> For the complete documentation index, see [llms.txt](https://docs.maiagent.ai/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://docs.maiagent.ai/maiagent-user-guide/ja/org/roles/role-design-guide.md).

# ロール権限設計ガイド

社員がAIアシスタントを自作し、共有を制御する必要がある場合に、「個人 → 部門 → 全社」の3つの公開レベルでロールを設計します。

[ロール権限管理](/maiagent-user-guide/ja/org/roles/role-permission.md)ではロールの設定を、[ロールのリソースアクセス権限](/maiagent-user-guide/ja/org/roles/group-resource-access.md)では各リソースのアクセス設定を説明しています。このページでは、さらに上位の設計について説明します。**組織内に「アシスタントを作成する人」と「アシスタントを利用するだけの人」がいる場合、共有を制御するためにロールをどのように分けるべきでしょうか。**

{% hint style="info" %}
**簡単に説明すると：**

会社を1つのビルに例えます。各ビルダーには自分専用の作業室（個人ロール）があります。完成したものが部門の廊下（部門ロール）やロビー（全社ロール）へ自動的に置かれることはありません。公開するには申請し、管理担当者（所有者）に移動してもらう必要があります。また、移動するのは**コピー**であり、原本は作業室に残ります。
{% endhint %}

この設計は、次のような状況に適しています。

* 社員が自分でAIアシスタントを作成するものの、作成直後から他の人に見せるべきではない場合
* アシスタントを部門または全社に公開する前に、社内申請が必要な場合
* 公開後に正式版が作成者によって簡単に変更されないよう、ロックする必要がある場合

すべてプラットフォーム既存のロール機能で実現でき、カスタム開発は必要ありません。

***

## プラットフォームが閲覧可否を判定する仕組み <a href="#how-visibility-works" id="how-visibility-works"></a>

メンバーがアシスタントを閲覧できるかどうかについて、プラットフォームの判定ルールは1つだけです。

> **アシスタントに紐付けられたロールと、メンバーが所属するロールが重複している場合にのみ閲覧できます。**

プラットフォームは**作成者が誰かを考慮しません**。「自分が作成したアシスタントは自分だけが閲覧できる」と考えられがちですが、プラットフォーム上では成り立ちません。アシスタントに紐付けられたすべてのロールのメンバーが閲覧できます。

{% hint style="info" %}
**簡単に説明すると：**

アシスタントには「所有者」がおらず、「どの部屋に置かれているか」だけが決まっています。鍵を持っている部屋のアシスタントを閲覧できます。アシスタントを自分だけが閲覧できるようにする唯一の方法は、自分だけが鍵を持つ部屋、つまり**1人につき1つのロール**に置くことです。
{% endhint %}

この仕組みから、設計方針を決める3つの事実が導かれます。

<table><thead><tr><th width="230">事実</th><th>設計への影響</th></tr></thead><tbody><tr><td><strong>ビルダーは自分が所属する任意のロールにアシスタントを紐付けられます</strong></td><td>システムでは、選択したロールのうち少なくとも1つにAIアシスタント権限があることだけが求められます。その他はビルダーが所属するロールであれば紐付けられます。ビルダーが部門ロールにも所属している場合、承認なしでアシスタントを部門に共有できます。</td></tr><tr><td><strong>すべてのメンバーはデフォルトロールに自動的に所属します</strong></td><td>リソースをデフォルトロールに紐付けると、全社公開になります。ビルダーがアシスタントを作成するときにも選択できます。</td></tr><tr><td><strong>アシスタントをコピーするとロールの紐付けもコピーされます</strong></td><td>閲覧できる人はコピーもできます。コピーされたアシスタントには元のすべての紐付けが引き継がれ、元と同じ閲覧者に表示されます。</td></tr></tbody></table>

***

## 3種類のロールと3つの公開レベル <a href="#three-tiers" id="three-tiers"></a>

「個人 → 部門 → 全社」を3つの公開レベルに分け、それぞれ1種類のロールで管理します。アシスタントを1つ上のレベルへ移すたびに申請が必要です。

<figure><img src="https://2584873290-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FTvHx8hgwYGDTLD3A7xoW%2Fuploads%2Fgit-blob-80e5dc0875d39d08efd2c146e3107ff99d174f5c%2Frole-design-three-tiers.png?alt=media" alt="個人、部門、全社の3つの公開レベル"><figcaption><p>ロール名の前半は機能、後半は範囲を表します。アシスタントは左から右へ移動し、1段階進むたびに申請が必要です</p></figcaption></figure>

