チームロール（RBAC）
Cliqer では、チームの各メンバーが管理できる範囲をチームロールで制御します。
ロールは Enterprise プラン、または Presenter、Studio HD、Studio 4K、Studio 8K の Enterprise アドオンに含まれ、
ダッシュボード → チーム → セキュリティ（/dash/team/security）で管理します。
ロールが制御するのはチーム管理操作です：メンバーの招待、ブランディングの編集、 セキュリティ、API キー、カスタムドメインの管理。ロールはサーバー側で強制されます。 すべての管理エンドポイントは、処理を行う前に操作するメンバーの権限を確認するため、 付与されていない権限は API 経由であっても使用できません。
権限
各ロールには、以下の権限を自由に組み合わせて付与できます。
| 権限 | 許可される操作 |
|---|---|
| メンバーの管理 | チームメンバーの招待、削除、ロールの変更 |
| ブランディングの管理 | チームのホワイトラベルブランディングの編集 |
| セキュリティの管理 | SSO プロバイダー、SCIM トークン、SSO の強制、カスタムロール |
| API キーの管理 | セルフサービス API キーの発行と失効 |
| カスタムドメインの管理 | カスタムドメインの追加、検証、削除 |
組み込みロール
すべてのチームには、3 つの組み込みロールがあります。
| ロール | 権限 |
|---|---|
| オーナー | 常にすべての権限を持ちます。オーナーは SSO の緊急用（ブレークグラス）アカウントでもあります。 |
| 管理者 | メンバー、ブランディング、セキュリティの管理 |
| メンバー | 管理権限なし（製品は使用できますが、チームの管理はできません） |
API キーとカスタムドメインは、デフォルトでオーナーまたはカスタムロールのみが管理できます。管理者は、 カスタムロールで権限を付与しない限り、これらを管理できません。
カスタムロール
組み込みロールでは足りない場合は、必要な権限だけを正確に持つカスタムロールを作成し、 メンバーに割り当てます。カスタムロールでオーナーが持つ以上の権限を付与することはできません。
- チーム → セキュリティ → チームロールで、カスタムロールの作成、編集、削除を行います。
- メンバーにカスタムロールを割り当てると、そのメンバーの組み込みロールは上書きされます。
- カスタムロールを削除すると、そのロールを使用していたメンバーは自動的に組み込みロールに 戻ります。
強制の仕組み
チーム管理エンドポイントは、操作するメンバーの実効権限を解決します（オーナーはすべて、
カスタムロールは明示的に指定された権限、それ以外は組み込みロールのデフォルト）。そして、
必要な権限がない場合はリクエストを拒否します。これはダッシュボード全体で使われているのと同じチェック
（security.manage、members.manage、…）であるため、UI に表示される内容と
サーバーが許可する内容は常に一致します。