# Integration の概要

> Source: https://docs.lorel.ai/guides/integration/

Lorel.ai で外部サービスやクラウド環境と連携する Integration の全体像を説明します。Integration を構成する主要な機能である Sources と Access についても説明します。

## 概要

Lorel.ai の Integration は、外部サービスやクラウド環境と連携し、障害の検知から調査・復旧までの一連の運用プロセスを支援するための機能です。

Integration は、イベントやアラートを取り込むための Sources と、クラウド環境へ接続するための Access の2つの機能で構成されています。サイドバーの［Integration］の下に、［Sources］と［Access］が並びます。

1. 外部サービスで発生したアラートやイベントを、Sources が受信します。
2. 受信したイベントがルールで評価され、インシデントの起票や AI エージェントによる原因分析につながります。
3. Runbooks や AI エージェントは、Access を通じてクラウド環境に接続し、調査や復旧処理を行います。

一部のボタンやメッセージでは、Sources を「データソース」、Access を「アクセス」と表示します（例えば、［データソースを追加］［アクセスを追加］）。

## Sources

Sources は、外部サービスで発生したイベントやアラートを Lorel.ai に取り込むための機能です。

監視ツール、インシデント管理ツール、ソースコード管理サービスなどから、Webhook やメッセージ通知を通じてイベントを受信します。一部のサービス（Amazon CloudWatch のメトリクスなど）では、Access を利用して Lorel.ai 側からデータを収集します。

受信したイベントやメトリクスは、トリガールール（検知ルール・複合ルール・メトリクスルール）によって評価されます。インシデントの自動起票の条件は、インシデントポリシーで設定します。詳しくは、[Rules の概要](/guides/rules/)を参照してください。

### できること

| 機能 | 説明 |
|---|---|
| Sources の登録・管理 | 外部サービスからイベントやアラートを受信するための接続設定を管理します。 |
| 受信イベントの確認（CloudWatch Metrics を除く） | Sources で受信したイベントの内容や受信状況を確認できます。 |
| 関連ルールの確認 | Sources に関連付けられているルールを確認できます。 |
| 利用 Access の確認（CloudWatch Metrics のみ） | データ収集に利用する Access と、その利用状態を確認できます。 |
| 収集対象の管理（CloudWatch Metrics のみ） | Access により収集するメトリクスを確認し、収集対象を追加・管理できます。 |
| エンドポイントの管理（CloudWatch Metrics を除く） | イベント受信用のエンドポイントを追加・管理できます。 |
| 連携設定情報の取得（CloudWatch Metrics を除く） | エンドポイント URL や Topic ARN、テンプレートなど、連携に必要な設定情報を取得・確認できます。 |
| データ保持設定の管理 | データの保存期間を設定できます（Starter は7日間固定、Standard は最大365日で未設定の場合は30日、Enterprise は上限なし）。保存期間を短くすると、超過分のデータは 00:00（UTC）に削除され、取り消せません。 |
| ステータスの切り替え | Sources ごとに、イベントの受信（CloudWatch Metrics はメトリクスの収集）を有効・無効に切り替えて運用できます。 |
| 複数の Sources の登録 | 同じプロジェクトに、用途や環境（本番・検証など）に分けて、複数の Sources を登録できます。 |

### 共通仕様

#### 状態管理（ステータス）

Sources は、個別に有効・無効を切り替えて運用します。

- 有効にすると、イベントの受信と処理を開始します（CloudWatch Metrics は、メトリクスの収集を開始します）。イベントを受信する Sources では、エンドポイントを個別に有効・無効に切り替えられ、有効なエンドポイントが1つ以上ないと受信しません。
- 無効にすると、イベントの受信と処理（CloudWatch Metrics は、メトリクスの収集）を停止します。新規作成した直後は、無効の状態で登録されます。

#### 一覧での絞り込み

Sources の一覧画面の上部にあるボタンで、ステータス別に絞り込んで表示できます。

- ［すべて］を選ぶと、登録されているすべての Sources を表示します。
- ［有効］を選ぶと、現在イベントを受信・処理している Sources を表示します。
- ［無効］を選ぶと、停止している Sources を表示します。

#### イベント受信時の検証

イベントを受信するときには、主に次の共通検証を行います。

- 受信エンドポイントの検証
- 送信元の正当性の検証
- イベント種別の判定
- Sources が有効な状態かの確認

#### 重複イベントの排除

ネットワーク障害や連携サービス側の再送によって、同じイベントが複数回送信された場合でも、Lorel.ai は重複したイベントを自動的に検出します。同じ Source に72時間以内に届いた同一のイベントは、重複として扱い、ルールの評価から除外します。これにより、インシデントの起票や AI 分析が重複して実行されることを防ぎます。別の Source に届いたイベントは、重複とはみなしません。

#### サービス固有の設定

認証情報、Webhook の設定、イベント種別などのサービス固有の設定の手順は、Sources の詳細画面で［エンドポイントを追加］を選んだ画面や、追加後に表示される画面に案内があります（Datadog の場合は［Datadog 側の設定手順］など）。