### ロール一覧 <a href="#role-list" id="role-list"></a>

<table><thead><tr><th width="190">ロール</th><th width="190">対象者</th><th>可能な操作と紐付け</th></tr></thead><tbody><tr><td><strong>ビルダー-部門-氏名</strong></td><td>各ビルダーに1つ（1人1ロール）</td><td>AIアシスタント、ナレッジベース、Agentマーケットプレイス、MaiGPTを閲覧し、アシスタントとナレッジベースを作成できます。自分が作成したアシスタントに紐付き、読み取り・編集・削除ができます。</td></tr><tr><td><strong>開発者</strong></td><td>技術担当の中心メンバー。個人ロールに追加します</td><td>ツール、スキル、データベース、クローラーを追加し、データベースを作成できます。リソースには紐付けません。</td></tr><tr><td><strong>ユーザー-範囲</strong></td><td>該当範囲の社員（<strong>ビルダーを除く</strong>）</td><td>Agentマーケットプレイスのみを閲覧でき、作成はできません。承認・公開済みのアシスタントに読み取り専用で紐付きます。</td></tr><tr><td><strong>一般社員</strong></td><td>ビルダー以外の全社員</td><td>AgentマーケットプレイスとMaiGPTを閲覧できますが、作成はできません。全社共通アシスタントに読み取り専用で紐付きます。</td></tr><tr><td><strong>所有者</strong></td><td>プラットフォーム管理者</td><td>すべての操作が可能で、公開と保守を担当します。</td></tr></tbody></table>

{% hint style="info" %}
**命名と範囲**

* ロール名の前半は機能（ビルダー／ユーザー）、後半は範囲（部門、事業部、プロジェクトなど）を表します
* 「ユーザー-範囲」は事前に作成せず、最初のアシスタントがその範囲への公開を承認された時点で作成します
* 「一般社員」が基本レイヤーで、その上に「ユーザー-範囲」を重ねます。部門の社員には両方のロールを割り当て、権限はその和集合となります
  {% endhint %}

{% hint style="warning" %}
個人ロールには\*\*「カスタマーサービス対話 → 対話プラットフォーム」権限を付与せず\*\*、「対話プラットフォームの追加を許可」と「データベースの追加を許可」をオフにします。ビルダーはアシスタントページのテスト画面とAgentマーケットプレイスでテストできます。この権限を外すことで、外部公開URLや埋め込みコードを取得できなくなり、未承認のアシスタントが組織外へ共有されることを防げます。
{% endhint %}

***

## 唯一の厳守ルール <a href="#iron-rule" id="iron-rule"></a>

> **ビルダーを「ユーザー-範囲」または「一般社員」ロールに所属させないでください。**

ビルダーがアシスタントを作成する際、「権限設定」には所属するすべてのロールが表示されます。部門ロールに所属していなければ、一覧にその部門は表示されず、共有したくても選択できません。「自分で共有できない」ことを規則ではなく、システムの仕組みで保証します。

反対に、ビルダーが部門ロールに所属していれば、承認なしでアシスタントを部門に紐付けられます。プラットフォームには「所属しているが紐付けはできない」という設定がないため、申請制を実現するには所属関係を利用する必要があります。

<figure><img src="https://2584873290-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FTvHx8hgwYGDTLD3A7xoW%2Fuploads%2Fgit-blob-ef0556adf247f88c87f255c6139f79f01dff16b1%2Frole-design-create-permission.png?alt=media" alt="AIアシスタント作成時の権限設定"><figcaption><p>アシスタント作成時の「権限設定」では、3つのクイック選択に加え、「ロールをカスタム選択」に所属するすべてのロールが表示されます</p></figcaption></figure>

{% hint style="info" %}
**簡単に説明すると：**

ビルダーは自分の作業室の鍵しか持っていません。部門の廊下に物を置くには、廊下へ入れないため、管理担当者に移動を依頼する必要があります。
{% endhint %}

{% hint style="warning" %}
**デメリットと対応方法**

この設計では、ビルダーはAgentマーケットプレイスで部門および全社の正式版アシスタントを閲覧できません。正式版も利用させる場合、所有者は公開時にそのアシスタントをビルダーの個人ロールにも**読み取り専用**で紐付けます。

