ロール権限の設計ガイド
社員がAIアシスタントを自作し、共有を制御する必要がある場合に、「個人 → 部門 → 全社」の3つの公開レベルでロールを設計します。
ロール権限管理ではロールの設定を、ロールのリソースアクセス権限では各リソースのアクセス設定を説明しています。このページでは、さらに上位の設計について説明します。組織内に「アシスタントを作成する人」と「アシスタントを利用するだけの人」がいる場合、共有を制御するためにロールをどのように分けるべきでしょうか。
この設計は、次のような状況に適しています。
社員が自分でAIアシスタントを作成するものの、作成直後から他の人に見せるべきではない場合
アシスタントを部門または全社に公開する前に、社内申請が必要な場合
公開後に正式版が作成者によって簡単に変更されないよう、ロックする必要がある場合
すべてプラットフォーム既存のロール機能で実現でき、カスタム開発は必要ありません。
プラットフォームが閲覧可否を判定する仕組み
メンバーがアシスタントを閲覧できるかどうかについて、プラットフォームの判定ルールは1つだけです。
アシスタントに紐付けられたロールと、メンバーが所属するロールが重複している場合にのみ閲覧できます。
プラットフォームは作成者が誰かを考慮しません。「自分が作成したアシスタントは自分だけが閲覧できる」と考えられがちですが、プラットフォーム上では成り立ちません。アシスタントに紐付けられたすべてのロールのメンバーが閲覧できます。
この仕組みから、設計方針を決める3つの事実が導かれます。
ビルダーは自分が所属する任意のロールにアシスタントを紐付けられます
システムでは、選択したロールのうち少なくとも1つにAIアシスタント権限があることだけが求められます。その他はビルダーが所属するロールであれば紐付けられます。ビルダーが部門ロールにも所属している場合、承認なしでアシスタントを部門に共有できます。
すべてのメンバーはデフォルトロールに自動的に所属します
リソースをデフォルトロールに紐付けると、全社公開になります。ビルダーがアシスタントを作成するときにも選択できます。
アシスタントをコピーするとロールの紐付けもコピーされます
閲覧できる人はコピーもできます。コピーされたアシスタントには元のすべての紐付けが引き継がれ、元と同じ閲覧者に表示されます。
3種類のロールと3つの公開レベル
「個人 → 部門 → 全社」を3つの公開レベルに分け、それぞれ1種類のロールで管理します。アシスタントを1つ上のレベルへ移すたびに申請が必要です。
ロール一覧
ビルダー-部門-氏名
各ビルダーに1つ（1人1ロール）
AIアシスタント、ナレッジベース、Agentマーケットプレイス、MaiGPTを閲覧し、アシスタントとナレッジベースを作成できます。自分が作成したアシスタントに紐付き、読み取り・編集・削除ができます。
開発者
技術担当の中心メンバー。個人ロールに追加します
ツール、スキル、データベース、クローラーを追加し、データベースを作成できます。リソースには紐付けません。
ユーザー-範囲
該当範囲の社員（ビルダーを除く）
Agentマーケットプレイスのみを閲覧でき、作成はできません。承認・公開済みのアシスタントに読み取り専用で紐付きます。
一般社員
ビルダー以外の全社員
AgentマーケットプレイスとMaiGPTを閲覧できますが、作成はできません。全社共通アシスタントに読み取り専用で紐付きます。
所有者
プラットフォーム管理者
すべての操作が可能で、公開と保守を担当します。
個人ロールには**「カスタマーサービス対話 → 対話プラットフォーム」権限を付与せず**、「対話プラットフォームの追加を許可」と「データベースの追加を許可」をオフにします。ビルダーはアシスタントページのテスト画面とAgentマーケットプレイスでテストできます。この権限を外すことで、外部公開URLや埋め込みコードを取得できなくなり、未承認のアシスタントが組織外へ共有されることを防げます。
唯一の厳守ルール
ビルダーを「ユーザー-範囲」または「一般社員」ロールに所属させないでください。
ビルダーがアシスタントを作成する際、「権限設定」には所属するすべてのロールが表示されます。部門ロールに所属していなければ、一覧にその部門は表示されず、共有したくても選択できません。「自分で共有できない」ことを規則ではなく、システムの仕組みで保証します。
反対に、ビルダーが部門ロールに所属していれば、承認なしでアシスタントを部門に紐付けられます。プラットフォームには「所属しているが紐付けはできない」という設定がないため、申請制を実現するには所属関係を利用する必要があります。
デメリットと対応方法
この設計では、ビルダーはAgentマーケットプレイスで部門および全社の正式版アシスタントを閲覧できません。正式版も利用させる場合、所有者は公開時にそのアシスタントをビルダーの個人ロールにも読み取り専用で紐付けます。
ただし、ビルダーが閲覧できればコピーもでき、コピーには正式版のすべての紐付けが引き継がれます。標準版をビルダーに表示するかどうかは、導入時に決定してください。
公開フロー：2段階で公開し、コピー後にロックする
申請と承認はフォームやメールなど、プラットフォーム外で行います。プラットフォーム上では、所有者だけが紐付けを行います。公開時の操作は1つだけです。コピーを作成してロックします。
1. ビルダーが作成を完了する
アシスタントは自分の個人ロールに配置され、自分だけが閲覧し、いつでも変更できます。アシスタントページのテスト画面とAgentマーケットプレイスでテストします。
