ロールは Settings → User Management → Roles で管理します。このページを表示するには Can view Permission Group 権限と、ロール管理を含むプランが必要です。
ロールベース権限とは
ロールベース権限（ロールベースアクセス制御、RBAC）は、組織内のユーザーの役割に基づいてシステムへのアクセスを制限するセキュリティモデルです。個々のユーザーではなくロールに権限を割り当て、職務に応じてユーザーを適切なロールに割り当てます。主な利点
- 管理の簡素化:ユーザーごとに権限を管理せず、ロールに権限を設定してユーザーを追加できます
- 一貫性:同じ役割を持つすべてのユーザーが同一のアクセス権を持つことを保証します
- スケーラビリティ:新メンバーをあらかじめ設定した役割に割り当てることで簡単にオンボーディングできます
- セキュリティ:最小権限の原則に従い、各役割に必要な権限のみを付与します
- 監査・コンプライアンス:職務機能に応じた権限を整理することでアクセスレビューとコンプライアンス報告を簡素化します
Corgeaでの仕組み
Corgeaでは、組織内の職務（例:管理者、開発者、セキュリティマネージャー）に対応するロールを作成します。各ロールには、そのユーザーが実行できる操作を定義する権限セットを割り当てます。ユーザーは1つ以上のロールに追加され、所属するすべてのロールの権限を継承します。権限は加算方式です。ユーザーが複数のロールに属している場合、所属するすべてのロールの権限が付与されます。
ロールベースの権限に関する推奨事項
Corgeaプラットフォームで定義された権限に基づいて、さまざまな役割ごとに推奨される権限マトリックスをご紹介します。役割説明
管理者
完全なシステムアクセス - 会社設定、ユーザー、権限、すべてのセキュリティ機能を含むプラットフォームのあらゆる側面を管理できます。
開発マネージャー
開発チーム、ユーザー、プロジェクトを管理し、すべてのセキュリティ問題を閲覧できます。スキャン開始やチーム割り当て管理は可能ですが、セキュリティポリシーの変更はできません。
開発者
問題、スキャン、ポリシー、チームへの読み取りアクセスがあります。担当プロジェクトのスキャンを開始できますが、管理権限は限定されています。主にコード内のセキュリティ問題の確認と把握を担当します。
DevOps
連携、スケジュールスキャン、エージェント設定、プルリクエスト自動化ルールを全面的に管理する運用担当ロールです。スキャンの管理と問題の閲覧はできますが、セキュリティポリシーの変更や問題の削除はできません。
セキュリティマネージャー
すべてのポリシー管理、SLA、ブロッキングルール、ユーザー・チーム管理を含む包括的なセキュリティ管理。ロールを削除したり、会社設定を変更したりすることはできません。
セキュリティエンジニア
セキュリティ問題、ポリシー、スキャン、エージェント設定を全面的に管理する実務担当ロールです。ユーザーやチームの管理は行わず、日常のセキュリティ運用を担当します。
ロール概要
次のロールを推奨します。Corgeaには管理者ロールがあらかじめ用意されています。ベストプラクティス
- 権限の割り当て
- セキュリティ上の考慮事項
- トラブルシューティング
1
ユーザーロールの特定
組織内の具体的な役割や責任(例:セキュリティアナリスト、開発者、マネージャー)を明確にしてください。
2
権限をロールに対応付ける
各役割に対して最小限必要な権限のみを割り当て、最小権限の原則に従うようにしてください。
3
ロールの作成
組織の職務に対応するロールを作成し、適切な権限を割り当てます。
4
ユーザーをロールに割り当てる
ユーザーの職務と責任に応じて適切なロールに追加してください。