ただし、ビルダーが閲覧できればコピーもでき、コピーには正式版のすべての紐付けが引き継がれます。標準版をビルダーに表示するかどうかは、導入時に決定してください。
{% endhint %}

***

## 公開フロー：2段階で公開し、コピー後にロックする <a href="#publish-flow" id="publish-flow"></a>

申請と承認はフォームやメールなど、プラットフォーム外で行います。プラットフォーム上では、所有者だけが紐付けを行います。公開時の操作は1つだけです。**コピーを作成してロックします。**

<figure><img src="https://2584873290-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FTvHx8hgwYGDTLD3A7xoW%2Fuploads%2Fgit-blob-204129ff54ab4e8a59597760db457a29c9783293%2Frole-design-publish-flow.png?alt=media" alt="2段階の公開フロー"><figcaption><p>原本はビルダーの個人ロールに残し、公開版は対象範囲のロールだけに紐付けます</p></figcaption></figure>

### 1. ビルダーが作成を完了する <a href="#step-build" id="step-build"></a>

アシスタントは自分の個人ロールに配置され、自分だけが閲覧し、いつでも変更できます。アシスタントページのテスト画面とAgentマーケットプレイスでテストします。

### 2. 部門レベル：コピーを作成して「ユーザー-範囲」に紐付ける <a href="#step-department" id="step-department"></a>

申請が承認されたら、所有者はAIアシスタント一覧で原本を見つけ、<mark style="color:blue;">コピー</mark>をクリックし、名前の先頭に「部門版-」を付けます。

1. コピーの<mark style="color:blue;">権限設定</mark>を開き、<mark style="color:blue;">ロールをカスタム選択</mark>をクリックします。ビルダーの個人ロールを削除して「ユーザー-範囲」を追加し、**保存**します
2. <mark style="color:blue;">組織設定</mark> → <mark style="color:blue;">ロール権限管理</mark> → 対象ロール → <mark style="color:blue;">AIアシスタントを割り当て</mark>の順に移動し、このアシスタントの編集と削除をオフにして、読み取りのみを残します

<figure><img src="https://2584873290-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FTvHx8hgwYGDTLD3A7xoW%2Fuploads%2Fgit-blob-35a58fc73f8a7799cbbf9f69149587f18c42bdc1%2Frole-design-assign-chatbots.png?alt=media" alt="ロールのAIアシスタントを割り当てタブ"><figcaption><p>読み取り専用はここで設定します：ロール → AIアシスタントを割り当て。各アシスタントに読み取り、編集、削除の項目があります</p></figcaption></figure>

### 3. 全社レベル：もう一度コピーして「一般社員」に紐付ける <a href="#step-company" id="step-company"></a>

同じ操作を繰り返し、名前の先頭に「公開版-」を付け、ロールを「一般社員」に変更して、ロールページで読み取り専用にします。

**公開時に必ずコピーを作成する理由：** 原本はビルダーの手元に残り、いつでも変更・テストできます。公開版は対象範囲のロールだけに紐付き、ビルダーは操作できないため、「公開後の編集ロック」が自然に成立します。更新時には再度申請してコピーを作成するため、正式版は常に承認済みの版となります。

{% hint style="danger" %}
**必ず正しく行う2つの操作**

1. コピーには原本のロールの紐付けも引き継がれるため、コピー後は対象ロールだけが残るように変更します
2. アシスタントの<mark style="color:blue;">権限設定</mark>には、読み取り・編集・削除の選択肢がありません。アシスタント側で追加したロールは、デフォルトで編集・削除できます。読み取り専用にするには、ロールページの<mark style="color:blue;">AIアシスタントを割り当て</mark>で編集と削除をオフにします。ロールを紐付けるときは、必ず先にアシスタントの権限設定で保存してから、ロールページで調整してください。ロールページだけで追加したアシスタントはWeb Chatの受信トレイに同期されず、Agentマーケットプレイスに表示されません
   {% endhint %}

***

## 全社レベルの提供方法 <a href="#company-tier" id="company-tier"></a>

これは導入時に決定する必要がある唯一の構造上の判断です。どちらの方法も利用できますが、それぞれデメリットがあります。

### 方法A：デフォルトロールを全社レベルとして維持する <a href="#company-tier-default-role" id="company-tier-default-role"></a>

新入社員はログイン時にデフォルトロールへ自動的に所属するため、メンバーリストを管理する必要がありません。デフォルトロールの権限をAgentマーケットプレイスとMaiGPTだけに限定し、公開版アシスタントを読み取り専用で紐付けます。

