​**\[Business Groups (ビジネスグループ)\]**​ をクリックします。 4. アクセスする組織の名前をクリックします。 5. **\[Roles (ロール)\]**​ タブをクリックします。 ## [](#デフォルトのロール)デフォルトのロール デフォルトのロールは組織の一部として自動的に作成されます。Anypoint Platform のデフォルトのロールには、それぞれ事前定義された権限のセットとユーザーがプラットフォーム内の特定のアクションを実行するためのアクションのスコープが含まれます。 Anypoint Platform の権限についての詳細は、​[「権限の管理」](https://docs.mulesoft.com/jp/access-management/managing-permissions)​を参照してください。 ### [](#デフォルトのロールと権限のスコープ)デフォルトのロールと権限のスコープ - **API 作成者**​: ユーザーは Anypoint Platform で API を作成して管理できます。API 作成者ロールのメンバーは API 管理ページでプラットフォームに新しい API を追加できます。このロールでは、Runtime Manager の権限は付与されません。このロールには次の権限スコープがあります。 - API の作成/インポート - **API バージョンオーナー**​: ユーザーは組織で任意の API を管理、削除、および非推奨化できます。ユーザーは組織の任意の API のポータルを編集できます。ただし、このロールではユーザーは既存の API の新規バージョンを作成することはできません。このロールには次の権限スコープがあります。 - 組織の任意の API バージョンの管理 - 組織の任意の API バージョンの削除 - 組織の任意の API バージョンの非推奨化 - 組織の任意の API バージョンのポータルの編集 - **監査ログ閲覧者**​: ユーザーは \[Access Management (アクセス管理)\] の \[Audit Log (監査ログ)\] の UI にアクセスできます。このロールには次の権限スコープがあります。 - [「監査ログ」](https://docs.mulesoft.com/jp/access-management/audit-logging)​セクションのログの視覚化。 - **CloudHub システム管理者**​: すべての Runtime Manager 機能へのアクセス権を提供します。このロールには次の権限スコープがあります。 - アプリケーションの作成 - アプリケーションの削除 - アプリケーションのダウンロード - アラートの管理 - アプリケーションデータの管理 - キューの管理 - スケジュールの管理 - サーバーの管理 - 設定の管理 - アプリケーションの読み取り - **CloudHub 開発者**​: **(非推奨)**​ 組織設定および請求設定を除く、すべての Runtime Manager 機能へのアクセス権を提供します。このロールには次の権限スコープがあります。 - アプリケーションの作成 - アプリケーションのダウンロード - アラートの管理 - アプリケーションデータの管理 - キューの管理 - スケジュールの管理 - 設定の管理 - アプリケーションの読み取り - サーバーの読み取り - **CloudHub サポート**​: **(非推奨)**​ ダッシュボード、通知、アラート、ログ、およびそのユーザー設定への読み取り専用アクセス権を提供します。このロールには次の権限スコープがあります。 - アプリケーションの読み取り - **組織のシステム管理者**​: ユーザーはすべての API のすべてのバージョン、すべての登録済みアプリケーション、Anypoint Platform のすべての API Portal を編集できます。\[Organization Administration (組織のシステム管理者)\] ページにアクセスします。このページでは、ユーザーを追加し、ユーザーおよびロールを管理し、組織の詳細を表示および編集し、​**\[API Manager\] > \[Client Applications (クライアントアプリケーション)\]**​ にアクセスし、組織のクライアント ID とクライアントシークレットにアクセスして、開発者ポータルのテーマをカスタマイズできます。組織のシステム管理者ロールのメンバーはデフォルトで ​**API 作成者**​のロールも継承します。このロールには次の権限スコープがあります。 - 開発者ポータルのテーマ設定の編集 - API アクセスの契約条件の要求 - ポータルの契約条件の編集 - カスタムポリシーの設定 - サード-パーティアプリケーションの API へのアクセスの管理 (ルートビジネスグループの組織のシステム管理者に固有) - ユーザーのメールアドレスの編集 - VPC および CloudHub 専用ロードバランサー権限の付与 - **Exchange システム管理者**​: ユーザーはカスタマイズ、アセットの管理、レビューの管理を含めて、Exchange ポータルを管理できます。このロールには次の権限スコープがあります。 - コンテンツの作成 - アセットの管理 - コンテンツのパブリッシュ、削除、非推奨化 - アセットの公開または非公開の管理 - Exchange ポータルのカスタマイズ - **Exchange コントリビューター**​: このロールには次の権限スコープがあります。 - コンテンツの作成 - 新しいバージョンの追加や独自のバージョンのコンテンツの編集など、独自のコンテンツを管理できますが、独自のバージョンを削除することはできません。 - 追加、編集、削除を含む独自のレビューの管理 - **Exchange 閲覧者**​: ユーザーは Exchange アセットを表示およびコンシュームできます。このロールには次の権限スコープがあります。 - Exchange アセットの表示およびコンシューム - 追加、編集、削除を含む独自のレビューの管理 - **ポータル閲覧者**​: (API Manager 2.0 では非推奨) API Portal を表示する機能により、自動的に API へのユーザーアクセス権が付与されるわけではありません。API に API Portal がない限り、ポータル閲覧者権限を付与することはできません。このロールには次の権限スコープがあります。 - 開発者ポータルからの、ポータル閲覧者権限を持つ非公開 API Portal を含む API Portal の表示
API Manager 2.0 を使用している場合、ポータル閲覧者ロールを持つユーザーは非公開 API を表示できません。API Manager 2.0 の場合、権限が割り当てられているビジネスグループ内のすべての Exchange アセットへのユーザーアクセスを許可するには、ユーザーに少なくとも Exchange 閲覧者ロールを割り当てます。
1 つの非公開 API のアクセスを制御するには、非公開 API が存在するビジネスグループのユーザーに Exchange 閲覧者ロールを割り当てないでください。代わりに、Exchange のアセットの共有機能を使用します。​「アセットの共有」​を参照してください。アセットを別のユーザーと共有できるのは Exchange システム管理者ロールを持つユーザーのみです。
### [](#デフォルトのロールにユーザーを割り当てる)デフォルトのロールにユーザーを割り当てる ロールにユーザーを追加するには、ユーザーはロールと同じビジネスグループに属している必要があります。 1. Anypoint Platform にログインします。 2. ナビゲーションバーまたは Anypoint Platform のメインページで、​**\[Access Management (アクセス管理)\]**​ をクリックします。 3. \[Access Management (アクセス管理)\] ナビゲーションメニューで、​**\[Business Groups (ビジネスグループ)\]**​ をクリックします。 4. アクセスする組織の名前をクリックします。 5. **\[Roles (ロール)\]**​ タブをクリックします。 6. デフォルトのロールの名前をクリックします。 デフォルトのロールには横にラジオボタンが表示されません。 7. 検索ボックスにユーザーの名前を入力します。 8. 結果のドロップダウンリストからユーザーを選択し、検索ボックスの右側にある青のプラス記号をクリックします。 9. ロールの説明を変更するには、次の手順を実行します。 1. 説明をクリックします。 説明が編集可能な項目に変更されます。 2. ロールの新しい説明を入力し、​`Enter`​ を押します。
ロールの名前および説明を編集したら、Enter キーを使用して変更内容を保存します。テキストボックスの外側をクリックすると、保存されずに編集がキャンセルされます。
## [](#custom-roles)カスタムロール 組織のシステム管理者は、API またはアプリケーション、権限、ユーザーを組み合わせることで、カスタムロールを作成できます。ロールが関連付けられている製品に応じて、これらのオプションは異なる場合があります。たとえば、API ロールは削除できず、その権限は変更できませんが、説明を追加してユーザーをそのロールに追加することはできます。
製品の権限は 1 つの環境に固有です。複数の環境があり、ロールにすべて同じ権限を付与したい場合は、これらの権限を複数回 (環境ごとに 1 つずつ) 追加する必要があります。
### [](#カスタムロールを作成する)カスタムロールを作成する 1. 組織のシステム管理者権限を持つアカウントを使用して Anypoint Platform にログインします。 2. ナビゲーションバーまたは Anypoint Platform のメインページで、​**\[Access Management (アクセス管理)\]**​ をクリックします。 3. \[Access Management (アクセス管理)\] ナビゲーションメニューで、​**\[Business Groups (ビジネスグループ)\]**​ をクリックします。 4. アクセスする組織の名前をクリックします。 5. **\[Roles (ロール)\]**​ タブをクリックします。 6. **\[Add role (ロールを追加)\]**​ をクリックします。 7. カスタムロールの ​**\[Name (名前)\]**​ と ​**\[Description (説明)\]**​ を入力します。 カスタムロールがロールのリストに表示されます。 8. 新しいロールの名前をクリックして権限を割り当てます。 カスタムロールを作成したら、そのロールに関するその他の情報にアクセスしたり、その名前や説明を変更したり、権限を追加したり、このロールを特定のユーザーに割り当てたりすることができます。
ロールの名前および説明を編集したら、Enter キーを使用して変更内容を保存します。テキストボックスの外側をクリックすると、保存されずに編集がキャンセルされます。
### [](#カスタムロールにユーザーを追加する)カスタムロールにユーザーを追加する カスタムロールを作成したら、ロールにユーザーを割り当てることができます。 1. Anypoint Platform にログインします。 2. ナビゲーションバーまたは Anypoint Platform のメインページで、​**\[Access Management (アクセス管理)\]**​ をクリックします。 3. \[Access Management (アクセス管理)\] ナビゲーションメニューで、​**\[Business Groups (ビジネスグループ)\]**​ をクリックします。 4. アクセスする組織の名前をクリックします。 5. **\[Roles (ロール)\]**​ タブをクリックします。 6. ユーザーを追加するカスタムロールの名前をクリックします。 7. **\[Users (ユーザー)\]**​ タブをクリックして、検索項目にユーザー名またはメールアドレスを入力します。 8. ユーザーを選択し、​**\[+\]**​ アイコンをクリックします。 ### [](#カスタムロールに権限スコープを割り当てる)カスタムロールに権限スコープを割り当てる カスタムロールを作成したら、ロールに権限を割り当てることができます。ロール内の一分お権限は特定の環境に適用できます。これらの環境がルート組織ではなくビジネスグループに属する場合、その同じビジネスグループでロールを作成する場合のみ選択できます。 1. 組織のシステム管理者権限を持つアカウントを使用して Anypoint Platform にログインします。 2. ナビゲーションバーまたは Anypoint Platform のメインページで、​**\[Access Management (アクセス管理)\]**​ をクリックします。 3. \[Access Management (アクセス管理)\] ナビゲーションメニューで、​**\[Business Groups (ビジネスグループ)\]**​ をクリックします。 4. アクセスする組織の名前をクリックします。 5. **\[Roles (ロール)\]**​ タブをクリックします。 6. 権限スコープを割り当てるカスタムロールの名前をクリックします。 7. **\[Permissions (権限)\]**​ タブをクリックし、次のいずれかのタブを選択します。 - API Manager - Visualizer - Runtime Manager - Design Center - Data Gateway (データゲートウェイ) - MQ - Anypoint Monitoring - Secrets Manger (シークレットマネージャー) - Tokenization (トークナイゼーション) 権限に応じて、これらのオプションの一部が表示されない場合があります。 8. **\[Permissions (権限)\]**​ ドロップダウンメニューをクリックし、カスタムロールに割り当てる権限を選択します。 選択可能な権限のリストは、アプリケーションごとに異なります。 9. **\[+\]**​ アイコンをクリックしてロールに権限を追加します。 ### [](#design-center-へのアクセスを有効にする)Design Center へのアクセスを有効にする カスタムロールを作成したら、カスタムロールに「Design Center Developer (Design Center 開発者)」、「Design Center Viewer (Design Center 閲覧者)」、「Design Center Creator (Design Center 作成者)」権限スコープを付与して、Design Center へのアクセスを有効にします。 1. Anypoint Platform にログインします。 2. ナビゲーションバーまたは Anypoint Platform のメインページで、​**\[Access Management (アクセス管理)\]**​ をクリックします。 3. \[Access Management (アクセス管理)\] ナビゲーションメニューで、​**\[Business Groups (ビジネスグループ)\]**​ をクリックします。 4. アクセスする組織の名前をクリックします。 5. **\[Roles (ロール)\]**​ タブをクリックします。 6. ユーザーを追加するカスタムロールの名前をクリックします。 7. **\[Permissions (権限)\]**​ をクリックし、​**\[Add permissions (権限を追加)\]**​ をクリックします。 8. \[Design Center\] セクションで、ユーザーに付与する各権限の横にあるチェックボックスをオンにします。 9. **\[Next (次へ)\]**​ をクリックして ​**\[Add permissions (権限を追加)\]**​ をクリックし、権限を追加します。 ### [](#カスタムロールに-api-権限を割り当てる)カスタムロールに API 権限を割り当てる #### [](#api-manager-1-x)API Manager 1.x カスタムロールに API を関連付けることができます。これにより、特定の API へのアクセス権をユーザーに付与するロールを作成できます。 1. Anypoint Platform にログインします。 2. ナビゲーションバーまたは Anypoint Platform のメインページで、​**\[Access Management (アクセス管理)\]**​ をクリックします。 3. \[Access Management (アクセス管理)\] ナビゲーションメニューで、​**\[Business Groups (ビジネスグループ)\]**​ をクリックします。 4. アクセスする組織の名前をクリックします。 5. **\[Roles (ロール)\]**​ タブをクリックします。 6. API へのアクセス権を付与するカスタムロールの名前をクリックします。 カスタムロールの横にはラジオボタンが表示されます。 7. **\[Permissions (権限)\]**​ をクリックし、​**\[APIs (API)\]**​ をクリックします。 8. ドロップダウンリストから API を選択します。 9. API バージョンを選択します。 この API のすべてのバージョンへのアクセス権を有効にするには ​**\[All (すべて)\]**​ を選択します。 10. ドロップダウンリストから権限を選択します。次の権限を API に追加できます。 - API バージョンオーナー - ポータル閲覧者 ### [](#api-manager-2-x)API Manager 2.x カスタムロールに環境権限を関連付けることができます。これにより、環境ごとに異なる権限をユーザーに付与するロールを作成できます。 1. Anypoint Platform にログインします。 2. ナビゲーションバーまたは Anypoint Platform のメインページで、​**\[Access Management (アクセス管理)\]**​ をクリックします。 3. \[Access Management (アクセス管理)\] ナビゲーションメニューで、​**\[Business Groups (ビジネスグループ)\]**​ をクリックします。 4. アクセスする組織の名前をクリックします。 5. **\[Roles (ロール)\]**​ タブをクリックします。 6. API へのアクセス権を付与するカスタムロールの名前をクリックします。 カスタムロールの横にはラジオボタンが表示されます。 7. **\[Permissions (権限)\]**​ をクリックし、​**\[API Manager\]**​ をクリックします。 8. ドロップダウンリストから環境を選択します。 9. ドロップダウンリストから権限を選択します。次の権限を環境に追加できます。 - API Manager 環境システム管理者 - API プロキシのデプロイ - API アラートの管理 - API 設定の管理 - コントラクトの管理 - ポリシーの管理 - API アラートの表示 - API 設定の表示 - コントラクトの表示 - ポリシーの表示 ## [](#ロールのマッピング)ロールのマッピング SAML ユーザーが特定のグループに属する場合に、Anypoint Platform が自動的に Anypoint Platform 組織で同等のロールを付与するように Anypoint Platform 組織をセットアップできます。 ## [](#チームへのロールの移行)チームへのロールの移行 チーム機能にオプトインしたら、既存のロールを権限に変換したり、ロールをチームに変換したり、ロールをチームとマージしたりできます。 ロールを変換またはマージすると、そのロールは削除されます。 ### [](#権限へのロールの変換)権限へのロールの変換 ロールを権限に変換すると、ユーザーは以前にロールで付与されていたのと同じ権限を保持します。
ロールを権限に変換する場合、ユーザーは以前にロールで付与されていたのと同じ権限を保持します。さらに、Exchange コントリビューター権限などの権限として適用 (または変換) できるようになったロールは、チーム機能を使用している間のみ管理できます。
1. 組織のシステム管理者権限を持つアカウントを使用して Anypoint Platform にログインします。 2. ナビゲーションバーまたは Anypoint Platform のメインページで、​**\[Access Management (アクセス管理)\]**​ をクリックします。 3. \[Access Management (アクセス管理)\] ナビゲーションメニューで、​**\[Business Groups (ビジネスグループ)\]**​ をクリックします。 4. アクセスする組織の名前をクリックします。 5. **\[Roles (ロール)\]**​ タブをクリックします。 6. 変換するロールの横で、​**\[…​\]**​ メニューをクリックします。 7. **\[Convert to permissions…​ (権限に変換…​)\]**​ をクリックします。 8. **\[Convert to Permissions (権限に変換)\]**​ をクリックします。 以前にロールを持っていたユーザーは、そのロールで付与されたのと同じ権限が付与され、そのロールは削除されます。 ### [](#チームへのロールの変換)チームへのロールの変換 ロールをチームに変換する場合、変換されるロールを以前に持っていたユーザーを含む新しいチームを作成します。作成するチームは、作成元の親チームからも権限を継承します。 1. 組織のシステム管理者権限を持つアカウントを使用して Anypoint Platform にログインします。 2. ナビゲーションバーまたは Anypoint Platform のメインページで、​**\[Access Management (アクセス管理)\]**​ をクリックします。 3. \[Access Management (アクセス管理)\] ナビゲーションメニューで、​**\[Business Groups (ビジネスグループ)\]**​ をクリックします。 4. アクセスする組織の名前をクリックします。 5. **\[Roles (ロール)\]**​ タブをクリックします。 6. 変換するロールの横で、​**\[…​\]**​ メニューをクリックします。 7. **\[Convert to team…​ (チームに変換…​)\]**​ をクリックします。 8. 新しいチームの名前を入力します。 チーム名には、英数字、ハイフン、およびスペースを使用できます。 9. 親チームを選択します。 作成するチームは、選択した親チームからも権限を継承します。 10. **\[Convert to Team (チームに変換)\]**​ をクリックします。 以前にロールを持っていたユーザーは、そのロールで付与されたのと同じ権限を持つ新しいチームに追加され、そのロールは削除されます。以前にロールに関連付けられていたすべての外部名は、新しいチームに関連付けられます。 ### [](#ロールとチームのマージ)ロールとチームのマージ ロールをチームとマージする場合、以前にロールを持っていたユーザーは、そのロールで付与された権限を保持し、参加したチームに含まれる権限も取得します。 1. 組織のシステム管理者権限を持つアカウントを使用して Anypoint Platform にログインします。 2. ナビゲーションバーまたは Anypoint Platform のメインページで、​**\[Access Management (アクセス管理)\]**​ をクリックします。 3. \[Access Management (アクセス管理)\] ナビゲーションメニューで、​**\[Business Groups (ビジネスグループ)\]**​ をクリックします。 4. アクセスする組織の名前をクリックします。 5. **\[Roles (ロール)\]**​ タブをクリックします。 6. 変換するロールの横で、​**\[…​\]**​ メニューをクリックします。 7. **\[Merge with team…​ (チームとマージ…​)\]**​ をクリックします。 8. ロールを持つメンバーをマージするチームを選択します。 9. **\[Merge with Team (チームとマージ)\]**​ をクリックします。 以前にロールを持っていたユーザーは、そのロールの権限と共に選択したチームに追加され、そのロールは削除されます。以前にロールに関連付けられていたすべての外部名は、選択したチームに関連付けられます。 ## [](#ロールの制限を表示する)ロールの制限を表示する 各ロールには、Anypoint Platform によって課された制限にどれだけ近づいているかを示す ​**\[Limits (制限)\]**​ セクションがあります。この機能は、新しいアクセス管理ユーザーインターフェースを使用している場合にのみ使用できます。 制限を表示する手順は、次のとおりです。 1. \[Access Management (アクセス管理)\] ナビゲーションメニューで、​**\[Business Groups (ビジネスグループ)\]**​ をクリックします。 2. アクセスする組織の名前をクリックします。 3. **\[Roles (ロール)\]**​ タブをクリックします。 4. 制限を表示するロールをクリックします。 5. **\[Limits (制限)\]**​ タブをクリックします。 アクセス管理での制限についての詳細は、​[「制限」](https://docs.mulesoft.com/jp/access-management/troubleshooting-anypoint-platform-access#access-management-limits)​を参照してください。 ## [](#関連情報)関連情報 - [チーム](https://docs.mulesoft.com/jp/access-management/teams) - [組織](https://docs.mulesoft.com/jp/access-management/organization) - [権限を管理する](https://docs.mulesoft.com/jp/access-management/managing-permissions) - [Design Center](https://docs.mulesoft.com/design-center/) - [LDAP グループでユーザーをロールにマップする](https://docs.mulesoft.com/jp/access-management/map-users-roles-teams) - [環境](https://docs.mulesoft.com/jp/access-management/environments) # ロールまたはチームへのシングルサインオンユーザーのマップ 統合組織のグループのユーザーをチームまたはロールにマップできます。Anypoint Platform 組織は、PingFederate などの外部 ID プロバイダーを使用する必要があります。 これらをマップした後で、組織のユーザーは同じ組織のログイン情報および組織が SAML、OpenID Connect (OIDC)、LDAP を使用して維持するアクセス権限を使用して Anypoint Platform にログインできます。 これにより、ログイン情報を保護し、権限が必要な情報へのアクセスのために組織の構造を維持できます。 Anypoint Platform で求められる ID プロバイダー (IdP) の情報は、SAML、OpenID Connect、LDAP のどれを使用するかによって異なります。ユーザーのマッピングは、その対象として設定した IdP にのみ適用されます。 ## [](#saml-を使用したシングルサインオン用の複数のグループマッピングの設定)SAML を使用したシングルサインオン用の複数のグループマッピングの設定 組織でシングルサインオンを使用しているが、複数のグループから権限を取得する必要もある場合、個々のアクセス権限を取得する必要があるすべてのグループを含む属性を設定できます。多くの場合、グループの配列を作成できます。 たとえば、IDP が次の形式でグループを提供するとします。 Mule\_Org\_Admin\_XXX Mule\_Exchange\_XXX セキュリティの脆弱性を回避するため、Anypoint Platform では、複数のグループマッピングを含む属性を作成する必要があります。 Mule\_Org\_Admin\_XXX Mule\_Exchange\_XXX 上記の SAML アサーションの例では、​**\[Group Attribute (グループ属性)\]**​ は ​`Groups`​ になります。 **\[Group Attribute (グループ属性)\]**​ 項目の値が、グループ名を含む SAML 属性の名前と一致していることを確認します。 ## [](#openid-connect-oidc-を使用したシングルサインオン用の複数のグループマッピングの設定)OpenID Connect (OIDC) を使用したシングルサインオン用の複数のグループマッピングの設定 外部 ID プロバイダーによって、グループクレームの書式設定方法が異なります。 Anypoint Platform は、グループクレームの ​`UserInfo`​ 応答をチェックします。見つからない場合、​`Token`​ エンドポイント応答をチェックします。 グループクレーム値を使用して、組織のユーザーの各グループのチームまたはロールを作成します。 1. 外部 ID プロバイダーからのグループクレームを含む、​`UserInfo`​ または ​`Token`​ エンドポイントへの応答を取得します。 2. グループクレームへのアクセスを認証する追加の OIDC スコープが IdP で必要な場合、​**\[Group Scope (グループスコープ)\]**​ 項目に入力します。 3. **\[Group Attribute JSONata Expression (グループ属性の JSONata 式)\]**​ の [JSONata](https://jsonata.org)​ クエリで、​`UserInfo`​ または ​`Token`​ エンドポイント応答からグループ名の配列が生成されることを確認します。 ### [](#oidc-グループ式の例)OIDC グループ式の例 次の例は、別の外部 ID プロバイダーからのグループクレームを含む、​`UserInfo`​ または ​`Token`​ エンドポイントからの応答を示しています。 #### [](#okta)Okta 次の例は、一般的な Okta グループクレームを示しています。 ```xml { ... "groups": [ "Everyone", "groupOne" ] } ``` グループクレームの場合、JSONata 式は ​`groups`​ になります。 #### [](#auth0)Auth0 次の例は、一般的な Auth0 グループクレームを示しています。 ```xml { ... "https://anypoint.mulesoft.com/groups": [ "MyGroup", "groupOne" ] } ``` グループクレームの場合、JSONata 式は ​`[https://anypoint.mulesoft.com/groups](https://anypoint.mulesoft.com/groups)`​ になります。 #### [](#salesforce)Salesforce 次の例は、一般的な Salesforce グループクレームを示しています。 ```xml { ... "custom_attributes": { "PermissionSets": "groupOne,groupTwo" } } ``` グループクレームの場合、JSONata 式は ​`$split(custom_attributes.PermissionSets, ',')`​ になります。 ## [](#ldap-を使用したシングルサインオン用の複数のグループマッピングの設定)LDAP を使用したシングルサインオン用の複数のグループマッピングの設定 SAML アサーションを使用して LDAP グループをチームまたはロールにマップするのに必要な情報を取得できます。LDAP を介したユーザー管理は、Anypoint Platform Private Cloud Edition でのみ使用できます。 SAML アサーションの AttributeValue から \[External Group Name (外部グループ名)\] への文字列の例を次に示します。 ```xml cn=jira-users,ou=groups,dc=muleforge,dc=org ``` マッピング: ![外部グループ名のリストの例](/mulesoft/current/ja-jp/access-management/_images/external-identity-cfb1e.png) ## [](#sso-ユーザーをチームにマップする)SSO ユーザーをチームにマップする
