Tailscaleロゴ

管理者アクセスを設定する

管理者ロールを特定のユーザーに限定して設定する

最終検証日：
翻訳: 竹洞 陽一郎

Aperture by Tailscaleは、現在ベータ版です。

新しいApertureインスタンスは、デフォルトで全員に管理者アクセスを付与します。
チームがApertureを使い始める前に、管理者アクセスを特定のユーザーに制限し、指定した管理者だけが設定を編集し、全ユーザーのデータを閲覧できるようにしてください。

管理者は、次のことができます。

標準ユーザーは、自分自身のダッシュボードと利用データのみを閲覧できます。

前提条件

始める前に、次のものが揃っていることを確認してください。

管理者アクセスを制限する

デフォルト設定は、"src": ["*"] を使ってすべての人に管理者ロールを付与しています。
これを、特定のユーザーへの明示的な管理者グラントに置き換えます。

自分自身への明示的な管理者グラントを追加するまでは、ワイルドカードの管理者グラントを削除しないでください。
Apertureは、保存するユーザー自身の管理者アクセスを失わせる保存を防ぎますが、（Webインターフェイスの外で）構成を直接編集する場合は、この安全策が働きません。
  1. Apertureダッシュボードの「設定（Settings）」ページを開きます。
  2. { "role": "admin" } と "src": ["*"] を持つグラントを見つけます。
  3. "*" を、管理者のTailscaleログイン名に置き換えます。

次の例は、2人の特定のユーザーに管理者アクセスを付与するものです。 

{
  "grants": [
    {
      "src": ["alice@example.com", "bob@example.com"],
      "app": {
        "tailscale.com/cap/aperture": [
          { "role": "admin" }
        ]
      }
    },
    {
      "src": ["*"],
      "app": {
        "tailscale.com/cap/aperture": [
          { "role": "user" }
        ]
      }
    }
  ]
}

この構成では、alice@example.com と bob@example.com に管理者アクセスを与え、その他のすべてのユーザーには標準ユーザーアクセスを与えます。
ユーザーが両方のグラントに一致する場合は管理者アクセスが優先されるため、AliceとBobは管理者レベルの権限を受け取ります。

Tailscaleグループを使う

Tailscaleグループでアクセスを管理している組織では、Apertureの構成内でグループを使って管理者ロールを割り当てられます。
この方法では、Tailscaleのグループ定義を通じて、管理者のメンバーシップを一元的に管理できます。
グループの照合には、Apertureデバイスに tailscale.com/visible-groups ノード属性が必要です。 

{
  "grants": [
    {
      "src": ["group:aperture-admins"],
      "app": {
        "tailscale.com/cap/aperture": [
          { "role": "admin" }
        ]
      }
    },
    {
      "src": ["group:ai-users"],
      "app": {
        "tailscale.com/cap/aperture": [
          { "role": "user" }
        ]
      }
    }
  ]
}

複数のグラントが特定のユーザーに一致する場合は、最も権限の高いロール（管理者）が優先されます。
完全な構文については、グラントの構成リファレンスを参照してください。

管理者アクセスを検証する

管理者アクセスを制限したら、構成が正しいことを検証します。

  1. 「設定（Settings）」ページを開きます。構成を表示・編集できれば、管理者アクセスは機能しています。
  2. 管理者ではないデバイスからサインインするか、管理者ではないユーザーに、「設定」ページにアクセスできないことを確認してもらいます。

次のステップ