---
author: OOMOL
author_url: https://oomol.com/ja/about/
title: アクセス制御
description: Provider authorization、connection access、呼び出し可能な actions の管理方法を説明します。
lang: ja
canonical_url: https://oomol.com/ja/docs/access-control/
markdown_url: https://oomol.com/ja/docs/access-control.md
---

# アクセス制御

OOMOL Connector では、connection ごとに詳細な access control を設定できます。Provider authorization、connection が呼び出せる actions、その connection を使用できる Team members を個別に制限できます。同じ App account を複数回接続し、members ごとに異なる action sets を提供することもできます。

call で実行できる操作は、次の permission boundaries の積集合です。

```text
Provider OAuth scopes
        ∩
Personal or Team connection access
        ∩
Allowed actions
        ∩
CLI, MCP, or SDK identity scope
        ↓
Actions that can be executed
```

個人は、自分の Provider account が OOMOL に許可する操作と、connection が許可する actions を決定します。Team creators と administrators は、各 member が使用できる connections を決定します。member が呼び出せる actions は、アクセス可能な connections によって決まります。

## personal access control

account を接続した人が、その connection を管理します。

| 管理項目 | 設定場所 |
| --- | --- |
| App account の接続または切断 | [Connections](https://console.oomol.com/connections) |
| OAuth scopes の選択または更新 | App connection page |
| connection で許可する actions の確認と設定 | App connection page の **Action access** |
| API keys、custom credentials、authorization の置き換え | App connection page |
| Connector API keys の作成、rotation、revoke | [API Keys](https://console.oomol.com/api-key) |

connection で OAuth scopes を選択できる場合、Console は Provider に redirect する前に permission list を表示します。タスクに必要な scopes だけを選択し、high-risk permissions は必要な場合にのみ有効にしてください。

すべての Provider で OOMOL から個別に scope を選択できるわけではありません。Provider authorization page が最終的な正確な情報源です。既存 scopes を減らすには更新または再接続し、connection の使用を完全に停止するには切断します。

[Console で personal Connections を管理 →](https://console.oomol.com/connections)

## 呼び出し可能な actions

各 action は、実行に必要な scopes または Provider permissions を宣言します。次のすべての条件を満たす場合にだけ、caller が action を利用できるようにしてください。

1. 対応する connection が active である。
2. Provider authorization に action が必要とする scopes が含まれている。
3. personal または Team access policy が action を許可している。
4. 現在の CLI、MCP、SDK identity が対応する connection を使用できる。

Console で Connections を開き、対象の App から action schemas と required scopes を確認します。**Action access** で、connection が許可する actions を設定します。

- **Unrestricted** は、すべての actions、Proxy、`call_tool` を利用可能にします。
- **Custom limits** は、明示的に選択した actions だけを許可し、Proxy と `call_tool` を無効にします。

![Unrestricted と Custom limits の options、および grouped action allowlist controls を備えた Action access 設定 dialog](/img/docs/access-control/action-access.webp)

scopes が不足している action には、Provider authorization の更新が必要です。policy で拒否された action は discovery results に表示されず、直接実行しても拒否されます。

personal connection では、**Action access** で呼び出し可能な action set を設定します。OAuth scopes と connection status は、effective set を引き続き制限します。Team connections でも同じ action configuration を使用し、members は connection への access を付与されることで allowed actions を利用できます。

## チームのアクセス制御

Team permissions は、Provider authorization に加えて connection access control を適用します。Team は individual member に action allowlist を直接設定しません。各 connection の **Action access** を設定し、**Member access** でその connection を使用できる人を決めます。

**Member access** では、次の 2 つの connection access ranges から選択します。

- **Whole Team** は、すべての Team members に connection の使用を許可します。
- **Selected members** は、明示的に選択した members だけに connection の使用を許可します。