IdP 設定を削除すると、関連付けられたチームマッピングも削除されます。
グループ名を含めることで、SSO ユーザーをチームにマップできます。 1 つのチームにマップする複数のグループ名がユーザーにある場合、最も多くの権限を付与するグループ名が使用されます。たとえば、Acme チームに ​`engineering-all`​ のメンバーグループと ​`engineering-managers`​ のメンテナーグループがある場合、​`engineering-all`​ と ​`engineering-managers`​ の両方のグループ名があるユーザーがメンテナーになります。ユーザーがチームのメンテナーとして明示的に指定されており、メンバーの状況を示すグループ名がある場合、そのグループ名は無視され、ユーザーはメンテナーのままになります。 1. 組織のシステム管理者権限を持つアカウントを使用して Anypoint Platform にログインします。 2. ナビゲーションバーまたは Anypoint Platform のメインページで、​**\[Access Management (アクセス管理)\]**​ をクリックします。 3. \[Access Management (アクセス管理)\] ナビゲーションメニューで、​**\[Teams (チーム)\]**​ をクリックします。 4. **\[Add Team (チームを追加)\]**​ をクリックします。 5. チーム名と親を指定します。 6. **\[Add Team (チームを追加)\]**​ をクリックします。 新しいチームが作成されます。 7. **\[Teams (チーム)\]**​ セクションで、新しいチームの名前をクリックします。 8. **\[Settings (設定)\]**​ タブをクリックします。 9. マッピングを関連付けるべき ID プロバイダーを選択します。 10. **\[Group Name (グループ名)\]**​ 項目で、マップするグループ名を入力します。 - SAML: SAML グループの配列からのグループ属性 - OIDC: `UserInfo`​ または ​`Token`​ エンドポイント応答からのグループクレーム値 - LDAP: SAML アサーションの AttributeValue からの文字列 11. グループ名のメンバーシップ種別を選択します。 **\[Maintainer (メンテナー)\]**​ を選択した場合、そのグループ名があるユーザーはこのチームのチームメンテナーになります。​**\[Member (メンバー)\]**​ を選択した場合、このグループ名があるユーザーはチームメンバーになります。 12. **\[Add (追加)\]**​ をクリックします。 13. **\[Save Changes (変更を保存)\]**​ をクリックします。 指定したグループに関連付けられている SSO ユーザーがチームに割り当てられます。 ## [](#sso-ユーザーをロールにマップする)SSO ユーザーをロールにマップする 組織の SSO ユーザーのグループにマップするロールを作成できます。 1. 組織のシステム管理者権限を持つアカウントを使用して Anypoint Platform にログインします。 2. ナビゲーションバーまたは Anypoint Platform のメインページで、​**\[Access Management (アクセス管理)\]**​ をクリックします。 3. \[Access Management (アクセス管理)\] ナビゲーションメニューで、​**\[Business Groups (ビジネスグループ)\]**​ をクリックします。 4. アクセスする組織の名前をクリックします。 5. **\[Roles (ロール)\]**​ タブをクリックします。 6. **\[Add Role (ロールを追加)\]**​ をクリックします。 7. ロール名と説明を指定します。 8. **\[Add Role (ロールを追加)\]**​ をクリックします。 9. **\[Roles (ロール)\]**​ セクションで、新しいロールの名前をクリックします。 10. **\[Set external group mapping (外部グループマッピングを設定)\]**​ をクリックします。 11. マッピングを関連付けるべき ID プロバイダーを選択します。 12. **\[External group names (外部グループ名)\]**​ で、次のいずれかを入力します。 - SAML: SAML グループの配列からのグループ属性 - OIDC: `UserInfo`​ または ​`Token`​ エンドポイント応答からのグループクレーム値 - LDAP: SAML アサーションの AttributeValue からの文字列 13. **\[Update (更新)\]**​ をクリックします。 指定したグループに関連付けられている SSO ユーザーがロールに割り当てられます。 ## [](#関連情報)関連情報 - [チーム](https://docs.mulesoft.com/jp/access-management/teams) - [ロール](https://docs.mulesoft.com/jp/access-management/roles) # 信頼済みドメインの許可リスト登録 外部リソースに対して行うすべての HTTP 要求は、API Console プロキシを通過します。セキュリティ上の理由から、ドメインを信頼済みドメインとして Anypoint Platform に登録する必要があります。 新しいドメインを追加する手順は、次のとおりです。 1. 組織のシステム管理者権限を持つアカウントを使用して Anypoint Platform にログインします。 2. ナビゲーションバーまたは Anypoint Platform のメインページで、​**\[Access Management (アクセス管理)\]**​ をクリックします。 3. **\[Trusted domains (信頼済みドメイン)\]**​ をクリックします。 4. **\[Add domain (ドメインを追加)\]**​ をクリックします。 ドメインは、既存の信頼済みドメインと一致しない必要があり、MuleSoft または Anypoint Platform のドメインまたはサブドメインでない必要があります。 5. 表示されるダイアログボックスで、ドメイン名を入力し、​**\[Add domain (ドメインを追加)\]**​ をクリックします。 _結果_​: ドメインが信頼済みドメインのリストに追加されました。信頼済みドメインページにリダイレクトされ、ドメインを編集または削除できます。親組織にドメインを登録した場合、すべてのビジネスグループでも許可リストに登録されます。 ## [](#ドメインの自動登録)ドメインの自動登録 API 仕様を Exchange にパブリッシュするか、プロキシ経由で要求を送信すると、実装のベース URI が信頼済みドメインのリストに自動的に追加されます。
Exchange の公開ポータルから、またはモッキングサービスの共有可能なリンクからの認証されていない要求は、自動的に登録されます。
# 外部 ID のテスト方法 組織の外部 ID プロバイダーを設定したら、インテグレーションをテストできます。以降の手順に従って、組織のログイン URL (例: `https:/anypoint.mulesoft.com/accounts/login/{organization-domain-name}`​) を取得します。 1. 組織のシステム管理者権限を持つアカウントを使用して Anypoint Platform にログインします。 2. ナビゲーションバーまたは Anypoint Platform のメインページで、​**\[Access Management (アクセス管理)\]**​ をクリックします。 3. \[Access Management (アクセス管理)\] ナビゲーションメニューで、​**\[Business Groups (ビジネスグループ)\]**​ をクリックします。 4. ルート組織の名前をクリックします。 5. **\[Settings (設定)\]**​ タブをクリックします。 6. 組織名を \[Domain Name (ドメイン名)\] 項目からコピーします。 7. Anypoint Platform で組織のシステム管理者アカウントからログアウトします。 8. 組織のログイン URL に移動します。 ID プロバイダーにリダイレクトされます。 9. ID プロバイダーによって管理されるテストユーザーを使用して ID プロバイダーにログインします。 認証後、認証済みユーザーとして再び Anypoint Platform にリダイレクトされます。 # 外部組織アクセス 外部アクセス機能により、別の組織が Anypoint Platform でコラボレーションできます。たとえば、組織は Anypoint Exchange の API 仕様、コネクタ、その他のアセットを公開せずに相互に共有できます。 管理者は、アクセス管理で信頼済み組織のリストを維持することで、ユーザーがコラボレーションできる組織を制御します。このリストへのエントリの追加は、他の組織とそのユーザーを信頼し、自分の組織のユーザーが他の組織に権限を付与したり、他の組織から権限を付与されたりできることを意味します。 権限を付与するには、両方の組織が同じコントロールプレーンに存在していて、組織間に信頼が確立されている必要があります。組織 A のユーザーが組織 B のユーザーと共有するには、組織 A で組織 B が信頼済み組織としてリストに追加され、組織 B でも同様に組織 A がリストに追加されている必要があります。 組織 A か組織 B のいずれかが他方を削除すると、すべての共有権限が無効になります。 組織間で共有される権限は、組織レベルで付与されます。たとえば、組織 A が組織 B にアセットの参照権限を付与すると、組織 B のすべてのユーザーにその権限が付与されます。 組織 A は、組織 B のユーザー、サブ組織、内部レイアウトに関する情報を受け取りません。 ## [](#新しい信頼済み組織の追加)新しい信頼済み組織の追加 外部アクセス設定に新しい組織を追加すると、信頼関係の半分が確立されます。他の組織の設定に自分の組織が追加された後に、両方の組織が相互に権限を共有できるようになります。 設定に組織を追加するには、その Anypoint ​[ドメイン](https://docs.mulesoft.com/jp/access-management/organization#manage-root-organization-settings)​を把握している必要があります。ドメインは、Anypoint Platform 組織を一意に識別する、人間が読み取り可能な名前です。他の組織の管理者にドメインは何かを尋ね、引き換えにその組織がリストに自分のドメインを追加できるように、自分のドメインをその組織と共有する準備をします。 \[Access Management (アクセス管理)\] の ​**\[External Access (外部アクセス)\]**​ ページで、自分の組織の一意のドメイン名を参照できます。 外部組織を信頼済み組織のリストに追加する手順は、次のとおりです。 1. **\[Access Management (アクセス管理)\]**​ ホームページから、​**\[External Access (外部アクセス)\]**​ タブをクリックします。 2. **\[External Access (外部アクセス)\]**​ ページで、​**\[Add organization (組織を追加)\]**​ をクリックします。 3. 権限を共有する組織の一意のドメイン名を入力します。 4. **\[Add (追加)\]**​ をクリックします。 ## [](#信頼済み組織の削除)信頼済み組織の削除 外部アクセス設定から信頼済み組織を削除すると、両方の組織は共有されている既存のすべての権限を失います。さらに、信頼関係が再確立されるまで、新しい権限を付与することはできません。 信頼済み組織のリストから信頼済み組織を削除する手順は、次のとおりです。 1. **\[Access Management (アクセス管理)\]**​ ホームページから、​**\[External Access (外部アクセス)\]**​ タブをクリックします。 2. **\[External Access (外部アクセス)\]**​ ページで、削除する組織の名前の横にある ​**\[…\]**​ を選択します。 3. **\[Remove organization (組織を削除)\]**​ をクリックします。 4. **\[Yes, remove (はい、削除します)\]**​ をクリックします。 # 多要素認証について 多要素認証 (MFA) を使用すると、Anypoint Platform ユーザーの検証が強化されます。 MuleSoft は、ユーザーが Anypoint ログイン情報を使用して直接、またはシングルサインオン (SSO) 経由で Anypoint Platform にアクセスするときに MFA を要求します。 MFA は直接ログインに対して有効になっており、組織レベルで無効にすることはできません。ただし、MFA を必要としないサービスアカウント種別がいくつかあります。組織のシステム管理者は、既存のインテグレーションを中断することなく継続できるように、これらのアカウントの MFA を放棄する必要があります。 SSO ユーザーの場合、ID プロバイダーを介して MFA をセットアップします。 ユーザーが Anypoint ログイン情報を使用してログインする場合、パスワードを入力し、次のいずれかの検証方法で ID を検証する必要があります。 - サードパーティ TOTP 認証アプリケーション - 組み込み認証 - セキュリティキー - Salesforce Authenticator ## [](#salesforce-および-mulesoft-製品での多要素認証の要件)Salesforce および MuleSoft 製品での多要素認証の要件 - 2022 年 2 月 1 日以降、すべての Anypoint Platform ユーザーの MFA を有効にする必要があります。この契約上の要件についての詳細は、 [「Salesforce 多要素認証に関する FAQ」](https://help.salesforce.com/apex/HTViewSolution?urlname=Salesforce-Multi-Factor-Authentication-FAQ)​を参照してください。 - 2022 年 10 月 29 日の時点で、MFA が設定されていないすべての非 SSO アカウントは、MFA 検証方法に登録し、Anypoint Platform にログインするたびにその方法を使用するように求められます。 ## [](#多要素認証の検証方法)多要素認証の検証方法 次の検証方法のうち少なくとも 1 つを設定して、多要素認証要件を満たすことができます。 サードパーティ TOTP 認証アプリケーション 認証アプリケーションを登録して、Anypoint Platform にログインするときに入力する確認コードを作成します。 組み込み認証 Touch ID や Windows Hello などの物理認証デバイスを登録して、Anypoint Platform にログインするときに ID を検証します。 セキュリティキー Yubico YubiKey や Google Titan Security Key などのセキュリティキーをアカウントに登録します。Anypoint Platform にログインするときに、セキュリティキーをコンピューターに接続して ID を検証します。 Salesforce Authenticator Salesforce Authenticator モバイルアプリケーションを登録して、Anypoint Platform にログインするときに ID を検証するプッシュ通知を送信します。 ## [](#exempt-mfa-users)多要素認証から除外アカウントを除外する 次の種別のサービスアカウントは、MFA を使用する要件から除外されます。 - Selenium、Cucumber、Appium などのテスト自動化ツール - Automation Anywhere などの Robotic Process Automation (RPA) システム
MuleSoft では、Anypoint Platform へのプログラムでのコールを実行するサービスアカウントの代わりに、​内部接続アプリケーション​を使用する必要があります。接続アプリケーションは、サービスアカウントよりも優れたセキュリティと制御を提供します。接続アプリケーションへの切り替えで問題が発生した場合は、Mulesoft にお問い合わせください。その間、この状況に陥った場合は、接続アプリケーションに移行するまで既存のサービスアカウントの MFA を一時的に放棄することができます。
サービスの中断を防ぐために、組織内の有効な MFA 除外アカウントに対して MFA を放棄します。2023 年 8 月 1 日以降、ユーザーアカウントの MFA の放棄は許可されなくなります。 1. 組織のシステム管理者権限を持つアカウントを使用して Anypoint Platform にログインします。 2. ナビゲーションバーまたは Anypoint Platform のメインページで、​**\[Access Management (アクセス管理)\]**​ をクリックします。 3. **\[Business Groups (ビジネスグループ)\]**​ メニューで、ルート組織を選択します。 4. \[Access Management (アクセス管理)\] ナビゲーションメニューで、​**\[Identity Providers (ID プロバイダー)\]**​ をクリックします。 5. Anypoint ID プロバイダーをクリックします。 6. **\[Exempt Accounts (除外アカウント)\]**​ セクションに、MFA から除外できるアカウントを追加します。 シングルサインオン (SSO) を使用しないアカウントのみがリストに表示されます。 7. **\[Save (保存)\]**​ をクリックします。 **\[Exempt Accounts (除外アカウント)\]**​ セクションに除外アカウントが表示されます。 後でアカウント名の横にある ​**\[X\]**​ をクリックして ​**\[Exempt Accounts (除外アカウント)\]**​ リストからユーザーアカウントを削除できます。 ## [](#アカウントの多要素認証を管理する)アカウントの多要素認証を管理する ログインに使用する検証方法を変更できます。 MFA を使用するには、少なくとも 1 つの方法を登録する必要があります。 アカウントの検証方法を変更する手順は、次のとおりです。 1. Anypoint Platform にログインします。 2. Anypoint Platform ナビゲーションバーで、Anypoint Platform アカウントに関連付けられたイニシャルを含む丸のアイコンをクリックします。 3. ドロップダウンで、​**\[Profile (プロファイル)\]**​ をクリックします。 4. **\[Configure multi-factor authentication (MFA) (多要素認証 (MFA) を設定)\]**​ をクリックします。 **\[Manage Your Verification Methods (検証方法を管理)\]**​ インターフェースが表示されます。 5. 追加の検証方法を登録する場合、次の手順を実行します。 1. 設定する検証方法の横で、​**\[Add (追加)\]**​ をクリックします。 2. 目的の検証方法の設定手順を実行します。 3. **\[Done (完了)\]**​ をクリックします。 6. 既存の検証方法の名前を変更する場合、次の手順を実行します。 1. 名前を変更する検証方法の横にある鉛筆アイコンをクリックします。 2. 検証方法の新しい名前を入力します。 3. チェックマークをクリックします。 4. **\[Done (完了)\]**​ をクリックします。 7. 検証方法を削除する場合、次の手順を実行します。 1. 削除する検証方法の横で、ビンアイコンをクリックします。 2. **\[Yes (はい)\]**​ をクリックします。 3. **\[Done (完了)\]**​ をクリックします。
すべての検証方法を削除した場合、保存する前に 1 つ以上の検証方法を設定する必要があります。
8. **\[Save (保存)\]**​ をクリックします。 ## [](#個々のユーザーの多要素認証をリセットする)個々のユーザーの多要素認証をリセットする デバイスが侵害された場合や紛失した場合、個々のユーザーの多要素認証をリセットできます。組織のシステム管理者権限を持つメンバーが組織に 1 人しかおらず、そのメンバーが検証方法へのアクセスを失った場合は、カスタマーサポートにお問い合わせください。 個々のユーザーの多要素認証をリセットする手順は、次のとおりです。 1. 組織のシステム管理者権限を持つアカウントを使用して Anypoint Platform にログインします。 2. ナビゲーションバーまたは Anypoint Platform のメインページで、​**\[Access Management (アクセス管理)\]**​ をクリックします。 3. **\[Business Groups (ビジネスグループ)\]**​ メニューで、ルート組織を選択します。 4. \[Access Management (アクセス管理)\] ナビゲーションメニューで、​**\[Users (ユーザー)\]**​ をクリックします。 5. 多要素認証設定をリセットするユーザーをクリックします。 6. **\[Reset multi-factor authentication (多要素認証をリセット)\]**​ をクリックします。 7. **\[Confirm reset MFA (MFA のリセットを確認)\]**​ をクリックします。 次回ユーザーが Anypoint Platform にログインするときに、新しい検証方法を設定するように求められます。 # 接続アプリケーション 接続アプリケーション機能は、OAuth 2.0 と OpenID Connect を介した [API](https://anypoint.mulesoft.com/exchange/portals/anypoint-platform)​ を使用して、外部アプリケーションを Anypoint Platform と統合できるフレームワークを提供します。接続アプリケーションは、機密情報を共有したりサードパーティにアプリケーションの完全な制御権を付与したりすることなく、ユーザーが自分のアクセスを委任するのに役立ちます。接続アプリケーションによって実行されたアクションは監査され、ユーザーはいつでもアクセスを取り消すことができます。接続アプリケーション機能を使用すると、セキュアな認証プロトコルを使用してユーザーデータへのアプリケーションのアクセスを制御できます。 ## [](#認証および承認)認証および承認 Anypoint Platform は、アプリケーションが Anypoint Platform 内のデータにアクセスすることを認証する OAuth 2.0 と OpenID Connect をサポートしています。 OAuth (Open Authorization) は、簡潔で標準化された方法によるアプリケーションからのセキュアな API 認証を提供するオープンプロトコルです。 OAuth では、ユーザーのログイン情報をアプリケーションに公開することなく、リソースへのアクセスを許可できます。 OpenID Connect はエンドユーザーを識別し、OAuth 2.0 接続アプリケーションに渡す情報を取得します。 詳細は、 [「OAuth 2.0」](https://oauth.net/2/)​または [「OpenID Connect」](https://openid.net/connect/)​を参照してください。 ## [](#アクセスおよび認証)アクセスおよび認証 接続アプリケーション機能を使用して、エンドユーザー用のシームレスな認証環境を作成できます。接続アプリケーションは、次のユーザー種別のユースケースに対応します。 - [組織のシステム管理者](https://docs.mulesoft.com/jp/access-management/connected-apps-org-admin)​: アプリケーションを許可リストに登録し、アクセスを取り消し、組織全体でこの機能を無効にすることで、組織のデータの使用方法を制御できます。 - [接続アプリケーションを開発している組織のシステム管理者](https://docs.mulesoft.com/jp/access-management/connected-apps-developers#developers)​: 組織内で新しいアプリケーションを登録 (および既存のアプリケーションを管理) できます。 - [エンドユーザー](https://docs.mulesoft.com/jp/access-management/connected-apps-end-users#end-users)​: Anypoint Exchange のアセットの表示など、アプリケーションが特定の情報にアクセスすることを認証できます。 異なる許可種別をサポートする接続アプリケーションには 2 つの種別があります。
種別 説明 サポートされる許可種別 ユースケースの例

