# ロールと権限

> Source: https://docs.lorel.ai/getting-started/roles-and-permissions/

Lorel.ai におけるアクセス制御の基本となる「組織ロール」および「プロジェクトロール」の権限モデル、できること、各種制約事項について説明します。

## 概要

Lorel.ai では、「組織」と「プロジェクト」の2つの階層で権限管理を行います。

- **組織ロール**: 組織全体の管理や契約・請求、プロジェクト作成・管理などを制御するロールです。「管理軸」と「機能スコープ軸」の直交モデルを採用しています。
- **プロジェクトロール**: 各プロジェクト内の Integration の設定、AI Agents の設定、Observability の設定、Rules の作成、Runbooks の作成・実行などを制御するロールです。明確な上下関係を持つ「階層構造モデル」を採用しています。

各ユーザーが実行できる操作は、付与された組織ロールおよびプロジェクトロールの組み合わせによって厳密に制御されます。

## できること一覧

組織およびプロジェクトで実行可能なユーザー・権限関連の操作一覧です。

| 分類 | 機能・操作 | 説明 | 必要なロール |
|---|---|---|---|
| 組織 | 組織参加ユーザー一覧の確認 | 組織に参加する全ユーザーの一覧を確認できます | 全ユーザー |
| 組織 | 組織へのユーザー招待 | メールアドレスを指定し、組織への招待を発行できます | 組織オーナー / マネージャー |
| 組織 | 組織参加ユーザーのロール変更 | 既存ユーザーの組織ロールを変更できます（オーナーとマネージャーで付与できるロールに差異あり） | 組織オーナー / マネージャー |
| 組織 | 組織参加ユーザーの削除 | 組織からユーザーを削除できます | 組織オーナー / マネージャー |
| 組織 | 組織からの脱退 | 自分自身を組織から脱退させることができます（※制約あり） | 全ユーザー |
| 組織 | プロジェクトの作成 | 組織にプロジェクトを作成できます | 組織オーナー / マネージャー |
| 組織 | プロジェクトの削除 | 組織内のプロジェクトを削除できます（※制約あり） | 組織オーナー / マネージャー |
| プロジェクト | プロジェクト一覧の確認 | プロジェクトの一覧を確認できます | 当該プロジェクトの参加ユーザー本人または組織オーナー / マネージャー |
| プロジェクト | プロジェクト参加ユーザー一覧の確認 | プロジェクトに参加するユーザーの一覧を確認できます | 当該プロジェクトの参加ユーザー本人または組織オーナー / マネージャー |
| プロジェクト | プロジェクトへの参加申請 | 参加制限のない（「参加申請可」タイプ）プロジェクトに対して、参加申請を行えます | ゲスト以外の全組織ロールのユーザー |
| プロジェクト | プロジェクトへのユーザー直接招待 | 組織参加ユーザーをプロジェクトに直接招待できます | プロジェクト管理者 |
| プロジェクト | プロジェクト参加申請の一覧確認 | プロジェクトに届いている参加申請の一覧を確認できます | プロジェクト管理者 |
| プロジェクト | プロジェクト参加申請の承認 | 他のユーザーからの参加申請を承認し、参加ユーザーとして追加できます | プロジェクト管理者 |
| プロジェクト | プロジェクト参加ユーザーのロール変更 | 既存のプロジェクト参加ユーザーのロールを変更できます | プロジェクト管理者 |
| プロジェクト | プロジェクト参加ユーザーの削除 | プロジェクトからユーザーを削除できます | プロジェクト管理者 |
| プロジェクト | プロジェクトからの脱退 | 自分自身をプロジェクトから脱退させることができます（※制約あり。また段階的に展開中の機能のため、ご利用の環境では表示されない場合があります） | プロジェクト参加者 |
| プロジェクト | プロジェクト内の機能・リソースの閲覧 | プロジェクト内に設定された Integration や Runbooks 等を閲覧できます。Access の「接続を試す」も実行できます | プロジェクト参加者 |
| プロジェクト | プロジェクト内の一部機能・リソースの使用 | インシデント・タスクのステータス変更（エスカレーションを除く）・コメント、Runbooks の実行操作（実行・再試行・スキップ等。クラウド操作を含む Runbook は、Runbook ごとの設定でワーカーに許可していない場合は編集者以上のみ）、Runbooks の無効化・下書きへの差し戻し | プロジェクト管理者/編集者/ワーカー |
| プロジェクト | プロジェクト内の全機能・リソースの使用 | 上記に加え、タスクの作成、インシデント・タスクの編集・削除、インシデントのエスカレーション、Integration（Sources・Access）の管理、各種定義（Rules・Runbooks 等）の作成・変更・削除（手動承認で有効化した Access を参照するステップを持つ Runbook では、ステップの追加・変更と複製は管理者のみ。有効化は、サブ Runbook 経由で参照する場合も管理者のみ）、ルールの無効化、Runbooks の複製、Runbooks の承認・否認 | プロジェクト管理者/編集者 |

## 組織ロールと権限モデル

組織ロールには オーナー / マネージャー / 経理 / メンバー / ゲスト の5種類があります。

組織全体の管理を担う「管理軸（オーナー・マネージャー）」と、特定の機能範囲を表す「機能スコープ軸（メンバー・経理・ゲスト）」という2つの軸が直交する設計となっており、全ロール間での単純な上位・下位の順序関係はありません。