![Whole Team と Selected members の options、および member selection controls を備えた Member access 設定 dialog](/img/docs/access-control/member-access.webp)

| 管理項目 | 設定場所 |
| --- | --- |
| members の追加または削除 | [Team management](https://console.oomol.com/members) |
| Admin または Member roles の割り当て | Team member list |
| members の有効化または無効化 | Team member list |
| connection を使用できる members の設定 | connection の **Member access** |
| connection が許可する actions の設定 | connection の **Action access** |

member が呼び出せる actions は、アクセス可能なすべての connections で許可された actions の和集合です。**Unrestricted** を選択していても、OAuth scopes と Provider account 自体の permissions が effective capabilities を制限します。

### members ごとに異なる permissions を割り当てる

1 つの connection には、1 つの **Action access** configuration と 1 つの **Member access** configuration があります。同じ App account から members ごとに異なる capabilities を提供する場合は、account を複数回接続し、各 connection を個別に設定します。

たとえば、同じ Gmail account に 2 つの connections を作成します。

1. **Read-only email**：**Action access** で email の検索、読み取り、download 用 actions だけを許可します。**Member access** では、email の読み取りだけが必要な members を選択します。
2. **Send email**：email の送信に必要な actions を許可し、Team に代わって送信できる members にこの connection を割り当てます。読み取りも必要な場合は、関連する read actions も含めます。

![同じ Gmail account を 2 回接続し、member access と action call scope を connection ごとに個別設定した画面](/img/docs/access-control/multiple-connections.webp)

members は、アクセス可能な connections で許可された actions だけを検出して呼び出せます。member が複数の connections に割り当てられている場合、effective permission set はそれらの connections で許可された actions の和集合です。

members は、Team-scoped CLI、MCP、その他の対応 entry point から付与された capability を使用できますが、Provider の生の tokens は受け取りません。

[Console で Team access を管理 →](https://console.oomol.com/members)

## access を管理できる人

| 主体 | 責任範囲 |
| --- | --- |
| Connection owner | Provider scopes を選択し、account の再認証または切断を行います |
| Team creator | Team、members、roles、各 connection の member access と action access を管理し、default connection access を持ちます |
| Team admin | members、roles、connection permission settings の管理を補助します |
| Team member | 生の credentials を読むことなく、アクセス可能な connections と、それらが許可する actions を使用します |

Team plan は seat ごとに課金されます。現在の seats と charges は [Console の Billing](https://console.oomol.com/billing) で確認してください。permissions は plan、member status、Provider account 自体の authorization によっても変わります。

## 一般的な操作

### personal connection permissions を減らす

1. Console で Connections を開きます。
2. 対象の App と connection を開きます。
3. authorization の更新または再接続を選択します。
4. 不要になった optional scopes を削除し、Provider page で確認します。

### member の access を一時停止する

1. Team management を開き、正しい Team を選択します。
2. member を無効にするか、その connection access だけを取り消します。
3. その Team identity を使う後続の calls で、対応する access が失われていることを確認します。

member を無効にしても、Team の Provider connection は削除されません。Provider account を切断すると、その connection に依存するすべての calls に影響します。

## access と execution confirmation

action が許可されていても、Agent が messages を送信する、external data を変更する、sharing を拡大する、content を削除する前に、target connection、action、final parameters を確認してください。

## Proxy と `call_tool` とは

| Capability | 機能 | Custom limits が無効にする理由 |
| --- | --- | --- |
| Proxy | endpoint が action として model 化されていない場合に、connection credentials を使って Provider API を直接 request します | request される endpoint と method が、選択された action allowlist の範囲外です |
| `call_tool` | dynamic MCP tools を持つ Apps で、upstream MCP tool を name と arguments で呼び出します | upstream tools は個別に selectable actions として model 化されない場合があり、tool list も変わる可能性があります |

Proxy と `call_tool` は connection の Provider authorization によって引き続き制限されますが、named action allowlist だけでは完全に制限できません。**Custom limits** は両方の path を閉じ、明示的に選択した actions だけを calls が実行できるようにします。unmodeled API または dynamic MCP tools への access が必要な場合だけ **Unrestricted** を使用し、**Member access** も適切に絞り込んでください。

Team roles と member access boundaries については、[Team 管理](/ja/docs/team-management/)に進んでください。