ユーザーの代理となるアプリケーション

ユーザーの代わりにアクションを実行することをユーザーが認証します。

  • 認証コード

  • パスワード

  • JWT ベアラー

Anypoint Platform 上での追加のサードパーティアプリケーションの製品化。

独自にアクションを実行するアプリケーション

ユーザーになりすますことなく、独自にアクションを実行します。アプリケーションは、それが作成された組織でのみ使用できます。

クライアントログイン情報

ユーザーの介入なしで CI/CD パイプラインを構築したりアクセスしたりする自動化シナリオ。
# 権限を管理する このセクションでは、Anypoint Platform から管理するさまざまな製品および API の間で権限がどのように機能するかについて説明します。 権限を管理するには、組織内の組織のシステム管理者権限、組織のビジネスグループのいずれかに対する組織のシステム管理者権限、または API バージョンオーナー権限を持ち、API バージョン、ビジネスグループ、または組織全体のユーザー権限を管理する必要があります。 ## [](#anypoint-platform-での権限のしくみ)Anypoint Platform での権限のしくみ Anypoint Platform では、ユーザーは組織に属し、権限のセットを持ちます。これらの権限は、​[チーム](https://docs.mulesoft.com/jp/access-management/teams)​または​[ロール](https://docs.mulesoft.com/jp/access-management/roles)​ (非推奨) を使用して、または​[ユーザーに個別に権限を付与](https://docs.mulesoft.com/jp/access-management/users#grant-user-permissions)​することで割り当てられます。 チーム機能を使用すると、ユーザーのグループを作成し、そのグループのメンバーに複数のビジネスグループ間で特定の権限を割り当てることができます。組織のシステム管理者は、チームを作成および変更し、組織の構造に従ってカスケード権限を割り当てることができます。 各ロール (非推奨) には、そのロールを持つユーザーがスコープに含まれる特定のリソースに対して実行できる内容を定義した権限のリストが含まれます。 一部のロールにはデフォルトの権限のセットが含まれています。組織のシステム管理者は、カスタマイズしたロールを作成し、それに応じて権限を割り当てることができます。 製品に応じて、ロールまたはチームを必要としない権限を特定のユーザーに直接付与したりできます。 ### [](#権限の理解)権限の理解 Anypoint Platform にある製品に応じて、すべての新しい組織、チーム、およびビジネスグループを最初に作成したときにデフォルトの​_権限_​のセットが割り当てられます。 1. **製品の権限**​ - 各 Anypoint Platform 製品 (Runtime Manager、データゲートウェイなど) のデフォルトの権限は​_環境固有_​であり、組織全体ではなく特定の環境内で何らかの操作を実行する権限が付与されます。 これらのデフォルトの製品の権限は、チーム、カスタムロール、または CloudHub ロールに割り当てることができます。 2. **API の権限**​ API の権限は、使用している API Manager バージョンに応じて異なります。 1. **API Manager 1.x の権限**​ - Anypoint Platform から管理する各 API のデフォルトの権限は、API バージョンに固有であるか、すべてのバージョンに拡張されます。 特定の API バージョンに基づいてユーザーアクセスを管理できますが、こうした権限を組織全体に拡張することはできません。ユーザー権限をすべての API に付与するには、API バージョンオーナーおよびポータルオーナー権限を持つチームにそれらを追加します。 - API バージョンオーナーおよびポータル閲覧者権限を使用して個別の API バージョンまたは API Portal を編集または表示するためにユーザー権限を割り当てることができます。

この 2 つの API 権限により、API バージョンオーナーおよびポータル閲覧者ロールと同じ権限が付与されますが、それらは自分で定義した API およびバージョンに制限されます。
これらの特定のスコープについての詳細は、​「ロール」​を参照してください。
2. **API Manager 2.x の権限**​ - API Manager から管理する各 API のデフォルトの権限は、特定の環境および特定のリソース (ポリシー、アラートなど) にアクセスするための権限を付与します。環境への権限がユーザーに付与されると、直ちにその環境にユーザーがアクセスできるようになります。たとえば、アラートを作成および編集する権限をユーザーに付与する場合は、アラートの管理権限をユーザーに割り当てます。 - ユーザーが Exchange で API を作成するには、Exchange 管理者権限または Exchange コントリビューター権限が必要です。 _API バージョン_​と​_製品デプロイ環境_​は組織 (および場合によってはビジネスグループ) でグループ化されているため、これらにアクセスするには、必要な権限を所有し、その該当する組織またはビジネスグループ (こうしたリソースが存在する場合) に属すアカウントが必要です。 ルート組織レベルで割り当てられているロールはルート組織レベルのリソースのみを参照でき、ビジネスグループに属するロールはそのビジネスグループ内のリソースのみを参照できます。

ビジネスグループのいずれかのロールを所有するユーザーには、そのビジネスグループのメンバーシップが暗黙的に付与されます。
ユーザーが組織内の 1 つのビジネスグループに属した場合、別のビジネスグループのその同じユーザーにエンタイトルメントを割り当てるには、そのもう 1 つのビジネスグループ内でロールを割り当てるしかありません。
# 環境 Anypoint Platform を使用すれば、API およびアプリケーションの個別のデプロイ環境を作成して管理できます。 これらの環境は互いに独立しており、本番環境と同じ条件でアプリケーションをテストできます。 ## [](#環境の種別)環境の種別 Anypoint Platform は次の種別の環境をサポートしています。 - **Production environment (本番環境)**​: アプリケーションおよび API を一般にデプロイできる本番環境を提供します。 - **Sandbox environment (Sandbox 環境)**​: 開発およびテストに便利な環境を提供します。デフォルトで、Anypoint Platform アカウントは 1 つの Sandbox 環境を含めて作成され、1 つの vCore が割り当てられます。 Sandbox 環境により、本番環境に影響を与えずにアプリケーションを安全にテストできます。たとえば、QA チームのために Sandbox 環境を作成し、新しいアプリケーションの新規リリースを本番環境でデプロイする前にテストすることができます。本番環境へのアクセスを許可せずに、ユーザーを Sandbox 環境に追加できます。これは、本番環境を保護し、開発者が意図せず本番環境のアプリケーションを変更するリスクをなくすのに役立ちます。アプリケーションをユーザーに公開しても安全であると確認できたら、簡単にアプリケーションを Sandbox 環境から本番環境に昇格できます。 - **Design environment (デザイン環境)**​: アプリケーションをデザイン時にテストして実行できます。この環境は、Design Center アプリケーションで使用されます。デフォルトで、新しい Anypoint Platform アカウントには 1 つのデザイン環境が含まれ、1 つの vCore が割り当てられます。Design Center からデプロイされたアプリケーションのみがこの環境を対象にできます。Runtime Manager を使用して、デザイン環境に登録されたランタイムにアプリケーションをデプロイすることはできません。 ## [](#環境へのユーザーの追加)環境へのユーザーの追加 環境へのアクセス権を直接ユーザーに付与することはできません。環境へのアクセス権をユーザーに付与するには、ロール権限を使用します。詳細は、​[ロールへの権限の割り当て](https://docs.mulesoft.com/jp/access-management/roles#assigning-permissions-to-roles)​について参照してください。 ## [](#新しい環境の作成方法)新しい環境の作成方法 新しい環境を作成したり、既存の環境を管理したりするには、次の手順を実行します。 1. 組織のシステム管理者権限を持つアカウントを使用して Anypoint Platform にログインします。 2. ナビゲーションバーまたは Anypoint Platform のメインページで、​**\[Access Management (アクセス管理)\]**​ をクリックします。 3. \[Access Management (アクセス管理)\] ナビゲーションメニューで、​**\[Business Groups (ビジネスグループ)\]**​ をクリックします。 4. ルート組織の名前をクリックします。 5. **\[Environments (環境)\]**​ タブをクリックします。 6. **\[Add Environment (環境を追加)\]**​ をクリックします。 7. 環境の名前を入力します。 8. 環境種別を選択します。
環境を作成した後に環境種別を変更することはできません。
9. 環境用の​[クライアントプロバイダー](https://docs.mulesoft.com/jp/access-management/managing-api-clients)​を最低 1 つ選択します。 10. 複数のクライアントプロバイダーを追加した場合、必要であれば、​**\[Set as default (デフォルトとして設定)\]**​ をクリックしてデフォルトのクライアントプロバイダーを選択します。デフォルトのクライアントプロバイダーを選択しないと、最初に追加したクライアントプロバイダーがデフォルトになります。 11. **\[作成\]**​ をクリックします。 ![「Access Management (アクセス管理)」 の 「Environments (環境)」 インターフェース](/mulesoft/current/ja-jp/access-management/_images/environments-85dc3.png) - CloudHub のサブスクリプションに応じて、作成できる環境の数および種別に制限がある場合があります。 - 既存の環境の名前を使用して新しい環境を作成する場合、新しい環境の名前に ​`-`​ が追加されます。 ``​ は増分数です。 ## [](#既存の環境を変更または削除する方法)既存の環境を変更または削除する方法 1. 組織のシステム管理者権限を持つアカウントを使用して Anypoint Platform にログインします。 2. ナビゲーションバーまたは Anypoint Platform のメインページで、​**\[Access Management (アクセス管理)\]**​ をクリックします。 3. \[Access Management (アクセス管理)\] ナビゲーションメニューで、​**\[Business Groups (ビジネスグループ)\]**​ をクリックします。 4. ルート組織の名前をクリックします。 5. **\[Environments (環境)\]**​ タブをクリックします。 6. 環境の名前をクリックします。次のいずれかのアクションを実行できます。 - 環境を修正します。 - 環境の新しい名前を入力します。 - 最低 1 つのクライアントプロバイダーを追加します。 - 環境で複数のクライアントプロバイダーを使用している場合は、デフォルトのクライアントプロバイダーを選択します。 **\[Update (更新)\]**​ をクリックして変更内容を保存します。 - **\[Delete (削除)\]**​ をクリックして環境を削除する。 ## [](#環境のクライアント-id-およびクライアントシークレットを表示する方法)環境のクライアント ID およびクライアントシークレットを表示する方法 各環境には、認証に使用されるクライアント ID およびクライアントシークレットがあります。これらの値を使用して顧客がホストする Mule Runtime または従来の API ゲートウェイを設定し、プロキシまたは API を CloudHub にデプロイできるようにする必要があります。 環境のクライアント ID およびシークレットを表示するには、次の手順を実行します。 1. 組織のシステム管理者権限を持つアカウントを使用して Anypoint Platform にログインします。 2. ナビゲーションバーまたは Anypoint Platform のメインページで、​**\[Access Management (アクセス管理)\]**​ をクリックします。 3. \[Access Management (アクセス管理)\] ナビゲーションメニューで、​**\[Business Groups (ビジネスグループ)\]**​ をクリックします。 4. ルート組織の名前をクリックします。 5. **\[Environments (環境)\]**​ タブをクリックします。 6. クライアント ID/シークレットを表示する環境の名前をクリックします。