* **デメリット：** ビルダーはアシスタント作成時にデフォルトロールを選択でき、クイック選択の「すべてのロール」にも含まれるため、ワンクリックで全社公開されます。研修で「ロールをカスタム選択」を使用するよう案内する必要があります
* **適したケース：** ビルダーがおらず、すべてのアシスタントを管理者が作成する組織です。ビルダーがいる場合、厳守ルールを維持できません

### 方法B：デフォルトロールを削除し、カスタムの「一般社員」を使用する <a href="#company-tier-custom-role" id="company-tier-custom-role"></a>

ワンクリックで全社公開する経路がなくなり、厳守ルールを維持できます。

* **デメリット：** SSOログインを含む新入社員は、組織に参加した時点ではロールがなく、何も閲覧できません。管理者が「一般社員」を割り当て、メンバー同期をIT部門の定期作業に含める必要があります
* **割り当て方法：** [メール招待または一括インポート](/maiagent-user-guide/ja/org/member.md)（既存アカウントにはロールだけが追加され、再作成されません）、ロール付きの組織招待リンク（リンクから**新規登録**したアカウントだけに有効）、またはメンバー一覧 → ロールを編集（既存アカウント向け）

{% hint style="warning" %}
デフォルトロールの削除にはMaiAgentのサポートが必要です。削除前に「一般社員」を作成して全員を割り当て、MaiGPTを開けることを確認してください。そうしない場合、削除した時点で全社のMaiGPTとAgentマーケットプレイスへのアクセスが失われます。削除後にデフォルトロールが自動的に再作成されることはありません。
{% endhint %}

***

## よくある6つの誤解 <a href="#common-pitfalls" id="common-pitfalls"></a>

<table><thead><tr><th width="220">誤解</th><th>実際</th></tr></thead><tbody><tr><td>アシスタントの権限設定で読み取り専用に設定できる</td><td>アシスタントの権限設定には、読み取り／編集／削除のチェック項目がありません。アシスタント側で追加したロールには、デフォルトで編集と削除が許可されます。ロールページの「AI アシスタントを割り当て」で編集と削除を無効にしてください。</td></tr><tr><td>ロールページの「AI アシスタントを割り当て」でアシスタントを追加するだけでよい</td><td>Web Chat の受信トレイには同期されず、Agent マーケットプレイスにも表示されません。まずアシスタントの権限設定で保存し、その後ロールページで権限フラグを調整してください。</td></tr><tr><td>アシスタントを作成してそのまま保存すれば、自分だけに割り当てられる</td><td>権限設定のクイック選択は、デフォルトで「デフォルトロールを除外」になっており、デフォルト以外のすべてのロールが選択されます。「ロールをカスタム選択」をクリックして選択してください。所有者がこの操作をしない場合、アシスタントはすべてのロールに割り当てられます。</td></tr><tr><td>同僚のロールをコピーするのが、メンバー追加の最短手段である</td><td>ロールをコピーするとメンバーと割り当ても複製されますが、読み取り／編集／削除のフラグはすべて有効にリセットされ、正式版が編集・削除可能になります。必ず空のテンプレートロールからコピーしてください。</td></tr><tr><td>招待リンクで既存アカウントにロールを割り当てられる</td><td>リンクに含まれるロールは登録時にのみ割り当てられ、すでにログインしたことがあるアカウントには適用されません。既存アカウントには、メンバー一覧でロールを編集するか、一括インポートを使用してください。</td></tr><tr><td>所有者アカウントで検証すれば十分である</td><td>所有者はロールを割り当てずにアシスタントを作成できますが、ビルダーはシステムによって制限されます。検証は必ず所有者ではないアカウントでログインして実施してください。</td></tr></tbody></table>


---

# Agent Instructions
This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com.

## Querying This Documentation
If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question.

Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter:

```
GET https://docs.maiagent.ai/maiagent-user-guide/ja/org/roles/role-design-guide.md?ask=<question>&goal=<endgoal>
```

`ask` is the immediate question: it should be specific, self-contained, and written in natural language.
`goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal.

The response will contain a direct answer to the question and relevant excerpts and sources from the documentation.

Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.