すべての組織ロール（ゲストを含む）に共通して、組織ユーザー一覧の閲覧・自身が参加しているプロジェクトの閲覧・組織からの自身の脱退（※制約あり）が許可されています。

| 組織ロール | 権限の軸 | 主な権限・操作範囲 | ロールの付与・変更可能範囲 |
|---|---|---|---|
| オーナー | 管理軸 | 組織情報の編集、ユーザーの招待・ロール変更・削除、プロジェクトの作成・閲覧・編集・削除（未参加でも可）、契約・請求情報の閲覧・管理 | 全ロールの付与・変更が可能 |
| マネージャー | 管理軸 | 組織情報の編集、ユーザーの招待・ロール変更・削除、プロジェクトの作成・閲覧・編集・削除（未参加でも可）、「Billing」画面の参照、Customer Portal・銀行振込申請の操作（契約プランの変更申請、更新のキャンセル、請求書の閲覧は不可） | マネージャー/メンバー/ゲストのみ付与・変更可能（オーナー・経理の付与・変更は不可） |
| 経理 | 機能スコープ軸 | 請求・お支払いに関する大部分の機能へのアクセス（契約プランの変更申請・更新のキャンセルはオーナー限定。プラン変更は閲覧のみ可能） | 自身の権限範囲のみ |
| メンバー | 機能スコープ軸 | プロジェクト「参加申請可」タイプへの参加申請が可能 | 自身の権限範囲のみ |
| ゲスト | 機能スコープ軸 | 組織ユーザーとしての最低限の閲覧操作のみ（プロジェクトへの参加申請は不可） | なし |

## プロジェクトロールと権限モデル

プロジェクトロールは 管理者 / 編集者 / ワーカー / 閲覧者 の4種類です。上位ロールが下位ロールのすべての権限を内包する階層構造（強い順: 管理者 > 編集者 > ワーカー > 閲覧者）となっています。

| プロジェクトロール | 操作範囲・できること（下位ロールの権限をすべて内包） | 制限事項 |
|---|---|---|
| 閲覧者 | 各機能・リソースの閲覧・一覧確認 | すべての書き込み操作は不可 |
| ワーカー | （閲覧者に加えて）インシデント・タスクのステータス変更（エスカレーションを除く）・コメント、Runbooks の実行操作（クラウド操作を含む Runbook は、Runbook ごとの設定で許可した場合のみ）、Runbooks の無効化・下書きへの差し戻し | ルール・設定の変更は不可。インシデントのエスカレーションは不可。Runbooks の削除・複製は実行不可 |
| 編集者 | （ワーカーに加えて）タスクの作成、インシデント・タスクの編集・削除、インシデントのエスカレーション、Integration（Sources・Access）の管理、各種定義の作成・変更・削除・無効化（手動承認で有効化した Access を参照するステップを持つ Runbook では、ステップの追加・変更と複製は管理者のみ。有効化は、サブ Runbook 経由で参照する場合も管理者のみ）、Runbooks の承認・否認 | 参加ユーザー管理は不可。インシデントの手動作成は、どのロールでもできません（トリガールールの発火で自動起票されます） |
| 管理者 | （編集者に加えて）プロジェクトへのユーザー招待・削除・ロール変更、参加申請の一覧確認・承認、プロジェクトの手動承認の設定（手動承認による有効化の許可） | プロジェクト自体の編集・削除は組織オーナー/マネージャーのみ可能 |

### プロジェクト固有の重要権限ルール

- **手動承認の設定**: プロジェクトの手動承認による有効化の許可を設定できるのは、そのプロジェクトの管理者のみです。この権限は組織ロールに関係なく、プロジェクトロール単体で独立して判定されます。
- **プロジェクト詳細および参加ユーザー一覧の閲覧範囲**: 「当該プロジェクトの参加ユーザー本人」または「組織のオーナー/マネージャーロールを持つユーザー」のみが閲覧可能です。

## ユーザーの招待・ロール変更・削除・脱退に関する制約事項

システムの安全な運用と管理者の不在を防ぐため、以下の厳密な制約が設けられています。

### 唯一の管理者保護（単一管理者ロック）

- 組織内にオーナーが1人しかいない場合、そのオーナーの降格・削除・組織からの脱退はいずれも実行できません。
- プロジェクト内に管理者が1人しかいない場合、その管理者の降格・削除・プロジェクトからの脱退はいずれも実行できません。

### 組織からの脱退・削除と連鎖失効ルール

- 組織ユーザーが自分自身を「削除」する操作はできません。自身が組織を離れる場合は「脱退」機能を使用します。
- 対象ユーザーが組織内のいずれかのプロジェクトで「唯一の管理者」である場合、組織からの削除・脱退操作はシステムによって拒否されます。
- 組織からの削除または脱退が成立すると、そのユーザーが当該組織内のすべてのプロジェクトで保持していたメンバーシップも自動的に連鎖して失効します（いずれかのプロジェクトで唯一の管理者である場合は失効処理をスキップする二重保護あり）。

### 招待・参加申請の制約

- 組織への招待は、専用の招待リンク（トークン）をメールアドレス宛に発行して行われます。同一のメールアドレスへの重複招待は不可で、招待受諾時は「招待先メールアドレス」と「ログイン中のユーザーのメールアドレス」が完全に一致している必要があります。すでに参加済みの組織から招待メールが届いた場合、参加画面へ遷移してもエラーが表示され参加できません（二重参加の防止）。
- プロジェクトへの直接招待には、招待対象のユーザーがあらかじめその組織のユーザーであることが前提条件です。
- プロジェクトへの参加申請が行えるのは「参加申請可」タイプのプロジェクトのみです。組織ロールがゲストのユーザーは参加申請自体がシステムによって拒否されます。

## 関連ページ

- [組織とプロジェクトの概要](/getting-started/organization-project-overview/)