環境のクライアントシークレットを変更するには、 このヘルプ記事​を参照するか、カスタマーサポート担当者にお問い合わせください。
## [](#add-an-idp-to-an-existing-environment)クライアントプロバイダーを既存の環境に関連付ける 組織のシステム管理者が複数の​[クライアントプロバイダー](https://docs.mulesoft.com/jp/access-management/managing-api-clients)​を用意している場合は、それらを既存の環境に追加できます。環境を作成したときにクライアントプロバイダーを関連付けていないと、Anypoint Platform クライアントプロバイダーがデフォルトのクライアントプロバイダーとなります。 クライアントプロバイダーを既存の環境に関連付ける手順は次のとおりです。 1. 組織のシステム管理者権限を持つアカウントを使用して Anypoint Platform にログインします。 2. ナビゲーションバーまたは Anypoint Platform のメインページで、​**\[Access Management (アクセス管理)\]**​ をクリックします。 3. \[Access Management (アクセス管理)\] ナビゲーションメニューで、​**\[Business Groups (ビジネスグループ)\]**​ をクリックします。 4. ルート組織の名前をクリックします。 5. **\[Environments (環境)\]**​ タブをクリックします。 6. 環境の名前をクリックします。 7. **\[Client Provider (クライアントプロバイダー)\]**​ 項目で最低 1 つのクライアントプロバイダーを選択します。 8. 複数のクライアントプロバイダーを追加した場合は、​**\[Set as default (デフォルトとして設定)\]**​ をクリックしてデフォルトのクライアントプロバイダーを選択します。 9. **\[Update (更新)\]**​ をクリックします。 次は API 用のクライアントプロバイダーを設定します。 ## [](#remove-an-idp-from-an-environment)環境からクライアントプロバイダーを削除する いつでも環境からクライアントプロバイダーを削除できます。ただし、デフォルトのクライアントプロバイダーを削除する前に、別のクライアントプロバイダーをデフォルトとして指定します。 環境からすべての外部クライアントプロバイダーを環境から削除すると、組み込み Anypoint Platform クライアントプロバイダーがその環境のデフォルトクライアントプロバイダーになります。 1. 組織のシステム管理者権限を持つアカウントを使用して Anypoint Platform にログインします。 2. ナビゲーションバーまたは Anypoint Platform のメインページで、​**\[Access Management (アクセス管理)\]**​ をクリックします。 3. \[Access Management (アクセス管理)\] ナビゲーションメニューで、​**\[Business Groups (ビジネスグループ)\]**​ をクリックします。 4. ルート組織の名前をクリックします。 5. **\[Environments (環境)\]**​ タブをクリックします。 6. 環境の名前をクリックします。 7. デフォルトのクライアントプロバイダーを削除する場合、別のクライアントプロバイダーの横にある ​**\[Set as default (デフォルトとして設定)\]**​ をクリックします。 8. 削除するクライアントプロバイダーの名前の横にある ​**\[Remove (削除)\]**​ ボタンをクリックします。 9. **\[Update (更新)\]**​ をクリックします。 クライアントプロバイダーが削除されます。削除したクライアントプロバイダーに関連付けられていたすべてのアセットや API は、新しいクライアントプロバイダーに関連付けられるまで、元のクライアントプロバイダーを使用し続けます。 # 監査ログ Anypoint Platform 組織内でユーザーが行った変更は、監査ログサービスを通じてログに記録されます。監査ログクエリ API または監査ログ UI を通じてデータログにアクセスできます。 監査ログサービスにより、Anypoint Platform 内で実行されたアクションのクエリ可能な履歴が得られます。システム内のオブジェクトを操作したすべてのユーザーを追跡し、こうしたアクションにタイムスタンプを付けます。また、アクションを実行したユーザーのセットやアクションが実行されたオブジェクトのセットのほか、ログエントリのクエリを可能にするその他のエンドポイントを照会するためのメカニズムも提供されます。 監査ログのデフォルトの保持期間は 1 年間です。組織が 2023 年 7 月 10 日より前に作成され、保持期間を手動で変更しなかった場合、保持期間は 6 年間です。「Organization Administrator (組織のシステム管理者)」権限と「Audit Log Config Manager (監査ログ設定マネージャー)」権限を持つユーザーは、保持期間をカスタマイズできます。詳細は、「[監査ログの保持期間](https://docs.mulesoft.com/jp/access-management/audit-log-retention)」を参照してください。現在の保持期間よりも長くログファイルを保持するには、定期的にログをダウンロードしてください。 ## [](#監査ログにアクセスする)監査ログにアクセスする Anypoint Platform で、「Organization Administrator (組織のシステム管理者)」権限または「Audit Log Viewer (監査ログ閲覧者)」権限を持つユーザーは、UI とクエリ API の両方にアクセスできます。監査ログサービスはビジネスグループに対応しています。つまり、表示されるのは自分のビジネスグループに関連するログのみです。 監査ログ UI は \[Access Management (アクセス管理)\] に組み込まれています。 1. Anypoint Platform にログインします。 2. ナビゲーションバーまたは Anypoint Platform のメインページで、​**\[Access Management (アクセス管理)\]**​ をクリックします。 3. \[Access Management (アクセス管理)\] ナビゲーションメニューで、​**\[Audit Logs (監査ログ)\]**​ をクリックします。 **\[Audit Logs (監査ログ)\]**​ ページにログが表示されます。次の作業を行うことができます。 - 監査ログをダウンロードする。 - 監査ログを表示する期間を設定する。 - 商品、種別、およびアクションで監査ログを絞り込む。 - 環境、オブジェクト、およびユーザーで監査ログを検索する。 ## [](#監査ログのコンテンツ)監査ログのコンテンツ ログで表示されるアクティビティは、一定期間に実行されたアクション、1 つ以上のオブジェクトを伴うアクション、アクション種別 (​`delete`​ や ​`approve`​ など) がオブジェクトに関連付けられたアクションであり、場合によっては変更された項目や環境情報などのアプリケーション固有の情報を保存できるペイロードが含まれることもあります。 各ログエントリにはアクティビティに関する情報を提供するプロパティのセットがあります。 - **Time (時間)**​: アクティビティが実行されたタイムスタンプ。 - **Product (製品)**​: オブジェクトが属する製品 (例: `Access Management`​)。 - **Type (種別)**​: アクションが実行されたオブジェクトの種別 (例: `Organization`​)。 - **Action (アクション)**​: オブジェクトに関連付けられたアクション (例: `Create`​)。 - **Object (オブジェクト)**​: オブジェクトの名前 (例: `foo`​)。 - **User Name (ユーザー名)**​: アクションを実行したユーザー (例: `johndoe`​)。

場合によっては、​Anypoint Staff​ ログエントリがあります。このログエントリは、組織に属さないユーザーによって監査アクションが実行された場合に作成されます。
Anypoint Staff​ エントリは、以下のイベントが発生した場合に備えて作成されます。

  • Anypoint Platform 操作のルーチン部分である内部またはシステムプロセスが実行される

  • MuleSoft 調達スタッフがライセンス付与の結果、組織のエンタイトルメントを変更する

  • トラブルシューティングなど、他の目的で MuleSoft 従業員が代わりにアクションを実行する
- **Connected App (接続アプリケーション)**​: ユーザーまたはそれ自体の代理でアクションを実行する接続アプリケーションの名前。接続アプリケーションがアクションを実行しなかった場合、ペイロードは ​`N/A`​ です。 - **Environment (環境)**​: API Manager、Runtime Manager、CloudHub、Partner Manager、MQ のイベントの環境名。 - **Parent (親)**​: (省略可能) アクションが実行されたオブジェクトの親 (存在する場合)。主に API に関連しています。 - **Payload (ペイロード)**​: (省略可能) ログプロパティに関するその他の情報。たとえば組織が作成された場合、ペイロードには組織およびオーナーに関する情報 (ID など) が含まれます。 次に、Anypoint Platform が監査する製品およびオブジェクト種別ごとのアクションのリストを示します。
ユーザーアクション オブジェクト種別 オブジェクト 親 アクション ペイロード

T&C の設定

T&C

T&C

なし

作成

サブアクション: なし
プロパティ: 新規 T&C

T&C の変更

T&C

T&C

なし

編集

サブアクション: なし
プロパティ: 新規 T&C

組織のカスタムテーマの設定

ポータルテーマ

組織名

なし

作成

サブアクション: なし
プロパティ: テーマデータ

組織のカスタムテーマの編集

ビジネスグループ

組織名

なし

編集

サブアクション: なし
プロパティ: テーマデータ

カスタムポリシーの追加

ポリシー

PolicyID

なし

作成

サブアクション: なし
プロパティ: なし

カスタムポリシーの削除

ポリシー

PolicyID

なし

削除

サブアクション: なし
プロパティ: ポリシーデータ
### [](#api)API
ユーザーアクション オブジェクト種別 オブジェクト 親 アクション ペイロード

API の作成

API

API ID

なし

作成

サブアクション: なし
プロパティ: なし

API の削除

API

API ID

なし

削除

サブアクション: なし
プロパティ: なし

API のインポート

API

API ID

なし

作成

サブアクション: なし
プロパティ: なし

API の表示ラベルの更新

API

API ID

なし

編集

サブアクション: なし
プロパティ: API オブジェクト

API のコンシューマーエンドポイントの更新

API

API ID

なし

編集 - エンドポイントの更新

サブアクション: なし
プロパティ: API オブジェクト

API のエンドポイント URI の更新

API

API ID

なし

編集 - エンドポイント URI の編集

サブアクション: なし
プロパティ: API オブジェクト
### [](#api-バージョン)API バージョン
ユーザーアクション オブジェクト種別 オブジェクト 親 アクション ペイロード

API バージョンの作成

API バージョン

バージョン ID

API ID

作成

サブアクション: なし
プロパティ: なし

API バージョンの削除

API バージョン

バージョン ID

API ID

削除

サブアクション: なし
プロパティ: なし

API のインポート

API バージョン

バージョン ID

API ID

作成

サブアクション: API バージョンのインポート
プロパティ: なし

API バージョンの名前の編集

API バージョン

バージョン ID

API ID

編集

サブアクション: 名前の編集
プロパティ: 新規名

API バージョンの説明の編集

API バージョン

バージョン ID

API ID

編集

サブアクション: 説明の編集
プロパティ: 新規説明

API バージョンの API URL の編集

API バージョン

バージョン ID

API ID

編集

サブアクション: API URL の編集
プロパティ: 新規 API URL

タグの追加

API バージョン

バージョン ID

API ID

編集

サブアクション: タグの追加
プロパティ: 新規タグ

タグの削除

API バージョン

バージョン ID

API ID

編集

サブアクション: タグの削除
プロパティ: 削除されたタグ

API の非推奨化

API バージョン

バージョン ID

API ID

編集

サブアクション: API の非推奨化
プロパティ: なし

T&C の設定

API バージョン

バージョン ID

API ID

編集

サブアクション: 契約条件の設定
プロパティ: T&C

RAML の作成

API バージョン

バージョン ID

API ID

編集

サブアクション: RAML の作成
プロパティ: なし

RAML の変更

API バージョン

バージョン ID

API ID

編集

サブアクション: RAML の編集
プロパティ: 更新された RAML ファイル

エンドポイントの作成

API バージョン

バージョン ID

API ID

編集

サブアクション: エンドポイントの作成
プロパティ: 新規エンドポイント

既存のエンドポイントの更新

API バージョン

バージョン ID

API ID

編集

サブアクション: エンドポイントの更新
プロパティ: エンドポイントの作成

プロキシのデプロイ

API バージョン

バージョン ID

API ID

デプロイ

サブアクション: なし
プロパティ: デプロイ場所 (ハイブリッドのためのアプリケーション名とサーバー名)

デプロイされたプロキシの更新

API バージョン

バージョン ID

API ID

編集

サブアクション: エンドポイントの設定
プロパティ: 新規エンドポイント

プロキシの再デプロイ

API バージョン

バージョン ID

API ID

デプロイ

サブアクション: なし
プロパティ: デプロイ場所 (ハイブリッドのためのアプリケーション名とサーバー名)

SLA 層の作成

層

SLA ID

バージョン ID

作成

サブアクション: なし
プロパティ: SLA 設定

SLA 層の変更

層

SLA ID

バージョン ID

編集

サブアクション: なし
プロパティ: SLA 設定

SLA 層の非推奨化

層

SLA ID

バージョン ID

編集

サブアクション: SLA 層の非推奨化
プロパティ: SLA 設定

SLA 層の削除

層

SLA ID

バージョン ID

削除

サブアクション: なし
プロパティ: なし

ポリシーの適用

API ポリシー

ポリシー ID

バージョン ID

作成

サブアクション: なし
プロパティ: ポリシー設定

ポリシーの編集

API ポリシー

ポリシー ID

バージョン ID

編集

サブアクション: なし
プロパティ: ポリシー設定

ポリシーの削除

API ポリシー

ポリシー ID

バージョン ID

削除

サブアクション: なし
プロパティ: なし
### [](#アプリケーション)アプリケーション
ユーザーアクション オブジェクト種別 オブジェクト 親 アクション ペイロード

アプリケーションの作成

アプリケーション

アプリケーション ID

なし

作成

サブアクション: なし
プロパティ: アプリケーション

アプリケーションの削除

アプリケーション

アプリケーション ID

なし

削除

サブアクション: なし
プロパティ: なし

クライアントシークレットのリセット

アプリケーション

アプリケーション ID

なし

編集 - クライアントシークレットのリセット

サブアクション: クライアントシークレットのリセット
プロパティ: なし

アクセス権の要求

コントラクト

オブジェクト 1: アプリケーション ID
オブジェクト 2: API バージョン ID

なし

作成

サブアクション: なし
プロパティ: SLA 層

層の変更の要求

コントラクト

オブジェクト 1: アプリケーション ID
オブジェクト 2: API バージョン ID

なし

編集 - 層の変更の要求

サブアクション: 層の変更の要求
プロパティ: 新規層

層の変更承認の要求

コントラクト

オブジェクト 1: アプリケーション ID
オブジェクト 2: API バージョン ID

なし

編集 - 層の変更承認の要求

サブアクション: 層の変更承認の要求
プロパティ: 新規層

アプリケーションの承認

コントラクト

オブジェクト 1: アプリケーション ID
オブジェクト 2: API バージョン ID

なし

編集 - コントラクト承認

サブアクション: コントラクト承認
プロパティ: SLA 層

アプリケーションの失効

コントラクト

オブジェクト 1: アプリケーション ID
オブジェクト 2: API バージョン ID

なし

編集 - コントラクト失効

サブアクション: コントラクト失効済み
プロパティ: SLA 層

アプリケーションの復元

コントラクト

オブジェクト 1: アプリケーション ID
オブジェクト 2: API バージョン ID

なし

編集 - コントラクト復元済み

サブアクション: コントラクト復元済み
プロパティ: SLA 層
`Create Application`​ および ​`Delete Application`​ アクションは、ルート組織レベルで記録されます。 ## [](#api-designer-api)API Designer API
ユーザーアクション オブジェクト種別 オブジェクト 親 アクション ペイロード

プロジェクトの作成

プロジェクト

プロジェクト ID

なし

プロジェクトの作成

サブアクション: なし
プロパティ:

  • orgID

  • userID

  • projectName

プロジェクトの削除

プロジェクト

プロジェクト ID

なし

プロジェクトの削除

サブアクション: なし
プロパティ:

  • orgID

  • userID

  • projectName

ファイルの削除

ファイル

プロジェクト ID

なし

ファイルの削除

サブアクション: なし
プロパティ:

  • orgID

  • userID

  • projectName

プロジェクトの名前の変更

プロジェクト

プロジェクト ID

なし

プロジェクトの名前の変更

サブアクション: なし
プロパティ:

  • orgID

  • userID

  • newProjectName

分岐のクリーンアップ

プロジェクト

プロジェクト ID

なし

分岐のクリーンアップ

サブアクション: なし
プロパティ:

  • orgID

  • userID

  • branchName

分岐の作成

プロジェクト

プロジェクト ID

なし

分岐の作成

サブアクション: なし
プロパティ:

  • orgID

  • userID

  • branchName

分岐の削除

プロジェクト

プロジェクト ID

なし

分岐の削除

サブアクション: なし
プロパティ:

  • orgID

  • userID

  • branchName

分岐の保存

プロジェクト

プロジェクト ID

なし

分岐の保存

サブアクション: なし
プロパティ:

  • orgID

  • userID

  • branchName

ファイルの削除

プロジェクト

プロジェクト ID

なし

ファイルの削除

サブアクション: なし
プロパティ:

  • orgID

  • userID

  • ファイルパス

ファイルの移動

プロジェクト

プロジェクト ID

なし

ファイルの移動

サブアクション: なし
プロパティ:

  • orgID

  • userID

  • targetFile

プロジェクトのインポート

プロジェクト

プロジェクト ID

なし

プロジェクトのインポート

サブアクション: なし
プロパティ:

  • orgID

  • userID

  • branchName

Exchange へのパブリッシュ

プロジェクト

プロジェクト ID

なし

Exchange へのパブリッシュ

サブアクション: なし
プロパティ:

  • orgID

  • userID

  • projectName

API プラットフォームへのパブリッシュ

プロジェクト

プロジェクト ID

なし

API プラットフォームへのパブリッシュ

サブアクション: なし
プロパティ:

  • orgID

  • userID

  • projectName

連動関係の追加

プロジェクト

プロジェクト ID

なし

連動関係の追加

サブアクション: なし
プロパティ:

  • orgID

  • userID

  • 連動関係

連動関係の削除

プロジェクト

プロジェクト ID

なし

連動関係の削除

サブアクション: なし
プロパティ:

  • orgID

  • userID

  • 連動関係

連動関係の変更

プロジェクト

プロジェクト ID

なし

連動関係の変更

サブアクション: なし
プロパティ:

  • orgID

  • userID

  • addDependencies

  • removeDependencies

連動関係の再読み込み

プロジェクト

プロジェクト ID

なし

連動関係の再読み込み

サブアクション: なし
プロパティ:

  • orgID

  • userID

  • branchName

分岐のマージ

プロジェクト

プロジェクト ID

なし

分岐のマージ

サブアクション: なし
プロパティ:

  • orgID

  • projectID

  • userID

  • branchName

プロジェクトの共有

プロジェクト

プロジェクト ID

なし

プロジェクトの共有

サブアクション: なし
プロパティ:

  • orgID

  • projectID

  • userID

  • projectID

Github と同期

プロジェクト

プロジェクト ID

なし

Github と同期

サブアクション: なし
プロパティ:

  • orgID

  • projectID

  • userID

  • repositoryName

Github との同期を解除

プロジェクト

プロジェクト ID

なし

Github との同期を解除

サブアクション: なし
プロパティ:

  • orgID

  • projectID

  • userID

  • projectID

組織の設定の変更

プロジェクト

組織 ID

なし

組織の設定の変更

サブアクション: なし
プロパティ:

  • orgID

  • projectID

  • userID

  • projectID

分岐名の変更

プロジェクト

プロジェクト ID

なし

分岐名の変更

サブアクション: なし
プロパティ:

  • orgID

  • projectID

  • userID

  • branchName

プロジェクト設定の変更

プロジェクト

プロジェクト ID

なし

プロジェクト設定の変更

サブアクション: なし
プロパティ:

  • orgID

  • projectID

  • userID

  • projectID
### [](#モッキングサービス)モッキングサービス
ユーザーアクション オブジェクト種別 オブジェクト 親 アクション ペイロード

リンクの作成

リンク

リンク ID

なし

作成

サブアクション: リンクの作成
プロパティ: リンクメタデータ

リンクの削除

リンク

リンク ID

なし

削除

サブアクション: リンクの削除
プロパティ: リンクメタデータ
### [](#ポータル)ポータル API Manager v1.x ポータルには次のアクションが適用されます。
ユーザーアクション オブジェクト種別 オブジェクト 親 アクション ペイロード

ポータルの作成

ポータル

オブジェクト 1: ポータル ID
オブジェクト 2: API バージョン ID

なし

作成

サブアクション: なし
プロパティ: なし

ポータル関連付けの変更

ポータル

オブジェクト 1: ポータル ID
オブジェクト 2: API バージョン ID

なし

編集

サブアクション: ポータル関連付けの変更
プロパティ: なし

ポータルの削除

ポータル

ポータル ID

なし

削除

サブアクション: なし
プロパティ: なし

ポータルページの追加

ポータル

ページ ID

ポータル ID

編集

サブアクション: ポータルページの追加
プロパティ: ページコンテンツ

ポータルページの表示化

ポータル

ページ ID

ポータル ID

編集

サブアクション: ページの表示化
プロパティ: ページコンテンツ

ポータルページの削除

ポータル

ページ ID

ポータル ID

削除

サブアクション: ポータルページの削除
プロパティ: ページコンテンツ

ポータルページの編集

ポータル

ページ ID

ポータル ID

編集

サブアクション: ポータルページの編集
プロパティ: ページコンテンツ

ポータルページの非表示化

ポータル

ページ ID

ポータル ID

編集

サブアクション: ポータルページの非表示化
プロパティ: ページコンテンツ

ポータルテーマの設定

ポータル

ポータル ID

なし

編集

サブアクション: ポータルテーマの設定
プロパティ: テーマ設定

ポータルテーマの変更

ポータル

ポータル ID

なし

編集

サブアクション: ポータルテーマの変更
プロパティ: テーマ設定

ポータルセキュリティの変更

ポータル

ポータル ID

なし

編集

サブアクション: セキュリティの設定
プロパティ: 公開/非公開の状態
## [](#アクセス管理)アクセス管理 ### [](#ユーザー)ユーザー
ユーザーアクション オブジェクト種別 オブジェクト 親 アクション ペイロード

サインアップ/組織作成

ユーザー

UserID

なし

作成

サブアクション: なし
プロパティ: 組織 ID

ユーザー作成 (組織の作成はなし)

ユーザー

UserID

なし

作成

サブアクション: なし
プロパティ: UserID

パスワードリセット要求済み

ユーザー

UserID

なし

編集

サブアクション: パスワードリセット
プロパティ: なし

パスワード変更済み

ユーザー

UserID

なし

編集

サブアクション: パスワード変更済み
プロパティ: なし

ユーザーの削除

ユーザー

UserID

なし

削除

サブアクション: なし
プロパティ: ユーザーオブジェクト

ユーザーの無効化

ユーザー

UserID

なし

編集

サブアクション: ユーザーの無効化
プロパティ: なし

ログイン成功

ユーザー

UserID

なし

ログイン

サブアクション: なし
プロパティ: なし

ログイン成功再認証

ユーザー

UserID

なし

ログイン - 再認証

サブアクション: 再認証
プロパティ: なし

ログイン失敗

ユーザー

UserID

なし

ログイン

サブアクション: 失敗
プロパティ: エラーメッセージ

ログイン失敗再認証

ユーザー

UserID

なし

ログイン - 再認証失敗

サブアクション: 再認証失敗
プロパティ: エラーメッセージ

ログアウト

ユーザー

UserID

なし

ログアウト

サブアクション: なし
プロパティ: なし

  • Login​ および ​Logout​ アクションは、組織レベルでのみ記録されます。

  • Login failure​ アクションは、既存のユーザーアカウントに対してのみ記録されます。

  • LDAP または OIDC で設定された SSO を使用している場合、​Login failure​ アクションはログに記録されません。これには、Anypoint Platform Private Cloud Edition (Anypoint Platform PCE) へのログイン失敗が含まれます。
### [](#ロール)ロール
ユーザーアクション オブジェクト種別 オブジェクト 親 アクション ペイロード

ロールの作成

ロール

ロール

なし

作成

サブアクション: なし
プロパティ: なし

ロールの編集 - ユーザーの追加

オブジェクト 1: ロール
オブジェクト 2: ユーザー

オブジェクト 1: ロール
オブジェクト 2: ユーザー

なし

編集

サブアクション: ユーザーの追加
プロパティ: ロール、ユーザー

ロールの編集 - ユーザーの削除

オブジェクト 1: ロール
オブジェクト 2: ユーザー

オブジェクト 1: ロール
オブジェクト 2: ユーザー

なし

編集

サブアクション: ユーザーの削除
プロパティ: ロール、ユーザー

ロールの編集 - 外部グループマッピングの変更

ロール

ロール

なし

編集

サブアクション: ロールマッピングの編集
プロパティ: 新規マッピング

ロールの削除

ロール

ロール

なし

削除

サブアクション: なし
プロパティ: ロールメタデータ
### [](#権限)権限
ユーザーアクション オブジェクト種別 オブジェクト 親 アクション ペイロード

ユーザー権限変更

権限

オブジェクト 1: ユーザー
オブジェクト 2: リソース

親 1: なし
親 2: 該当する場合はリソースの親

権限変更

サブアクション: なし
プロパティ: 新規権限

ロール権限変更

権限

オブジェクト 1: ロール
オブジェクト 2: リソース

親 1: なし
親 2: 該当する場合はリソースの親

権限変更

サブアクション: なし
プロパティ: 新規権限

環境権限変更

権限

EnvID

なし

権限変更

サブアクション: なし
プロパティ: 新規権限
### [](#id-管理)ID 管理
ユーザーアクション オブジェクト種別 オブジェクト 親 アクション ペイロード

ID プロバイダー設定の作成

ID 管理

プロバイダー名

なし

作成

サブアクション: なし

ID プロバイダー設定の編集

ID 管理

プロバイダー名

なし

編集

サブアクション: なし

ID プロバイダー設定の削除

ID 管理

プロバイダー名

なし

削除

サブアクション: なし

警告

オブジェクト 1: ID 管理
オブジェクト 2: ユーザー

オブジェクト 1: プロバイダー名
オブジェクト 2: UserID

なし

なし

サブアクション: なし
プロパティ: メッセージ

ID 管理キーの作成

ID 管理キー

KeyID

なし

作成

サブアクション: なし

ID 管理の主キーの設定

ID 管理キー

KeyID

なし

編集

サブアクション: 主キーの設定
プロパティ:

  • old_primary_provider_key_id

  • provider_key_id

ID 管理キーの削除

ID 管理キー

KeyID

なし

削除

サブアクション: なし
### [](#組織とビジネスグループ)組織とビジネスグループ
ユーザーアクション オブジェクト種別 オブジェクト 親 アクション ペイロード

ドメイン名の編集

組織

OrgID

なし

編集

サブアクション: なし
プロパティ: 新規名

ビジネスグループの作成

組織

OrgID

親組織

作成

サブアクション: なし
プロパティ: 組織オブジェクト

ビジネスグループ名の編集

組織

OrgID

親組織

編集

サブアクション: 名前の編集
プロパティ: 新規グループ名

ビジネスグループオーナーの編集

組織

OrgID

親組織

編集

サブアクション: オーナーの編集
プロパティ: 新規オーナー userID

ビジネスグループエンタイトルメントの編集

エンタイトルメント

EnvID

なし

編集

サブアクション: エンタイトルメントの編集
プロパティ: エンタイトルメント変更

ビジネスグループの削除

組織

OrgID

親組織

削除

サブアクション: なし
プロパティ: 組織オブジェクト
### [](#環境)環境
ユーザーアクション オブジェクト種別 オブジェクト 親 アクション ペイロード

環境の作成

環境

EnvID

なし

作成

サブアクション: なし
プロパティ: なし

環境の削除

環境

EnvID

なし

削除

サブアクション: なし
プロパティ: 環境メタデータ

環境の名前の変更

環境

EnvID

なし

編集

サブアクション: なし
プロパティ: 環境名

組織またはビジネスグループの作成時に自動的に作成される環境には、監査ログエントリがありません。Anypoint Platform が進化するにつれて、作成されるデフォルト環境も経時的に変化しています。現在、​Sandbox​ および ​Design​ は自動的に作成され、監査ログエントリはありません。
### [](#接続アプリケーション)接続アプリケーション
ユーザーアクション オブジェクト種別 オブジェクト 親 アクション ペイロード

接続アプリケーションの作成

接続アプリケーション

clientID

なし

作成

サブアクション: なし
プロパティ:

  • clientName

  • clientID

  • clientIP

  • orgID

  • grantTypes

接続済みアプリケーションの編集

接続アプリケーション

clientID

なし

編集

サブアクション: なし
プロパティ:

  • clientName

  • clientID

  • clientIP

  • orgID

  • grantTypes

接続済みアプリケーションの削除

接続アプリケーション

clientID

なし

削除

サブアクション: なし
プロパティ:

  • clientName

  • clientID

  • clientIP

  • orgID

  • grantTypes

スコープ割り当ての更新

接続アプリケーション

clientID

なし

権限変更

サブアクション: 割り当ての追加
プロパティ: スコープ

アプリケーション認証承認済み

外部認証

clientID

なし

Approved (検証済み)

サブアクション: なし
プロパティ: なし

アプリケーション認証拒否済み

外部認証

clientID

なし

拒否済み

サブアクション: なし
プロパティ: なし

トークン取得成功

接続アプリケーション

clientID

なし

ログイン - トークン

サブアクション: トークン
プロパティ:

  • clientName

  • clientID

  • clientIP

  • orgID

  • grantTypes

トークンの取得失敗

接続アプリケーション

clientID

なし

ログイン - トークン

サブアクション: トークン
プロパティ:

  • clientID

  • clientIP

  • エラーメッセージ

アクセス権/更新トークンの取り消し

接続アプリケーション

clientID

なし

トークンの取り消し

サブアクション: なし
プロパティ:

  • clientName

  • clientID

  • clientIP

  • orgID

  • grantTypes
### [](#チーム)チーム
ユーザーアクション オブジェクト種別 オブジェクト 親 アクション ペイロード

チームの作成

チーム

チーム名

なし

作成

サブアクション: なし
プロパティ:

  • org_id

  • team_id

  • team_name

  • team_type

  • created_at

  • updated_at

  • ancestor_team_ids

Update Team

チーム

チーム名

なし

更新

サブアクション: なし
プロパティ:

  • org_id

  • team_id

  • team_type

  • ancestor_team_ids

チームの移動

チーム

チーム名

なし

Move

サブアクション: なし
プロパティ:

  • org_id

  • team_id

  • team_type

  • ancestor_team_ids

  • previous_ancestor_team_ids

メンバーの追加

チーム

チーム名

なし

編集

サブアクション: メンバーの追加
プロパティ:

  • 次の配列:

    • id (メンバー/メンテナー ID)

    • membership_type

メンバーの削除

チーム

チーム名

なし

編集

サブアクション: メンバーの削除
プロパティ:

  • 削除済みメンバー ID

権限の追加

チーム

チーム名

なし

権限変更

サブアクション: 権限の追加
プロパティ:

  • name (権限名)

  • role_id (権限 ID)

  • context_params)

権限の削除

チーム

チーム名

なし

権限変更

サブアクション: 権限の削除
プロパティ:

  • name (権限名)

  • role_id (権限 ID)

  • context_params)

既存のグループマッピングの編集

チーム

チーム名

なし

編集

サブアクション: 既存のグループマッピングの編集
プロパティ:

  • data:

    • provider_id

    • membership_type

    • external_group_name

  • total

チームの削除

チーム

チーム名

なし

削除

サブアクション: なし
プロパティ:

  • org_id

  • team_id

  • ancestor_team_ids
### [](#ユーザー-idp-プロファイル)ユーザー IdP プロファイル
ユーザーアクション オブジェクト種別 オブジェクト 親 アクション ペイロード

ユーザー IdP プロファイルの作成

ユーザー IdP プロファイル

なし

なし

作成

サブアクション: なし
プロパティ:

  • userId

  • idpUserId

  • providerId

  • loginProfileData
## [](#anypoint-datagraph)Anypoint DataGraph
ユーザーアクション オブジェクト種別 オブジェクト 親 アクション ペイロード

API の追加

ユーザー

data-graph-{api-name}-{env-name}

なし

API の追加

なし

API の更新

ユーザー

data-graph-{api-name}-{env-name}

なし

API の更新

なし

API の削除

ユーザー

data-graph-{api-name}-{env-name}

なし

API の削除

なし
## [](#exchange)Exchange ### [](#アセット)アセット
ユーザーアクション オブジェクト種別 オブジェクト 親 アクション ペイロード

アセットの作成

アセット

アセット ID

なし

作成

サブアクション: なし
プロパティ: アセットオブジェクト

アセットの更新

アセット

アセット ID

なし

更新

サブアクション: なし
プロパティ: アセットオブジェクト

アセットの削除

アセット

アセット ID

なし

削除

サブアクション: なし
プロパティ: なし

アセットを共有する

アセット

アセット ID

なし

権限の付与または失効

サブアクション: なし
プロパティ:

  • アセットオブジェクト

  • 変換元

  • 対象

  • ロール

公開ポータルへのアセットのパブリッシュ

アセットバージョングループ

アセット ID およびバージョングループ

なし

公開ポータルへのパブリッシュ

サブアクション: なし
プロパティ: アセット ID、名前、種別

公開ポータルからのアセットの削除

アセットバージョングループ

アセット ID およびバージョングループ

なし

公開ポータルからの削除

サブアクション: なし
プロパティ: アセット ID、名前、種別

アセットアイコンの更新

アセットアイコン

アセット ID

アセット

更新

サブアクション: なし
プロパティ: アセットオブジェクト

アセットアイコンの削除

アセットアイコン

アセット ID

アセット

削除

サブアクション: なし
プロパティ: アセットオブジェクト

管理タグ (カテゴリ) の作成

アセット管理タグ

アセット ID およびタグ ID

アセット

作成

サブアクション: なし
プロパティ: なし

管理タグ (カテゴリ) の削除

アセット管理タグ

アセット ID およびタグ ID

アセット

削除

サブアクション: なし
プロパティ: なし

組織の削除

組織

組織 ID

なし

削除

サブアクション: なし
プロパティ: なし

タグの更新

アセットタグ

アセット ID

アセット

更新

サブアクション: なし
プロパティ: タグ

タグ設定の作成

タグ設定

タグ設定 ID

なし

作成

サブアクション: なし
プロパティ: TagConfiguration

タグ設定の更新

タグ設定

タグ設定 ID

なし

更新

サブアクション: なし
プロパティ: TagConfiguration

タグ設定の削除

タグ設定

タグ設定 ID

なし

削除

サブアクション: なし
プロパティ: なし
### [](#アセットポータル)アセットポータル
ユーザーアクション オブジェクト種別 オブジェクト 親 アクション ペイロード

ページの作成

アセットポータルページ

ページ ID

アセットポータル

作成

サブアクション: なし
プロパティ:

  • アセットオブジェクト

  • ページ

ページの更新

アセットポータルページ

ページ ID

アセットポータル

更新

サブアクション: なし
プロパティ:

  • アセットオブジェクト

  • ページ

ページの削除

アセットポータルページ

ページ ID

アセットポータル

削除

サブアクション: なし
プロパティ: なし

ポータルの作成

アセットポータル

ポータル ID

アセット

作成

サブアクション: なし
プロパティ: アセットポータル

ポータルのパブリッシュ

アセットポータル

ポータル ID

アセット

パブリッシュ

サブアクション: なし
プロパティ: アセットポータル
### [](#api-型の-metadata)API 型の Metadata
ユーザーアクション オブジェクト種別 オブジェクト 親 アクション ペイロード

API インスタンスの作成

API インスタンス

API インスタンス ID

なし

作成

サブアクション: なし
プロパティ:

  • 名前

  • isPublic

API インスタンスの削除

API インスタンス

API インスタンス ID

なし

削除

サブアクション: なし
プロパティ:

  • 名前

  • isPublic

API インスタンスの更新

API インスタンス

API インスタンス ID

なし

更新

サブアクション: なし
プロパティ:

  • 名前

  • isPublic
### [](#ファイルのアップロード)ファイルのアップロード
ユーザーアクション オブジェクト種別 オブジェクト 親 アクション ペイロード

ファイルのアップロード

エクスチェンジファイル

ファイル ID

なし

作成

サブアクション: なし
プロパティ: ファイルキー

ファイルの削除

エクスチェンジファイル

ファイル ID

なし

削除

サブアクション: なし
プロパティ: ファイルキー

ファイルの更新

エクスチェンジファイル

ファイル ID

なし

更新

サブアクション: なし
プロパティ: ファイルキー
### [](#公開ポータル)公開ポータル
ユーザーアクション オブジェクト種別 オブジェクト 親 アクション ペイロード

ドメインの更新

公開ポータルドメイン

組織 ID およびドメイン

公開ポータル

更新

サブアクション: なし
プロパティ:

  • ポータル ID

  • ドメイン

ドメインの削除

公開ポータルドメイン

組織 ID およびドメイン

公開ポータル

削除

サブアクション: なし
プロパティ:

  • ポータル ID

  • ドメイン

ページの作成

公開ポータルページ

ページパス

公開ポータル

作成

サブアクション: なし
プロパティ:

  • ポータル ID

  • ページ ID

ページの削除

公開ポータルページ

ページパス

公開ポータル

削除

サブアクション: なし
プロパティ:

  • ポータル ID

  • ページ ID

ページの更新

公開ポータルページ

ページパス

公開ポータル

更新

サブアクション: なし
プロパティ:

  • ポータル ID

  • ページ ID

ポータルの作成

公開ポータル

組織 ID

なし

作成

サブアクション: なし
プロパティ:

  • プロジェクト ID

  • 作成者 ID

ポータルのパブリッシュ

公開ポータル

組織 ID

なし

パブリッシュ

サブアクション: なし
プロパティ:

  • プロジェクト ID

  • 作成者 ID

ポータルの削除

公開ポータル

組織 ID

なし

削除

サブアクション: なし
プロパティ:

  • プロジェクト ID

  • 作成者 ID

ポータルの更新

公開ポータル

組織 ID

なし

更新

サブアクション: なし

プロパティ:

  • プロジェクト ID

  • 作成者 ID
### [](#アセットレビュー)アセットレビュー
ユーザーアクション オブジェクト種別 オブジェクト 親 アクション ペイロード

コメントの作成

アセットポータルレビューコメント

コメント ID

アセットポータルレビュー

作成

サブアクション: なし
プロパティ: コメント

コメントの削除

アセットポータルレビューコメント

コメント ID

アセットポータルレビュー

削除

サブアクション: なし
プロパティ: コメント

コメントの更新

アセットポータルレビューコメント

コメント ID

アセットポータルレビュー

更新

サブアクション: なし
プロパティ: コメント

レビューの作成

アセットポータルレビュー

レビュー ID

アセット

作成

サブアクション: なし
プロパティ: レビューオブジェクト

レビューの削除

アセットポータルレビュー

レビュー ID

アセット

削除

サブアクション: なし
プロパティ: レビューオブジェクト

レビューの更新

アセットポータルレビュー

レビュー ID

アセット

更新

サブアクション: なし
プロパティ: レビューオブジェクト
## [](#runtime-manager)Runtime Manager
ユーザーアクション オブジェクト種別 オブジェクト 親 アクション ペイロード

アプリケーションの作成

アプリケーション

AppID

なし

作成

サブアクション: なし
プロパティ: アプリケーションメタデータ

アプリケーションの起動

アプリケーション

AppID

なし

起動

サブアクション: なし
プロパティ: アプリケーションメタデータ

アプリケーションの再起動

アプリケーション

AppID

なし

再起動

サブアクション: なし
プロパティ: アプリケーションメタデータ

アプリケーションの停止

アプリケーション

AppID

なし

停止

サブアクション: なし
プロパティ: アプリケーションメタデータ

アプリケーションの削除

アプリケーション

AppID

なし

削除

サブアクション: なし
プロパティ: アプリケーションメタデータ

アプリケーション zip ファイルの変更

アプリケーション

AppID

なし

変更

サブアクション: なし
プロパティ: アプリケーションメタデータ

Sandbox からのアプリケーションの昇格

アプリケーション

AppID

なし

Modify

サブアクション: なし
プロパティ: アプリケーションメタデータ

アプリケーションランタイムの変更

アプリケーション

AppID

なし

変更

サブアクション: なし
プロパティ: アプリケーションメタデータ

アプリケーションワーカーサイズの変更

アプリケーション

AppID

なし

変更

サブアクション: なし
プロパティ: アプリケーションメタデータ

アプリケーションワーカー数の変更

アプリケーション

AppID

なし

変更

サブアクション: なし
プロパティ: アプリケーションメタデータ

永続的なキューの有効化/無効化

アプリケーション

AppID

なし

変更

サブアクション: なし
プロパティ: アプリケーションメタデータ

永続的なキューの暗号化の有効化/無効化

アプリケーション

AppID

なし

変更

サブアクション: なし
プロパティ: アプリケーションメタデータ

アプリケーションプロパティの変更

アプリケーション

AppID

なし

変更

サブアクション: なし
プロパティ: アプリケーションメタデータ

インサイトの有効化/無効化

アプリケーション

AppID

なし

変更

サブアクション: なし
プロパティ: アプリケーションメタデータ

ログレベルの変更

アプリケーション

AppID

なし

変更

サブアクション: なし
プロパティ: アプリケーションメタデータ

アラートの作成/変更/削除

アプリケーション

AppID

なし

変更

サブアクション: なし
プロパティ: アプリケーションメタデータ

アラートの有効化/無効化

アプリケーション

AppID

なし

Modify

サブアクション: なし
プロパティ: アプリケーションメタデータ

アプリケーションデータの作成/変更/削除

アプリケーション

AppID

なし

Modify

サブアクション: なし
プロパティ: アプリケーションメタデータ

スケジュールの作成/変更

アプリケーション

AppID

なし

Modify

サブアクション: なし
プロパティ: アプリケーションメタデータ

テナントの作成/変更/削除

アプリケーション

AppID

なし

サブアクション: なし
プロパティ: アプリケーションメタデータ

スケジュールの有効化/無効化

アプリケーション

AppID

なし

Modify

サブアクション: なし
プロパティ: アプリケーションメタデータ

キューのクリア

アプリケーション

AppID

なし

クリア

サブアクション: なし
プロパティ: アプリケーションメタデータ

静的 IP の有効化/無効化

アプリケーション

AppID

なし

Modify

サブアクション: なし
プロパティ: アプリケーションメタデータ

静的 IP の割り当て/リリース

アプリケーション

AppID

なし

Modify

サブアクション: なし
プロパティ: アプリケーションメタデータ

ロードバランサーの作成/変更/削除

LoadBalancer

LoadBalancerID

なし

作成/変更/削除

サブアクション: なし
プロパティ: ロードバランサーメタデータ

アラート V2 の作成/変更/削除

アラート

AlertID

なし

作成/変更/削除

サブアクション: なし
プロパティ: アラート

VPC の作成/変更/削除

VPC

vpcID

なし

作成/変更/削除

サブアクション: なし
プロパティ: VPC メタデータ

Create/modify/delete VPN (VPN の作成/変更/削除)

VPN

vpnId

なし

作成/変更/削除

サブアクション: なし
プロパティ: VPN メタデータ
### [](#サーバー)サーバー
ユーザーアクション オブジェクト種別 オブジェクト 親 アクション ペイロード

サーバーの追加

サーバー

ServerID

なし

作成

サブアクション: なし
プロパティ: サーバーメタデータ

サーバーの削除

サーバー

ServerID

なし

削除

サブアクション: なし
プロパティ: サーバーメタデータ

サーバーの名前の変更

サーバー

ServerID

なし

Modify

サブアクション: 名前の変更
プロパティ: サーバーメタデータ

サーバーグループの作成

サーバーグループ

ServerGroupID

なし

作成

サブアクション: なし
プロパティ: サーバーグループメタデータ

サーバーグループの削除

サーバーグループ

ServerGroupID

なし

削除

サブアクション: なし
プロパティ: サーバーグループメタデータ

サーバーグループの名前の変更

サーバーグループ

ServerGroupID

なし

Modify

サブアクション: 名前の変更
プロパティ: サーバーグループメタデータ

サーバーグループへのサーバーの追加

サーバーグループ

ServerGroupID

なし

Modify

サブアクション: サーバーの追加
プロパティ: サーバーグループメタデータ

サーバーグループからのサーバーの削除

サーバーグループ

ServerGroupID

なし

Modify

サブアクション: サーバーの削除
プロパティ: サーバーグループメタデータ

クラスターの作成

クラスター

ClusterID

なし

作成

サブアクション: なし
プロパティ: クラスターメタデータ

クラスターの削除

クラスター

ClusterID

なし

削除

サブアクション: なし
プロパティ: クラスターメタデータ

クラスターの名前の変更

クラスター

ClusterID

なし

Modify

サブアクション: 名前の変更
プロパティ: クラスターメタデータ

クラスターへのサーバーの追加

クラスター

ClusterID

なし

Modify

サブアクション: サーバーの追加
プロパティ: クラスターメタデータ

クラスターからのサーバーの削除

クラスター

ClusterID

なし

Modify

サブアクション: サーバーの削除
プロパティ: クラスターメタデータ

アプリケーションのデプロイ

アプリケーション

ApplicationID

なし

デプロイ

サブアクション: なし
プロパティ: アプリケーションメタデータ

アプリケーションの削除

アプリケーション

ApplicationID

なし

削除

サブアクション: なし
プロパティ: アプリケーションメタデータ

アプリケーションの起動

アプリケーション

ApplicationID

なし

起動

サブアクション: なし
プロパティ: アプリケーションメタデータ

アプリケーションの停止

アプリケーション

ApplicationID

なし

停止

サブアクション: なし
プロパティ: アプリケーションメタデータ

既存のファイルを使用したアプリケーションの再デプロイ

アプリケーション

ApplicationID

なし

再デプロイ

サブアクション: なし
プロパティ: アプリケーションメタデータ

新規ファイルを使用したアプリケーションの再デプロイ

アプリケーション

ApplicationID

なし

再デプロイ

サブアクション: バイナリの更新
プロパティ: アプリケーションメタデータ
### [](#cloudhub-2-0-の非公開スペース)CloudHub 2.0 の非公開スペース
ユーザーアクション オブジェクト種別 オブジェクト 親 アクション ペイロード

非公開スペースの作成/変更/削除

非公開スペース

PrivateSpaceID

なし

作成/変更/削除

サブアクション: なし
プロパティ: 非公開スペースメタデータ

接続の作成/変更/削除

非公開スペース

PrivateSpaceID

なし

作成/変更/削除

サブアクション: なし
プロパティ: 接続メタデータ

VPN の作成/変更/削除

非公開スペース

PrivateSpaceID

なし

作成/変更/削除

サブアクション: なし
プロパティ: なし

移行ゲートウェイの作成/変更/削除

非公開スペース

PrivateSpaceID

なし

作成/変更/削除

サブアクション: なし
プロパティ: 移行ゲートウェイメタデータ

TLSContext の作成/変更/削除

非公開スペース

PrivateSpaceID

なし

作成/変更/削除

サブアクション: なし
プロパティ: なし

ルートの作成/変更/削除

非公開スペース

PrivateSpaceID

なし

作成/変更/削除

サブアクション: なし
プロパティ:

  • 対象

  • ルートオブジェクト
## [](#anypoint-mq)Anypoint MQ
ユーザーアクション オブジェクト種別 オブジェクト 親 アクション ペイロード

キューの作成/変更/削除/パージ

キュー

queueID

なし

作成/変更/削除

サブアクション: なし
プロパティ: キューメタデータ

エクスチェンジの作成/変更/削除

Exchange

exchangeID

なし

作成/変更/削除

サブアクション: なし
プロパティ: エクスチェンジメタデータ

エクスチェンジバインドの作成/削除

バインド

bindingID

なし

作成/削除

サブアクション: なし
プロパティ: エクスチェンジメタデータ

クライアントの作成/削除/再生成

クライアント

clientID

なし

作成/削除/再作成

サブアクション: なし
プロパティ: クライアントメタデータ
## [](#object-store-v2)Object Store v2
ユーザーアクション オブジェクト種別 オブジェクト 親 アクション ペイロード

ストアの作成/変更/削除

保存

storeID

なし

作成/変更/削除

サブアクション: なし
プロパティ: ストアメタデータ
## [](#シークレットマネージャー)シークレットマネージャー
ユーザーアクション オブジェクト種別 オブジェクト 親 アクション ペイロード

シークレットグループの作成

secretGroup

secretGroup 名

なし

作成

サブアクション: なし
プロパティ:

  • secretGroup パス

  • シークレットマネージャートランザクション ID

シークレットグループの削除

secretGroup

secretGroup 名

なし

削除

サブアクション: なし
プロパティ:

  • secretGroup パス

  • シークレットマネージャートランザクション ID

シークレットの作成

シークレット種別 (sharedSecret など)

シークレット名

なし

作成

サブアクション: なし
プロパティ:

  • シークレットパス

  • シークレットマネージャートランザクション ID

シークレットの更新

シークレット種別 (sharedSecret など)

シークレット名

なし

更新

サブアクション: なし
プロパティ:

  • シークレットパス

  • シークレットマネージャートランザクション ID

シークレットへのパッチ適用

シークレット種別 (sharedSecret など)

シークレット名

なし

更新

サブアクション: なし
プロパティ:

  • シークレットパス

  • シークレットマネージャートランザクション ID
## [](#監査ログ-rest-api-アクセスについて)監査ログ REST API アクセスについて 監査ログクエリ API から [監査ログ REST API](https://anypoint.mulesoft.com/exchange/portals/anypoint-platform/f1e97bc6-315a-4490-82a7-23abe036327a.anypoint-platform/audit-log-query-api/)​ とその [RAML](https://anypoint.mulesoft.com/exchange/portals/anypoint-platform/organizations/8bfc8bbf-5508-419e-aadc-77dfe18a8172/assets/f1e97bc6-315a-4490-82a7-23abe036327a.anypoint-platform/audit-log-query-api/1.0.9/files/fat-raml/zip)​ にアクセスできます。 ### [](#paginated-logs)クエリループを使用して監査ログで要求 [最新バージョンのクエリ API](https://anypoint.mulesoft.com/exchange/portals/anypoint-platform/organizations/8bfc8bbf-5508-419e-aadc-77dfe18a8172/assets/f1e97bc6-315a-4490-82a7-23abe036327a.anypoint-platform/audit-log-query-api/1.0.9/files/fat-raml/zip) ​では、効率を高めるためにカーソルページネーションが使用されますが、オフセットページネーションを使用してレコードの総数を返す [以前のバージョンのクエリ API](https://anypoint.mulesoft.com/exchange/portals/anypoint-platform/f1e97bc6-315a-4490-82a7-23abe036327a.anypoint-platform/audit-log-query-api/minor/1.0/console/method/%23245/)​ を引き続き使用することもできます。 最新バージョンの API では、カーソルによるページネーションが使用されるため、カーソルを使用してクエリループを開始できます。​`cursorPagination`​ クエリパラメーターを ​`true`​ に設定すると、カーソルページングを使用できます。 カーソルページネーションを使用すると、各応答でカーソルが返されます。カーソルは、応答データセットの最後のデータエントリに対応します。クエリループ内の後続の要求では、前の応答で返されたカーソル値を使用する必要があります。 応答でデータセットが空の場合、クエリループの最後に達しており、その時間枠で照会するデータはこれ以上ありません。その時点で、クエリループを停止します。応答でデータセットが空の場合、カーソルは返されません。 カーソルページネーションを使用する場合、クエリループはオフセットや合計行数に依存しないため、デフォルトでは ​`total`​ は返されません。 カーソルページングの使用時に合計を表示するには、​`doIncludeTotal`​ クエリパラメーターを true に設定します。 `cursorPagination`​ クエリパラメーターが true で、クエリ本文で ​`offset`​ と ​`cursor`​ を使用すると、​`cursor`​ が優先され、​`offset`​ は無視されます。 `offset`​ 値と ​`cursor`​ 値の間にマッピングはありません。そのため、特定の時間枠でクエリループを実行する場合、​`cursorPagination`​ を使用して途中で新しいパラメーターに切り替えてループを続行することはできません。これは、​`cursorPagination`​ を使用する場合は ​`offset`​ が無視され、ループが最初から開始されるためです。 カーソルベースのページネーション API は、CSV クエリには適用されません。クエリは引き続きオフセットベースのページネーションを使用します。 次の例は、カーソルベースのクエリのクエリループでの一連のコールを示しています。 1. 最初のコールは本文にカーソルがなく、​`total`​ を要求しません。応答は次のデータを返します。 ```console POST https://base/audit/v2/organizations//query?cursorPagination=true ``` Body: ```console { "startDate":"2022-09-01T22:14:47.099Z", "endDate":"2022-11-30T23:14:47.099Z", } ``` 応答: ```console { "data": [log entries], "cursor": '123_abcd' } ``` 次のコールで最初のコールの応答からのカーソルを使用して、次の行セットを取得できます。 2. 2 番目のコールには、要求に特定のカーソルがあります。 ```console POST https://base/audit/v2/organizations//query?cursorPagination=true ``` Body: ```console { "startDate":"2022-09-01T22:14:47.099Z", "endDate":"2022-11-30T23:14:47.099Z", "cursor": '123_abcd' } ``` 応答: ```console { "data": [logs], "cursor": '123_xyz' } ``` 3. 3 番目のコールは、ループ内の最後のコールです。返されるログがこれ以上ないため、応答にはカーソルがなく、データが含まれていません。 ```console POST https://base/audit/v2/organizations//query?cursorPagination=true ``` Body: ```console { "startDate":"2022-09-01T22:14:47.099Z", "endDate":"2022-11-30T23:14:47.099Z", "cursor": '123_xyz' } ``` 応答: ```console { "data": [] } ``` 4. 次の例は、カーソルを使用して合計を要求する方法を示しています。 ```console POST https://base/audit/v2/organizations//query?cursorPagination=true&doIncludeTotal=true ``` Body: ```console { "startDate":"2022-09-01T22:14:47.099Z", "endDate":"2022-11-30T23:14:47.099Z", "cursor": '123_abcds' } ``` 応答: ```console { "data": [logs], "cursor": '123_asdfg' "total": 50000 } ``` ### [](#curl-コマンドを使用した-api-へのアクセス)CURL コマンドを使用した API へのアクセス 以下の ​`curl`​ コマンドの例は、API にアクセスするためのものです (Windows ユーザーはこれらのコマンドを使用する前に ​`curl`​ をダウンロードする必要があります)。 認証情報を取得する: ```console curl 'https://anypoint.mulesoft.com/audit/v2/organizations//platforms?include_internal=false' -H 'Authorization: bearer ' ``` 日付範囲でアクションを取得する: ```console curl 'https://anypoint.mulesoft.com/audit/v2/organizations//query?include_internal=false' -H 'Authorization: bearer ' -H 'Content-Type: application/json;charset=UTF-8' -H 'Accept: application/json, text/plain, */*' --data-binary '{"startDate":"2017-03-08T20:16:41.250Z","endDate":"2017-03-08T21:16:41.250Z","platforms":[],"objectTypes":[],"actions":[],"objectIds":[],"userIds":[],"ascending":false,"organizationId":"","offset":0,"limit":25}' --compressed ; ``` ### [](#監査ログクエリエンドポイントのレート制限ポリシー)監査ログクエリエンドポイントのレート制限ポリシー 監査ログクエリエンドポイントでは、US、EU、Gov の 3 つのコントロールプレーンの IP ごとにレート制限が適用されます。 次の表は、各コントロールプレーンのレート制限の概要を示しています。
コントロールプレーン IP ごとの 1 分あたりに許可される要求数