2. 部門レベル：コピーを作成して「ユーザー-範囲」に紐付ける
申請が承認されたら、所有者はAIアシスタント一覧で原本を見つけ、コピーをクリックし、名前の先頭に「部門版-」を付けます。
コピーの権限設定を開き、ロールをカスタム選択をクリックします。ビルダーの個人ロールを削除して「ユーザー-範囲」を追加し、保存します
組織設定 → ロール権限管理 → 対象ロール → AIアシスタントを割り当ての順に移動し、このアシスタントの編集と削除をオフにして、読み取りのみを残します
3. 全社レベル：もう一度コピーして「一般社員」に紐付ける
同じ操作を繰り返し、名前の先頭に「公開版-」を付け、ロールを「一般社員」に変更して、ロールページで読み取り専用にします。
公開時に必ずコピーを作成する理由： 原本はビルダーの手元に残り、いつでも変更・テストできます。公開版は対象範囲のロールだけに紐付き、ビルダーは操作できないため、「公開後の編集ロック」が自然に成立します。更新時には再度申請してコピーを作成するため、正式版は常に承認済みの版となります。
必ず正しく行う2つの操作
コピーには原本のロールの紐付けも引き継がれるため、コピー後は対象ロールだけが残るように変更します
アシスタントの権限設定には、読み取り・編集・削除の選択肢がありません。アシスタント側で追加したロールは、デフォルトで編集・削除できます。読み取り専用にするには、ロールページのAIアシスタントを割り当てで編集と削除をオフにします。ロールを紐付けるときは、必ず先にアシスタントの権限設定で保存してから、ロールページで調整してください。ロールページだけで追加したアシスタントはWeb Chatの受信トレイに同期されず、Agentマーケットプレイスに表示されません
全社レベルの提供方法
これは導入時に決定する必要がある唯一の構造上の判断です。どちらの方法も利用できますが、それぞれデメリットがあります。
方法A：デフォルトロールを全社レベルとして維持する
新入社員はログイン時にデフォルトロールへ自動的に所属するため、メンバーリストを管理する必要がありません。デフォルトロールの権限をAgentマーケットプレイスとMaiGPTだけに限定し、公開版アシスタントを読み取り専用で紐付けます。
デメリット： ビルダーはアシスタント作成時にデフォルトロールを選択でき、クイック選択の「すべてのロール」にも含まれるため、ワンクリックで全社公開されます。研修で「ロールをカスタム選択」を使用するよう案内する必要があります
適したケース： ビルダーがおらず、すべてのアシスタントを管理者が作成する組織です。ビルダーがいる場合、厳守ルールを維持できません
方法B：デフォルトロールを削除し、カスタムの「一般社員」を使用する
ワンクリックで全社公開する経路がなくなり、厳守ルールを維持できます。
デメリット： SSOログインを含む新入社員は、組織に参加した時点ではロールがなく、何も閲覧できません。管理者が「一般社員」を割り当て、メンバー同期をIT部門の定期作業に含める必要があります
割り当て方法： メール招待または一括インポート（既存アカウントにはロールだけが追加され、再作成されません）、ロール付きの組織招待リンク（リンクから新規登録したアカウントだけに有効）、またはメンバー一覧 → ロールを編集（既存アカウント向け）
デフォルトロールの削除にはMaiAgentのサポートが必要です。削除前に「一般社員」を作成して全員を割り当て、MaiGPTを開けることを確認してください。そうしない場合、削除した時点で全社のMaiGPTとAgentマーケットプレイスへのアクセスが失われます。削除後にデフォルトロールが自動的に再作成されることはありません。
よくある6つの誤解
アシスタントの権限設定で読み取り専用に設定できる
アシスタントの権限設定には、読み取り／編集／削除のチェック項目がありません。アシスタント側で追加したロールには、デフォルトで編集と削除が許可されます。ロールページの「AI アシスタントを割り当て」で編集と削除を無効にしてください。
ロールページの「AI アシスタントを割り当て」でアシスタントを追加するだけでよい
Web Chat の受信トレイには同期されず、Agent マーケットプレイスにも表示されません。まずアシスタントの権限設定で保存し、その後ロールページで権限フラグを調整してください。
アシスタントを作成してそのまま保存すれば、自分だけに割り当てられる
権限設定のクイック選択は、デフォルトで「デフォルトロールを除外」になっており、デフォルト以外のすべてのロールが選択されます。「ロールをカスタム選択」をクリックして選択してください。所有者がこの操作をしない場合、アシスタントはすべてのロールに割り当てられます。
同僚のロールをコピーするのが、メンバー追加の最短手段である
ロールをコピーするとメンバーと割り当ても複製されますが、読み取り／編集／削除のフラグはすべて有効にリセットされ、正式版が編集・削除可能になります。必ず空のテンプレートロールからコピーしてください。
招待リンクで既存アカウントにロールを割り当てられる
リンクに含まれるロールは登録時にのみ割り当てられ、すでにログインしたことがあるアカウントには適用されません。既存アカウントには、メンバー一覧でロールを編集するか、一括インポートを使用してください。
所有者アカウントで検証すれば十分である
所有者はロールを割り当てずにアシスタントを作成できますが、ビルダーはシステムによって制限されます。検証は必ず所有者ではないアカウントでログインして実施してください。
最終更新
役に立ちましたか？