## Access

Access は、Lorel.ai が AWS の環境へ接続するための IAM ロールと、許可する操作の範囲を管理する機能です。

Lorel.ai は、Access を利用して、Runbooks による調査・復旧処理の実行、AI エージェントによる調査（参照のみ。［利用可能］で、許可する操作が読み取りのみの Access が対象。手動承認の Access は除きます）、CloudWatch のメトリクスの収集を行います。

### できること

| 機能 | 説明 |
|---|---|
| Access の登録・管理 | AWS の IAM ロールを引き受けて接続するための Access を登録・管理できます。 |
| 接続情報の管理 | 接続先の IAM ロールの ARN を管理できます。External ID は確認できます（作成後は変更できません）。 |
| 操作範囲の管理 | Access ごとに、許可する操作の範囲を管理できます。 |
| 許可された操作の確認 | Access に付与されている操作の範囲を確認できます。 |
| 接続設定の検証 | 接続先のロールの信頼ポリシーが、Lorel.ai を正しく信頼しているかを検証できます。 |
| 手動承認による有効化 | プロジェクト管理者が、手動で承認して Access を有効化できます。 |
| 接続状態の確認 | ［検証待ち］［利用可能］［手動承認］［利用停止］［再有効化が必要］の状態を確認できます。 |
| 複数の Access の登録 | 用途や操作の範囲に応じて、複数の Access を登録できます。 |

### 共通仕様

#### 状態管理（ステータス）

Access は、接続設定ごとに状態を管理します。

- ［検証待ち］は、新規に作成した直後、または接続設定を変更した直後の状態です。有効化して利用を開始するには、画面上の［設定を検証］を実行して検証に合格するか、プロジェクト管理者が手動で承認します。
- ［利用可能］は、［設定を検証］に合格して、有効化された状態です。
- ［手動承認］は、プロジェクト管理者の手動承認によって、有効化された状態です。承認から90日間有効です。
- ［利用停止］は、承認の期限切れ、すでに有効化されている Access で［設定を検証］が不合格になった場合、プロジェクトでの手動承認の許可の解除などにより、利用できなくなった状態です。
- ［再有効化が必要］は、プロジェクトで手動承認の許可を一度 OFF にしてから ON に戻したあとの、手動承認の Access の状態です。自動では復帰せず、プロジェクト管理者による再有効化が必要です。

#### 利用可能と手動承認の違い

［利用可能］と［手動承認］は、どちらも接続を利用できる状態ですが、性質が異なります。

- ［利用可能］は、選択した操作の範囲内で実行される状態です。
- ［手動承認］は、プロジェクト管理者の責任で、選択した範囲を超えて宣言した操作を実行できる状態です。承認から90日で失効し、AI エージェントの調査と CloudWatch のメトリクスの収集には使えません。また、手動承認の Access を参照する Runbook のステップの追加・変更と、Runbook の有効化・複製は、プロジェクト管理者のみが行えます。さらに、手動承認の Access に到達する Runbook で［WORKER の実行を許可］をオンにできるのも、プロジェクト管理者のみです。

接続先のロールの信頼ポリシー（External ID の条件）は、Lorel.ai が定期的に、自動で再確認します。再確認の対象は、［利用可能］と［手動承認］の Access です。

#### 一覧での絞り込み

Access の一覧画面の上部にあるボタンで、ステータス別に絞り込んで表示できます。

- ［すべて］を選ぶと、登録されているすべての Access を表示します。
- ［利用可能］を選ぶと、［設定を検証］によって有効化された Access を表示します。
- ［手動承認］を選ぶと、手動承認によって有効化された Access を表示します。
- ［検証待ち］を選ぶと、作成した直後などで、未検証の Access を表示します。
- ［利用停止］を選ぶと、停止している Access を表示します（［再有効化が必要］の Access も含まれます）。

#### 接続の検証と手動承認

Access を有効化するには、次の2つの方法があります。

1. 推奨の方法は［設定を検証］です。画面上の［設定を検証］を実行すると、接続先のロールの信頼ポリシーが Lorel.ai を正しく信頼しているか（引き受けの成立と、External ID の条件の一致）を、システムが自動で確認します。
2. もう1つは［手動で承認して有効化］（手動承認）です。選択した操作の範囲を超えて、Runbook で宣言した操作を実行したい場合に使います。手動承認でも、接続先のロールの信頼ポリシーの確認には合格する必要があります。

手動承認を行うには、次の2つのステップが必要です。

1. プロジェクトで許可します。Access の一覧の右上にある［手動承認の設定］から、プロジェクト管理者が、手動承認の利用を許可します。
2. Access ごとに承認します。［設定を検証］が不合格になると、各 Access の詳細画面（作成時の画面でも可）に［手動で承認して有効化］が表示されるので、実行します。すでに［利用可能］の Access は、詳細画面で［手動承認に切り替える］を選び、［承認して切り替え］を実行します。この切り替えは元に戻せません。

手動承認では、選択していない操作や、Lorel.ai が通常は許可しない操作（破壊的な操作など）でも、宣言すれば実行できてしまいます。ただし、シークレットの直接取得や一時認証情報の発行など、宣言しても実行できない操作もあります。詳しくは、[Runbooks の概要](/guides/runbooks/)を参照してください。承認する前に、宣言する操作の内容をよく確認してください。