US

700

EU

40

Gov

40
クライアントが特定のコントロールプレーンのレート制限を超えると、監査ログクエリエンドポイントは 1 分経過するまで​`「503 Service Unavailable」 (503 サービスを利用できません)`​ 状況コードを返します。この間、クライアントはサービスを利用できません。 監査ログクエリエンドポイントのユーザーは、要求レートを監視し、レート制限を超えないように、それに応じて使用量を調整することをお勧めします。レート制限を超えると、エンドポイントが一時的に使用できなくなる可能性があります。 ## [](#関連情報)関連情報 - [監査ログの保持期間](https://docs.mulesoft.com/jp/access-management/audit-log-retention) - [監査ログクエリ API](https://anypoint.mulesoft.com/exchange/portals/anypoint-platform/f1e97bc6-315a-4490-82a7-23abe036327a.anypoint-platform/audit-log-query-api) - [Anypoint MQ 監査ログ](https://docs.mulesoft.com/jp/mq/mq-audit-logs) # 監査ログの保持期間 [監査ログ](https://docs.mulesoft.com/jp/access-management/audit-logging)​のデフォルトの保持期間は 1 年間です。組織が 2023 年 7 月 10 日より前に作成され、保持期間を手動で変更しなかった場合、保持期間は 6 年間です。「Audit Log Config Manager (監査ログ設定マネージャー)」権限と「Organization Administrator (組織のシステム管理者)」権限を持つユーザーは、組織の監査ログの保持期間を設定できます。 ログファイルを 6 年以上保持するには、定期的にログをダウンロードしてください。 組織の監査ログの保持期間を確認するには、ルート組織の設定で保持期間を確認するか、 [監査ログ API](https://anypoint.mulesoft.com/exchange/portals/anypoint-platform/f1e97bc6-315a-4490-82a7-23abe036327a.anypoint-platform/audit-log-query-api/minor/1.0/console/method/%23341/)​ を使用します。 保持期間を設定する場合: - 30 ～ 2190 日間の保持期間を指定できます。 - 新しい保持期間が有効になる日付は、現在の日付から 7 日後以降である必要があります。 - 新しい保持期間を設定すると、組織のコンプライアンスポリシーに影響します。 ## [](#始める前に)始める前に 使用を開始する前に、次の権限があるアカウントを持っていることを確認してください。 - Audit log config manager (監査ログ設定マネージャー) - Organization administrator (組織のシステム管理者) (ユーザーインターフェースを使用して保持期間を設定する場合にのみ必要です。API を使用している場合、この権限は必要ありません。) 組織は、\[Access Management (アクセス管理)\] で ​**\[Try new features (新機能を試す)\]**​ またはチーム機能が有効になっている必要もあります。 ## [](#監査ログの保持期間を設定する)監査ログの保持期間を設定する 1. 「Organization Administrator (組織のシステム管理者)」権限と「Audit Log Config Manager (監査ログ設定マネージャー)」権限のあるアカウントを使用して、Anypoint Platform にログインします。 2. ナビゲーションバーまたは Anypoint Platform のメインページで、​**\[Access Management (アクセス管理)\]**​ をクリックします。 3. **\[Business Groups (ビジネスグループ)\]**​ メニューで、ルート組織を選択します。 4. **\[Settings (設定)\]**​ タブをクリックします。 5. **\[Audit Log Retention Period (監査ログの保持期間)\]**​ の横にある鉛筆アイコンをクリックします。 6. **\[Days (日数)\]**​ 項目に 30 ～ 2190 の値を入力します。 7. **\[Date Effective (発効日)\]**​ 項目で、新しい保持期間を開始する日付を選択します。 8. **\[Save Changes (変更を保存)\]**​ をクリックします。 新しい保持期間と発効日を確認する警告が表示されます。 9. **\[Confirm (確認)\]**​ をクリックします。 新しい監査ログの保持期間は、指定した日付の 0:0:00 UTC に有効になります。 ## [](#関連情報)関連情報 - [監査ログ](https://docs.mulesoft.com/jp/access-management/audit-logging) - [監査ログ API](https://anypoint.mulesoft.com/exchange/portals/anypoint-platform/f1e97bc6-315a-4490-82a7-23abe036327a.anypoint-platform/audit-log-query-api/minor/1.0/console/method/%23343/) # 組織 Anypoint Platform アカウントを作成すると、ルート組織が作成され、組織のオーナーとして割り当てられます。組織のオーナーは自動的に組織のシステム管理者権限を継承します。 組織名は、最初の Anypoint Platform サインアップフォームの ​**\[Company (会社)\]**​ 項目に入力した名前です。この名前は組織設定で変更できます。 組織とは、複数のユーザーがアプリケーションや環境などのリソースを共有できるアカウントです。ユーザーがさまざまなリソースに対して持つアクセス権のレベルは、割り当てられたロールおよび権限によって異なります。たとえば、1 人のユーザーが API アラートを管理する権限を持っているのに対して、もう 1 人のユーザーが API アラートを表示する権限しか持たないこともあります。 Anypoint Platform にログインすると、組織のアイコンおよび名前がページの右上に表示されます。ルート組織には複数のビジネスグループを含めることができます。ビジネスグループとは、サブ組織、またはルート組織の子として考えることができます。組織のアイコンをクリックして、ビジネスグループ間を移動します。 ## [](#組織のオーナー)組織のオーナー Anypoint Platform アカウントに最初にサインアップしたユーザーが組織のオーナーに指定されます。これは割り当てられる権限ではなく、この 1 人のユーザーの識別子です (Anypoint Platform アカウントの作成者)。オーナーにはデフォルトで組織のシステム管理者権限が割り当てられます。組織の所有権を別のユーザーに移行した場合、以前の組織のオーナーは、組織のシステム管理者権限を取り消さない限り、その権限を保持します。 以降、組織階層内で作成されたすべてのビジネスグループにはオーナーを割り当てる必要があります。ビジネスグループのオーナーとして割り当てることができるのは組織のシステム管理者権限を持つユーザーのみです。組織のシステム管理者はビジネスグループのオーナーの割り当ておよび変更ができます。1 つのビジネスグループに同時に複数のオーナーを割り当てることはできません。組織のシステム管理者権限は組織のオーナーから削除できません。 _組織のシステム管理者_​権限を持つ Anypoint Platform ユーザーは次のようなタスクを実行できます。 - 組織にユーザーを招待する - Anypoint Platform で権限を定義するチームまたはロールにユーザーを割り当てる - ユーザーの編集や、組織からのユーザーの削除を行う - ビジネスグループのオーナーの割り当てや変更を行う - 組織設定を行う - チームを作成および管理する - ルート組織、ビジネスグループ、および環境のクライアント ID とクライアントシークレットを表示する - 組織の API の分析にアクセスする - ビジネスグループを作成し、リソースの管理を委任してロールおよび権限のスコープを定義する - ビジネスグループレベルで追加のプロパティを設定する。 ## [](#組織ページ)組織ページ **\[Organization (組織)\]**​ ページでは次の操作を実行できます。 - 参照権限があるすべての組織の階層ツリーを表示する。名前をクリックすれば、組織のプロパティを表示して編集できます。 - グループの名前をクリックしてその情報を表示して編集する。表示および編集できる内容は権限によって異なります。
組織の名前またはドメイン名を変更すると、組織の既存の API Portal へのディープリンクが変更されます。
- ビジネスグループを追加および削除する (有効である場合)。 ## [](#組織にアクセスする)組織にアクセスする 1. 組織のシステム管理者権限を持つアカウントを使用して Anypoint Platform にログインします。 2. ナビゲーションバーまたは Anypoint Platform のメインページで、​**\[Access Management (アクセス管理)\]**​ をクリックします。 3. \[Access Management (アクセス管理)\] ナビゲーションメニューで、​**\[Business Groups (ビジネスグループ)\]**​ をクリックします。 4. ルート組織の名前をクリックします。 ## [](#クライアント-id-とクライアントシークレット)クライアント ID とクライアントシークレット 各ルート組織、環境、ルート組織内のビジネスグループには、独自に関連付けられた一意のクライアント ID とクライアントシークレットがあります。これらは、組織のシステム管理者以外のユーザーが組織内のアセットにアクセスするための認証に使用されます。クライアント ID およびパスワードは作成した各環境について Anypoint Platform によって生成され、グローバルに一意です。 プロキシまたは API を CloudHub にデプロイするには、これらの値を使用して顧客がホストする Mule Runtime または従来の API ゲートウェイを設定する必要があります。
組織レベルのクライアント ID とクライアントシークレットは後方互換性のみがサポートされます。新しい Anypoint Platform アカウントでは、代わりに環境のクライアント ID とクライアントシークレットを使用します。​「環境」​を参照してください。
### [](#環境のクライアント-id-とシークレットを表示する)環境のクライアント ID とシークレットを表示する 1. 組織のシステム管理者権限を持つアカウントを使用して Anypoint Platform にログインします。 2. ナビゲーションバーまたは Anypoint Platform のメインページで、​**\[Access Management (アクセス管理)\]**​ をクリックします。 3. \[Access Management (アクセス管理)\] ナビゲーションメニューで、​**\[Business Groups (ビジネスグループ)\]**​ をクリックします。 4. ルート組織の名前をクリックします。 5. **\[Environments (環境)\]**​ タブをクリックします。 6. 環境の名前をクリックします。 7. クライアントシークレットの横で、​**\[Show (表示)\]**​ をクリックします。 ### [](#組織のクライアント-id-とシークレットを表示する)組織のクライアント ID とシークレットを表示する 1. 組織のシステム管理者権限を持つアカウントを使用して Anypoint Platform にログインします。 2. ナビゲーションバーまたは Anypoint Platform のメインページで、​**\[Access Management (アクセス管理)\]**​ をクリックします。 3. \[Access Management (アクセス管理)\] ナビゲーションメニューで、​**\[Business Groups (ビジネスグループ)\]**​ をクリックします。 4. ルート組織の名前をクリックします。 5. **\[Settings (設定)\]**​ タブをクリックします。 6. クライアントシークレットの横で、​**\[Show (表示)\]**​ をクリックします。

  • 新しい Anypoint Platform アカウントでは、クライアント ID およびシークレットは組織ではなく環境に適用されます。​「環境」​を参照してください。

  • 環境または組織のクライアントシークレットを変更するには、 このヘルプ記事​を参照するか、カスタマーサポート担当者にお問い合わせください。
## [](#ルート組織設定を管理する)ルート組織設定を管理する これらの設定を管理できるのは、組織のシステム管理者権限を持つユーザーのみです。 組織のシステム管理者は組織の名前、ドメイン名、そのユーザーのセッションタイムアウトを変更できます。 これらの設定を変更するには、次の手順を実行します。 1. 組織のシステム管理者権限を持つアカウントを使用して Anypoint Platform にログインします。 2. ナビゲーションバーまたは Anypoint Platform のメインページで、​**\[Access Management (アクセス管理)\]**​ をクリックします。 3. \[Access Management (アクセス管理)\] ナビゲーションメニューで、​**\[Business Groups (ビジネスグループ)\]**​ をクリックします。 4. ルート組織の名前をクリックします。 5. **\[Settings (設定)\]**​ タブをクリックします。 6. 以下のいずれかの設定を変更し、​**\[Save changes (変更を保存)\]**​ をクリックします。 - **Organization name (組織名)**​: これは、会社の名前など、任意に設定できます。 - **Domain name (ドメイン名)**​: 異なるユーザーが同じ会社名を使用して複数の組織を作成することはできますが、各組織のドメイン名は一意である必要があります。 - **Owner (オーナー)**​: 組織のオーナーの識別子。 - **Default session timeout (デフォルトのセッションタイムアウト)**​: ユーザーが操作をせずに Anypoint Platform から自動的にログアウトされるまでの時間 (分) を設定します。デフォルトは 60 分で、最小は 15 分、最大は 180 分です。 - **Confidentiality Notification (守秘義務に関する通知)**​: ユーザーが組織にログインしたときに表示されるカスタムポップアップを作成します。文字制限は 1000 文字の英数字と記号 ​`@`​、​`:`​、​`?`​、​`!`​、​`,`​、​`.`​、​`;`​、​`'`​、​`_`​、​`-`​ です。​`\n`​ を使用して改行を追加し、​`\t`​ を使用してタブを追加することもできます。この項目を空白のままにすると、ユーザーはログイン時に通知を受け取りません。 組織 ID、クライアント ID、クライアントシークレットを表示することもできます。これらの値はルート組織に適用され、そこに含まれるすべてのビジネスグループの権限が付与されます。 組織の​[多要素認証設定](https://docs.mulesoft.com/jp/access-management/multi-factor-authentication)​を変更するには、\[Access Management (アクセス管理)\] ナビゲーションメニューで ​**\[Identity Providers (ID プロバイダー)\]**​ をクリックします。2022 年 4 月 30 日以降に作成された組織では、デフォルトですべてのユーザーに対して多要素認証が必要になります。 ## [](#組織またはビジネスグループの制限を表示する)組織またはビジネスグループの制限を表示する それぞれのルート組織とビジネスグループには、Anypoint Platform によって課された制限にどれだけ近づいているかを示す ​**\[Limits (制限)\]**​ セクションがあります。 制限を表示する手順は、次のとおりです。 1. \[Access Management (アクセス管理)\] ナビゲーションメニューで、​**\[Business Groups (ビジネスグループ)\]**​ をクリックします。 2. アクセスするビジネスグループの名前をクリックします。 **\[Settings (設定)\]**​ セクションが表示され、ルート組織またはビジネスグループに関する詳細が表示されます。 3. 制限を表示する組織またはビジネスグループをクリックします。 4. **\[Limits (制限)\]**​ タブをクリックします。 アクセス管理での制限についての詳細は、​[「制限」](https://docs.mulesoft.com/jp/access-management/troubleshooting-anypoint-platform-access#access-management-limits)​を参照してください。 ## [](#組織-id-を見つける)組織 ID を見つける 操作の中には組織 ID (​_orgId_​) を指定しなければならないものがあります。また、特定の種別の要求を作成するときも、ビジネスグループやルート組織を指定する orgId が必要です。 orgId は、Anypoint CLI コマンドを実行するか、Anypoint Platform REST API を呼び出すトークンを使用して、組織 URL から取得できます。 ### [](#組織-url)組織 URL Anypoint Platform にログインしたら、 [ビジネスグループ](https://anypoint.mulesoft.com/accounts/businessGroups)​にアクセスして orgId を表示できます。 1. Anypoint Platform にログインします。 2. ナビゲーションバーまたは Anypoint Platform のメインページで、​**\[Access Management (アクセス管理)\]**​ をクリックします。 3. 新しい機能 UI を使用している場合 (チーム機能が有効): 1. \[Access Management (アクセス管理)\] ナビゲーションメニューで、​**\[Business Groups (ビジネスグループ)\]**​ をクリックします。 2. ルート組織とビジネスグループからなるツリーで、ルート組織またはビジネスグループをクリックします。 ブラウザーのアドレスバーに URL が ​`[https://anypoint.mulesoft.com/accounts/businessGroups/](https://anypoint.mulesoft.com/accounts/businessGroups/\);`​ という形式で表示されます。 この例の ​`XXXXXXX-XXXX-XXXX-XXXX-XXXXXXX`​ が組織の orgId で、URL の ​`businessGroups/`​ の後に表示されます。 4. 従来の UI を使用している場合 (チーム機能が無効): 1. \[Access Management (アクセス管理)\] ナビゲーションメニューで、​**\[Organization (組織)\]**​ をクリックします。 ルート組織とビジネスグループからなるツリーが表示されます。 2. ルート組織またはビジネスグループをクリックします。 **\[Organization Id (組織 ID)\]**​ 項目に組織 ID が表示されます。 ## [](#anypoint-cli)Anypoint CLI Anypoint CLI (コマンドラインインターフェース) ツールを使用して ​[account business-group](https://docs.mulesoft.com/jp/anypoint-cli/latest/#account-business-group-list)​ を実行すれば、ビジネスグループ、その種別、組織 ID のリストを取得できます。最初に Anypoint CLI をインストールする必要があります。 たとえば、​`account business-group list`​ を実行すると、組織情報が次の形式で表示されます。
名前 型 ID

Great Company

Root (ルート)

12345678-7831-8734-9999-a0a0a0a0a0a0

Retail

Business unit

abcdef01-1234-53e1-a3b4-b0b0b0b0b0b0

Engineering

Business unit

87654321-abcd-e8e2-bab4-c0c0c0c0c0c0
この例では、​`Root`​ の横の ID が orgId です。 ## [](#anypoint-platform-rest-api)Anypoint Platform REST API Anypoint Platform REST API を呼び出すトークンを取得するには、 [「How to generate your Authorization Bearer token for Anypoint Platform (Anypoint Platform 用の認証ベアラートークンの生成方法)」](https://help.mulesoft.com/s/article/How-to-generate-your-Authorization-Bearer-token-for-Anypoint-Platform)​を参照してください。次に、このトークンを使用して URL ​`[https://anypoint.mulesoft.com/accounts/api/me](https://anypoint.mulesoft.com/accounts/api/me)`​ を呼び出します。 次に例を示します。 `$ curl -H "Authorization: Bearer [YOUR_ACCESS_TOKEN]" [https://anypoint.mulesoft.com/accounts/api/me](https://anypoint.mulesoft.com/accounts/api/me)` ## [](#組織でのリソースの共有)組織でのリソースの共有 組織で作成したすべての API バージョンおよび CloudHub 環境へは、組織内のユーザーしかアクセスできません。 ユーザーにリソースを共有させるには、そのユーザーを組織に参加するように招待し、そのユーザーが招待を受け入れて招待フォームを送信した組織に参加する必要があります。詳細は、​[ユーザーの招待](https://docs.mulesoft.com/jp/access-management/users#inviting-users)​についての説明を参照してください。

組織名 (会社名であることが多い) は一意であるとは限らないため、招待されたユーザーが組織に参加し、ルート組織に関連付けられた会社名を使用するだけでは不十分です。組織情報で設定するドメイン名によって、自分の組織と他の組織が区別されます。

招待されたユーザーは受信した招待メールのリンクを使用して組織に参加する必要があります。
組織が外部統合 ID システムを使用するように設定されている場合、ユーザーは外部 ID プロバイダーによって認証されるため、招待する必要はありません。 ユーザーが組織に参加したら、割り当てられた権限またはロールに関連付けられたリソースに対してアクセスできるようになります。権限を割り当てて組織内のさまざまなリソースへのアクセス権をユーザーに付与することができます。ベストプラクティスとしては、ユーザーが最初にサインインしたときにロールが有効になるように、組織に参加するように招待するのと同時にユーザーに権限を割り当てます。詳細は、​[ロール](https://docs.mulesoft.com/jp/access-management/managing-permissions)​についての説明を参照してください。 組織にビジネスグループが含まれている場合、各グループ内の権限を付与することで、複数のビジネスグループに対するアクセス権をユーザーに付与することができます。 ## [](#anypoint-platform-への-mulesoft-composer-の接続)Anypoint Platform への MuleSoft Composer の接続 MuleSoft Composer と Anypoint Platform の両方を使用している組織は 2 つの製品を接続できます。 Anypoint Platform にコンポーザーをリンクする手順は、次のとおりです。 1. 組織のシステム管理者権限を持つアカウントを使用して Anypoint Platform にログインします。 2. ナビゲーションバーまたは Anypoint Platform のメインページで、​**\[Access Management (アクセス管理)\]**​ をクリックします。 3. \[Access Management (アクセス管理)\] ナビゲーションメニューで、​**\[Composer Sync (Composer の同期)\]**​ をクリックします。 4. **\[Composer Sync Orgs (コンポーザー同期組織)\]**​ ページで、​**\[Add Composer Orgs (コンポーザー組織を追加)\]**​ をクリックします。 5. **\[Add organization (組織を追加)\]**​ ウィンドウの ​**\[Organization ID (組織 ID)\]**​ ボックスに、コンポーザー組織を入力して ​**\[Add (追加)\]**​ をクリックします。
コンポーザー組織 ID は、​[Composer (コンポーザー)]​ > ​[Settings (設定)]​ > ​[Account (アカウント)]​ > ​[General Information (一般情報)]​ に移動して確認できます。
Anypoint Platform をコンポーザーに同期するリンクが記載されたメールが生成され、コンポーザー組織のシステム管理者に送信されます。 ## [](#関連情報)関連情報 - [ビジネスグループ](https://docs.mulesoft.com/jp/access-management/business-groups) - [ロール](https://docs.mulesoft.com/jp/access-management/roles) - [チーム](https://docs.mulesoft.com/jp/access-management/teams) - [権限の管理](https://docs.mulesoft.com/jp/access-management/managing-permissions) - [環境](https://docs.mulesoft.com/jp/access-management/environments) # 組織のシステム管理者向けの接続アプリケーション 組織のシステム管理者は、\[Access Management (アクセス管理)\] で接続アプリケーションを表示および管理できる唯一のユーザーです。認証ポリシーを使用して、ユーザーデータへのアクセスを認証できるアプリケーションを指定し、ユーザーが使用するアプリケーションを許可リストに登録できます。 接続アプリケーションを管理するには、​**\[Access Management (アクセス管理)\]**​ に移動して ​**\[Connected Apps (接続アプリケーション)\]**​ タブを選択します。​**\[Owned Apps (所有アプリケーション)\]**​ セクションでアプリケーションを追加し、​**\[Authorizations (認証)\]**​ セクションでアプリケーションのアクセスを管理できます。 **\[Owned Apps (所有アプリケーション)\]**​ セクションについての詳細は、​[アプリケーション開発者](https://docs.mulesoft.com/jp/access-management/connected-apps-developers)​向けのドキュメントを参照してください。 セキュリティを維持するために、\[Access Management (アクセス管理)\] で接続アプリケーションを表示および管理できるのはルートレベルの組織のシステム管理者のみになっています。 ## [](#認証)認証 **\[Authorizations (認証)\]**​ セクションを使用して、ユーザーのデータへのアクセスが認証されているアプリケーションを管理します。アプリケーションの横にある ​**\[…​\]**​ アイコンをクリックして、詳細を表示したり、組織からアプリケーションを削除したります。 アプリケーションのアクセスを取り消すと、アプリケーションの OAuth 2.0 アクセストークンと更新トークンが取り消され、アプリケーションはユーザーデータにアクセスできなくなります。 ユーザーに対して次の 2 種類のうちいずれかの認証ポリシーを設定できます。 - 無制限 組織のメンバーは、接続アプリケーションが自分の代わりにアクションを実行することを認証できます。 - 制限あり 自分の代わりにアクションを実行することを組織のメンバーが認証できるのは、システム管理者によって許可リストに追加された接続アプリケーションのみです。 デフォルトでは、​**\[Unrestricted (無制限)\]**​ ポリシーが有効になっています。ポリシーを ​**\[Restricted (制限あり)\]**​ に変更すると、アプリケーションの許可リストが有効になり、既存のすべてのアプリケーション認証が自動的に追加されます。 **\[Restricted (制限あり)\]**​ ポリシーを使用する場合、すべての内部アプリケーションの自動承認を無効にすることができます。その場合、他の接続アプリケーションと同様に、各内部アプリケーションを許可リストに追加する必要があります。 ## [](#application-allowlist-admin)アプリケーション許可リスト 許可リストが有効になっている場合、組織のユーザーは許可リストに登録されているアプリケーションのみを使用できます。ユーザーが許可リストに登録されていないアプリケーションを認証しようとすると、組織のシステム管理者に問い合わせるよう求められます。 ![アプリケーションが許可リストに登録されていない場合にユーザーに表示されるインターフェース](/mulesoft/current/ja-jp/access-management/_images/connected-apps-allowlist-blocked.png) 組織のシステム管理者は、エンドユーザーから提供されたリンクを辿ることでアプリケーションを許可リストに追加できます。 ![システム管理者がアプリケーションを許可リストに追加するときに表示されるインターフェース](/mulesoft/current/ja-jp/access-management/_images/connected-apps-add-to-allowlist.png) 場合によっては、アプリケーションから追加スコープが要求されることがあります。これは、アプリケーション開発者が製品に新機能を追加し、組織内のより多くのデータにアクセスする必要がある場合に発生します。 以前許可リストに登録されたアプリケーションにユーザーが新しいセットのスコープを提供するには、それらの追加スコープを使用してそのアプリケーションを再度許可リストに追加する​_必要があります_​。 ![システム管理者がアプリケーションを許可リストに再追加するときに表示されるインターフェース](/mulesoft/current/ja-jp/access-management/_images/connected-apps-add-to-allowlist-again.png) アプリケーションが再度許可リストに追加されない限り、既存の認証が機能し続けます。許可リストにすでに登録されているスコープのセットを使用した新規認証も許可されます。 スコープを削除したアプリケーションを再度許可リストに追加する必要はありません。

同じ組織のユーザーによって作成されたアプリケーションは​内部アプリケーション​としてマークされ、手動で許可リストに登録する必要はありません。
## [](#ルート組織とビジネスグループ)ルート組織とビジネスグループ デフォルトでは、接続アプリケーションはビジネスグループ (サブ組織) レベルではなくルート組織レベルで設定されます。 クライアントログイン情報を使用して独自に動作する接続アプリケーションを作成する場合、スコープを選択した後で、それを有効にするルート組織またはビジネスグループを選択できます。 ユーザーの代理となる接続アプリケーションは、ユーザーがアクセスできるスコープ、組織、およびビジネスグループに基づいて、独自のアクセスと権限を受け取ります。 # 開発者向けの接続アプリケーション Anypoint Platform には、開発者が機能を拡張するために使用できる [一連の API](https://anypoint.mulesoft.com/exchange/portals/anypoint-platform/)​ が用意されています。 接続アプリケーション機能では、開発者は API を使用してプログラムで Anypoint Platform とやりとりするアプリケーションにアクセスを委任できます。 接続アプリケーション機能を使用して CI/CD パイプラインをビルドしたり、Anypoint Platform で追加のサードパーティユースケースを製品化したりできます。 ユーザーを認証する新しいフローの有効化に加えて、開発者はクライアントを有効または無効にし、クライアントの使用状況を表示できます。 たとえば、開発者はアプリケーションを使用している組織数とアクセス権を持つユーザー数を確認できます。 接続アプリケーション機能は、OAuth 2.0 と OpenID Connect をサポートします。そのため、開発者はアプリケーションでトークンを使用してユーザーデータへのアクセスを要求できるようにする必要があります。 サポートされる具体的な OpenID Connect の機能を確認するには、 [検出エンドポイント](https://anypoint.mulesoft.com/accounts/api/v2/oauth2/.well-known/openid-configuration)​で提供されている情報を参照してください。 エンドポイントのすべてのスコープは、Anypoint Platform で使用可能な権限に直接マップされますが、いくつかの例外が​**「エンドポイントのスコープ」**​セクションに記載されています。 エンドユーザーに一貫した認証環境を提供するため、独自の Web サイトまたは Web アプリケーションを使用するサードパーティの開発者は、​**\[Sign in with Anypoint Platform (Anypoint Platform でサインイン)\]**​ オプションを使用したログインをユーザーに許可できます。
組織のシステム管理者権限を持つ開発者のみが、Anypoint Platform でアプリケーションを作成してアクセススコープを指定できます。
## [](#接続アプリケーションの作成)接続アプリケーションの作成 - 組織が所有できる接続アプリケーションは 2000 個までで、各接続アプリケーションには 1000 個までのスコープを設定できます。 - アプリケーションは組織が所有します。組織のシステム管理者がそれを制御できます。 - 一意の ​`clientID`​ が自動的に割り当てられ、変更できません。​`clientSecret`​ にはデフォルトで有効期限はありませんが、変更できます。 また、アプリケーションが会社の内部にあるか、組織の外部に配布できるサードパーティのアプリケーションであるかを判断する必要があります。アプリケーションを作成する手順は、次のとおりです。 1. \[Access Management (アクセス管理)\] ナビゲーションメニューで、​**\[Connected Apps (接続アプリケーション)\]**​ をクリックします。 2. **\[Owned Apps (所有アプリケーション)\]**​ セクションで、​**\[Create App (アプリケーションを作成)\]**​ をクリックします。 3. **\[Create App (アプリケーションを作成)\]**​ ページで、次の項目に入力します。 1. Name (名前) アプリケーションの一意の名前。 2. **Type (種別)**​ 作成する接続アプリケーションの種別。選択した種別に基づいて、必須項目は異なります。 3. **Grant Type (許可種別)**​ このアプリケーションで使用する許可種別。 注意: 選択した許可種別によっては、追加情報が必要になる場合があります。許可種別についての詳細は、​[「許可種別とトークンフロー」](#grant-types-and-token-flow)​を参照してください。 4. **Website URL (Web サイト URL)**​ ユーザーはこの URL にアクセスしてアプリケーションの詳細を確認できます。 5. **Redirect URIs (リダイレクト URI)**​ 認証後にユーザーを誘導する URI を設定します。URL を入力し、​**\[Add (追加)\]**​ をクリックしてリストに追加します。 6. **Scopes (スコープ)**​ アプリケーションに付与する権限のレベル。​**\[Add Scopes (スコープを追加)\]**​ をクリックしてスコープを選択します。詳細は、​[「エンドポイントのスコープ」](#endpoint-scopes)​を参照してください。 4. **\[Save (保存)\]**​ をクリックします。

接続アプリケーションの所有権は、接続アプリケーションを作成したユーザーが次の状態の場合にルート組織のオーナーに移行されます。

  • 削除されている。

  • ルート組織から削除されている。

  • 組織に対する管理者権限を失った。

組織のシステム管理者は、接続アプリケーションのオーナーを編集し、所有権を他のシステム管理者に移行できます。このためには、[Access Management (アクセス管理)] > ​[Connected Apps (接続アプリケーション)]​ > ​[Owned Apps (所有アプリケーション)]​ でアプリケーション名をクリックし、適切な編集を行います。
### [](#接続アプリケーションのクライアントシークレットを変更する)接続アプリケーションのクライアントシークレットを変更する 1. \[Access Management (アクセス管理)\] ナビゲーションメニューで、​**\[Connected Apps (接続アプリケーション)\]**​ をクリックします。 2. リストから接続アプリケーションをクリックして、編集モードを有効にします。 3. **\[Secret (シークレット)\]**​ 項目で、任意のシークレットを入力します。 4. **\[Save (保存)\]**​ をクリックします。 ![接続アプリケーションの編集モード](/mulesoft/current/ja-jp/access-management/_images/connected-apps-edit-mode.png) +
1接続アプリケーションのオーナーの名前とユーザー名
2接続アプリケーションの名前
3接続アプリケーションの ID
4接続アプリケーションのクライアントシークレット
## [](#application-allowlist-dev)アプリケーション許可リスト 組織のシステム管理者権限を持つユーザーは許可リストを有効にして、ユーザーのデータにアクセス可能なアプリケーションを制御できます。 アプリケーションが許可リストに追加されている場合、そのアプリケーションに関連付けられたスコープのセットのみがシステム管理者によって確認および承認されます。 後日アプリケーションに新しいスコープを追加した場合、システム管理者がアプリケーションを再承認するまで、ユーザーからそれらのスコープを要求することはできません。 許可リストに以前に登録されているスコープのセットを使用した既存の認証と新規認証は引き続き機能します。 詳細は、​[「システム管理者向けの接続アプリケーション」](https://docs.mulesoft.com/jp/access-management/connected-apps-org-admin#application-allowlist-admin)​を参照してください。 ## [](#grant-types-and-token-flow)許可種別とトークンフロー OAuth フレームワーク仕様に、さまざまなユースケースのアクセストークンを取得するためのいくつかの許可種別が説明されています。 Anypoint Platform では、​`authorization_code`​、​`refresh_token`​、​`password`​、​`jwt_bearer`​、​`client_credentials`​ 許可種別がサポートされています。 各許可種別の使用方法の詳細と例は、アクセス管理 API の [「Connected App Examples (接続アプリケーションの例)」](https://anypoint.mulesoft.com/exchange/portals/anypoint-platform/f1e97bc6-315a-4490-82a7-23abe036327a.anypoint-platform/access-management-api/minor/1.0/pages/Connected%20App%20Examples/)​を参照してください。 ### [](#認証コード)認証コード `authorization_code`​ 許可種別は通常、アプリケーションがユーザーのデータにアクセスすることを認証するために使用されます。認証コード許可種別のサンプルフローは次のようになります。 1. 開発者は、​`authorization_code`​ 許可種別を使用して、ユーザーの代わりにアクションを実行する接続アプリケーションを作成します。 2. エンドユーザーは、アプリケーションが自分の代わりにアクションを実行することを認証します。 3. 認証サーバーは、仮の認証コードをリダイレクト URI に送り返します。 4. アプリケーションは、その仮のコードを使用して認証サーバーをコールし、アクセストークンを受け取ります。 これで、アクセストークンを使用して、ユーザーの代わりに Anypoint Platform API をコールできます。 ### [](#refresh-token-更新トークン)Refresh Token (更新トークン) `refresh_token`​ 許可種別は、ユーザーがログインしていないときにユーザーデータへのアクセス権を付与するために使用されます。 OpenID Connect を使用するには、ユーザーデータに継続してアクセスするための最初の認証後に、アプリケーションで更新トークンを新しいアクセストークンとエクスチェンジする必要があります。 更新トークンは 90 日後に期限切れになります。 ユーザーのセッションの有効期限が切れると、アクセストークンは期限切れになります。 アプリケーションが認証コード許可種別を使用している場合、元のアクセストークンが期限切れになった後に ​`offline_access`​ スコープは更新トークンを使用する必要があります。 新しいアクセストークンを要求するには、​`refresh_token`​ 許可種別を使用してトークンエンドポイントに要求を送信する必要があります。 認証に成功すると、更新トークンがアクセストークンとエクスチェンジされます。 ### [](#パスワード)パスワード `password`​ 許可種別は、アプリケーションがユーザーのユーザー名とパスワードをアクセストークンとエクスチェンジするときに使用されます。 アプリケーションはユーザーのログイン情報を収集する必要があり、多要素認証などのメカニズムがないため、この許可種別を使用することはお勧めしません。 ### [](#jwt-ベアラー)JWT ベアラー `jwt_bearer`​ (​`urn:ietf:params:oauth:grant-type:jwt-bearer`​) 許可種別は、アプリケーションが clientSecret などの機密情報を送信せずにアクセストークンを受け取る必要がある場合に使用されます。 信頼済みのクライアントで使用し、ユーザー認証なしで保護されたリソースにアクセスする場合に適しています。 JWT ベアラー許可種別のサンプルフローは次のようになります。 1. 開発者は、許可種別として ​`jwt_bearer`​ を使用して、ユーザーの代わりにアクションを実行する接続アプリケーションを作成します。 2. JWT トークンエクスチェンジは、ペイロード内の次のクレームで発生します。+
属性 説明

iss

クレームの発行者。この値は、接続アプリケーションの ​clientId​ と同じである必要があります。

sub

次のようなトークンの件名。

{version}|{identityProviderId}|{username}|{firstname}|{lastname}|email|externalgroups
At minimum, identityProvider_id and username are required for sub, as these subjects identify the user in the system.

aud

認証サーバー。たとえば、US リージョンの認証サーバーは ​https://anypoint.mulesoft.com/accounts/api/v2/oauth2/token​ です。
3. アプリケーションは、生成されたアサーションを使用して認証サーバーをコールします。 ### [](#クライアントログイン情報)クライアントログイン情報 `client_credentials`​ 許可種別は、データへのアクセスに特定のユーザーの権限が不要なマシン間の認証に適しています。 クライアントの ​`clientId`​ と ​`clientSecret`​ を使用して、保護されたデータを認証してアクセスします。 サービスアカウントを使用してプログラムで Anypoint Platform をコールする CI/CD パイプラインは、​[多要素認証](https://docs.mulesoft.com/jp/access-management/multi-factor-authentication)​の設定時にサービスの中断を防ぐために、接続アプリケーションを使用するように設定できます。 ## [](#endpoint-scopes)エンドポイントのスコープ [検出ポイント](https://anypoint.mulesoft.com/accounts/api/v2/oauth2/.well-known/openid-configuration)​のほとんどのスコープは、Anypoint Platform の既存の権限に直接マップされます。その他の使用可能なスコープは次のように定義されます。 - `full`​: ユーザーが可能なすべてのものへのフルアクセス。 - `read:full`​: ユーザーが参照可能なすべてのものへの参照のみアクセス。 - `openid`​: ユーザーのユーザー名と一意の Anypoint ID への参照のみアクセス。 - `profile`​: ユーザーの Anypoint プロファイルへの参照のみアクセス。 - `email`​: ユーザーのメールへの参照のみアクセス。 - `offline_access`​: ユーザーがログインしていない場合のユーザーのデータへのアクセス。 - `openid:google_wif`​: `client_credentials`​ 接続アプリケーションの OAuth2 トークンフロー中に ​`id_token`​ とアクセストークンを提供することで、Anypoint を Google Cloud の IdP として設定できます。この ID トークンは、 [GCP の WIF 要件](https://cloud.google.com/iam/docs/workload-identity-federation-with-other-providers)​に示されている IdP 要件に準拠します。
client_credentials​ 許可種別を使用するアプリケーションには、常に暗黙的に ​profile​ スコープが割り当てられます。スコープを使用したクエリによって返されるデータは、接続アプリケーションを作成したユーザーに対応します。
接続アプリケーション機能のスコープと権限の詳細は、Access Management のスコープドキュメントページを参照してください。 1. \[Access Management (アクセス管理)\] ナビゲーションメニューで、​**\[Connected Apps (接続アプリケーション)\]**​ をクリックします。 2. **\[Connected Apps (接続アプリケーション)\]**​ ページで、​**\[Scopes Documentation (スコープドキュメント)\]**​ タブをクリックします。 **\[Scopes Documentation (スコープドキュメント)\]**​ ページが表示され、スコープ、それぞれの権限、それぞれが属する製品が表示されます。 3. 検索バーと検索条件を使用して、名前、表示名、権限メソッド、サポートされているアプリケーション種別、または製品の表示ラベルに基づいてスコープを見つけます。 4. スコープのリストで、スコープ名をクリックして、関連付けられた権限を表示し、スコープの詳細を確認します。 **\[Scopes Documentation (スコープドキュメント)\]**​ ページのコンテンツを絞り込んだり、スコープ名をクリックして名前空間、メソッド、アクションを表示したりできます。 ## [](#anypoint-platform-ウィジェットを使用したログイン)Anypoint Platform ウィジェットを使用したログイン シームレスな実装のために、開発者は事前作成済みのテンプレートとコンポーネントセットを使用して、アプリケーションのフロントエンドにボタンを統合できます。次のコードを使用して、このウィジェットを追加できます。 ボタンを埋め込む方法についての詳細は、 [開発者プレイグラウンド](https://anypoint-web-components.github.io/anypoint-signin/)​を参照してください。