#### 手動承認の有効期間

手動承認によって有効化された Access には、有効期限があります。承認日から90日を経過すると、承認が失効して、Access は利用停止になります。再び利用するには、プロジェクト管理者による、再度の手動承認が必要です。

［設定を検証］に合格しても、失効した手動承認は復帰しません。

手動承認の許可を一度解除してから許可し直した場合も、手動承認の Access は自動では復帰せず、［再有効化が必要］の状態になります。Access の一覧上部のバナーから、プロジェクト管理者が再有効化してください。

#### 設定変更時の再検証

接続先ロールの ARN や許可する操作の範囲を変更すると、安全のため、検証済み・手動承認済みの Access は［検証待ち］に戻ります。変更した後に Access を利用するには、あらためて［設定を検証］に合格するか、手動承認を行う必要があります。

表示名や説明など、接続設定に影響しない項目の変更は、対象外です。

#### 権限の管理

［利用可能］の Access は、選択した操作の範囲内で、かつ接続先のロールに許可された権限の範囲でのみ、操作を実行します。［手動承認］の Access は、プロジェクト管理者の責任で、選択した範囲を超えて宣言した操作も実行できますが、接続先のロールに許可された権限の範囲を超えることはありません。必要最小限の権限で運用できるように、運用の目的に応じた操作の範囲を選択できます。

#### 安全な接続

Access は、接続先の環境との信頼関係を確認する仕組み（External ID）を備えており、不正な接続を防ぎます。Access の詳細画面の［設定手順を確認］から、IAM ロールの信頼ポリシーと External ID の設定手順を確認できます。

#### 停止状態になった場合の通知

システムの判定によって Access が利用停止になった場合は、プロジェクト管理者に通知が送信されます。通知は、通知設定で受信するかどうかを変更できます。プロジェクトで手動承認の許可を解除して停止した場合は、通知されません。

停止状態の Access は、調査や Runbooks の実行に利用できません。利用を再開するには、原因を確認したうえで、必要な再検証または再承認を行ってください。

## ロールと権限

Integration は、プロジェクト単位で管理します。操作の内容に応じて、次のプロジェクトのロールが必要です。

| 操作 | 必要なロール |
|---|---|
| Sources・Access の一覧・詳細の閲覧 | プロジェクト管理者 / 編集者 / ワーカー / 閲覧者 |
| Access の接続テスト（［接続を試す］）の実行 | プロジェクト管理者 / 編集者 / ワーカー / 閲覧者 |
| Sources・Access の新規作成・設定更新・削除 | プロジェクト管理者 / 編集者 |
| Sources の有効化・無効化 | プロジェクト管理者 / 編集者 |
| Access の［設定を検証］の実行 | プロジェクト管理者 / 編集者 |
| Access の手動承認（プロジェクトでの許可・承認の実行・再有効化） | プロジェクト管理者 |

※［接続を試す］は、［設定を検証］などの検証パネルの中にあります。Access が［検証待ち］または［利用停止］の間は、すべてのロールで表示されます。［利用可能］または［手動承認］の間は、パネルを開く［設定を再点検］ボタンが編集者以上にだけ表示されます。

※組織のロールとは独立した、プロジェクトのロールに基づいて制御されます。詳細は、[ロールと権限](/getting-started/roles-and-permissions/)を参照してください。

※書き込みの操作には、契約の支払い状況やプロジェクトの状態による制限が、別途適用される場合があります。支払いが遅れた場合の制限は、[お支払いが遅延した場合の制限](/specifications/billing-payment-delay/)を参照してください。

## 制限事項

- **Sources の登録数**
  - 登録できる Sources の数は、契約プランによって異なります。Starter は組織全体で最大10件、Standard と Enterprise は無制限です。詳細は、[プラン・料金](/getting-started/plans-and-pricing/)を参照してください。
- **Access の登録数**
  - Access の登録数に、プラン上の制限はありません。
- **名称の重複**
  - Access は、同じプロジェクト内で、同じ名称の Access を複数作成できません。
  - Sources は、同じプロジェクト内でも、名称の重複に制限はありません（同じ名称で複数登録できます）。
- **シークレットの再発行**
  - 一部の連携サービスでは、Lorel.ai からシークレットを再発行できません。その場合は、連携先のサービス側で再発行して、設定を更新してください。

## 関連機能

- [Rules の概要](/guides/rules/)（Sources から受信したイベントやメトリクスを評価する検知ルール・複合ルール・メトリクスルールと、インシデントを自動起票するインシデントポリシー）
- [Runbooks の概要](/guides/runbooks/)（Access を利用して、接続先の環境の調査や復旧処理を実行）
- [AI Agents の概要](/guides/ai-agents/)（Access を利用して、接続先の環境を参照して調査）
- [ロールと権限](/getting-started/roles-and-permissions/)（プロジェクト管理者・編集者・ワーカー・閲覧者の権限の詳細）
- [プラン・料金](/getting-started/plans-and-pricing/)（プランごとの利用上限や料金）