View a markdown version of this page

承認ワークフロー - Amazon Quick
概要仕組み承認ポリシーの設定共有リクエストの送信リクエストの確認と対応アクセスの検証パッケージ共有API リファレンスよくある質問

翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

承認ワークフロー

 適用対象: Enterprise Edition 
   対象者: システム管理者と Amazon Quick 管理者 

承認ワークフローの概要

承認ワークフローでは、Amazon Quick のアセットに対する特定のアクションが有効になる前に、指定された承認者グループがそれらのアクションを確認して承認する必要があります。承認者がアクセスを許可する前に、信頼できるレビューワーが共有決定を検証する場合は、承認ワークフローを使用します。これにより、機密性の高いアセットへの不正アクセスのリスクが軽減されます。

現在、承認ワークフローはアクションの共有をサポートしています。ターゲットユーザーは、承認者がリクエストを承認した後にのみアクセスを受け取ります。

承認ワークフローでは、次のアセットタイプがサポートされています。

  • ナレッジベース

  • スペース

  • カスタムチャットエージェント

仕組み

承認ワークフローはオプトインです。共有には、管理者がアセットタイプのポリシーを作成して有効にした後にのみ承認が必要です。

承認ワークフローには 3 つのペルソナが含まれます。

管理者

承認ポリシーを作成および管理します。

リクエスタ

承認が必要な共有リクエストを送信します。

承認者

保留中の承認リクエストを確認して対応します。

管理者向け: 承認ポリシーの設定

管理者は、アカウント管理コンソールの承認ポリシーセクションで承認ポリシーを作成および管理します。

承認ポリシーに移動するには

  1. 管理者として Quick にサインインします。

  2. アカウント名を選択し、アカウントの管理を選択します。

  3. 左側のナビゲーションペインで、承認ポリシーを選択します。

承認ポリシーを作成するには

  1. [ポリシーを作成] を選択します。

  2. ポリシー名とオプションの説明を入力します。

  3. ポリシーが適用されるアセットタイプを選択します。

  4. 1 つ以上の承認者グループを選択します。これらは、IAM Identity Center、IAM フェデレーション、または Active Directory の既存の ID グループです。

  5. ポリシーの割り当てで、共有時にメンバーが承認ワークフローを通過する必要があるユーザーグループを選択します。

  6. [ポリシーを作成] を選択します。

既存のポリシーを管理するには、ポリシーを選択して、サイドパネルでその詳細を表示します。そこから、ポリシー名、説明、アセットタイプ、承認者グループを編集できます。不要になったポリシーを削除することもできます。

リクエスタの場合: 共有リクエストの送信

承認要件は、共有アクションによって異なります。

アセットに新しいユーザーを追加する

承認が必要です。

アクセスのアップグレード (ビューワーから所有者など)

承認が必要です。

アクセスをダウングレードする

すぐに有効になります。承認は必要ありません。

アクセスを削除する

すぐに有効になります。承認は必要ありません。

共有リクエストを送信するには

  1. 共有するアセットを見つけます。

  2. [共有] を選択します。

  3. 人またはグループを追加するか、既存のロールを変更します。

  4. 承認ポリシーがアクティブな場合、承認リクエストフォームに次のフィールドが表示されます。

    • (必須) メモ – 承認者のコンテキスト。

    • (オプション) 重要度 – Low、Medium、High など。

    • (必須) による承認 – 決定が必要な日付。これは将来の日付である必要があります。

  5. [リクエストを送信] を選択します。

送信後の処理

リクエストを送信すると、次のようになります。

  • 承認者グループは、アセットへのビューワーレベルのアクセスを受け取り、アセットを確認できるようにします。Quick は、リクエストの送信時にこのアクセスを許可し、後で自動的に削除することはありません。アセット所有者は承認者グループを手動で削除します。

  • リクエストは保留中のステータスになります。

  • ターゲットユーザーは、リクエストが承認されるまでアクセスを受け取りません。

リクエストの追跡

送信されたリクエストを追跡するには、自分のモノに移動し、マイタスクウィジェットを選択します。Submitted by Me を選択します。

リクエストを開くと、ステータス (保留中、承認済み、または拒否）、アセットとターゲットユーザー、送信されたメモ、重要度、日付、承認者のコメントまたは決定履歴が表示されます。

承認者向け: リクエストの確認と対応

保留中のリクエストにアクセスするには、「自分のモノ」に移動し、「自分のタスク」を選択します。All and Assigned To Me (承認者グループにルーティングされたリクエスト) でリクエストを表示できます。

リクエストを処理する前に、リクエストを申請する必要があります。Claim Request を選択して、リクエストを Assigned To Me に移動します。これにより、承認アクションと拒否アクションが公開されます。

承認者が受け取るアクセスは、アセットタイプによって異なります。

実行可能アセット (エージェント)

テストの実行アクセス。アセットは作成者のコンテキストで実行されるため、承認者は基盤となるデータソースに直接アクセスできません。

コンテンツアセット (スペース、ナレッジベース)

コンテンツを確認するための読み取りアクセス。

アセットを確認したら、次のいずれかのアクションを選択します。

  • 承認 – ターゲットユーザーはアクセスを受け取ります。リクエストのステータスが「クローズ済み – 承認済み」に変わります。

  • 拒否 – リクエストは拒否されます。リクエスタは理由コードと書面によるフィードバックを受け取ります。リクエストのステータスが「クローズ済み – 拒否」に変わります。

承認後のアクセスの検証

承認者がリクエストを承認したら、クイックがアクセスを正しく付与したことを確認できます。

  • ターゲットユーザー – 共有アセットが関連するセクションの下に表示されます。すぐに表示されない場合は、ページを更新します。

  • リクエスタ – 「自分のモノ」で「自分のタスク」を選択し、「自分に送信済み」を選択します。リクエストには、承認済みステータスが表示されます。詳細パネルには、履歴とタイムスタンプが表示されます。

  • 管理者 – アセットの共有設定を確認します。 AWS CloudTrail の監査証跡は、ユーザー、アセット、タイムスタンプ、メモを使用して、アクションの送信、承認、拒否、取り消しをキャプチャします。

カスタムチャットエージェントのパッケージ共有

カスタムチャットエージェントを共有する場合、エージェントとその依存関係 (ナレッジベース、コネクタ、スペース) を含むパッケージ共有リクエストを単一のall-or-nothing承認として送信できます。

  • 承認 – ターゲットユーザーはエージェントとリストされているすべての依存関係を取得します。

  • 拒否 – コンポーネントへのアクセスは許可されません。

承認者は、決定する前にアセットページで完全な依存関係リストを表示できます。

API リファレンス

承認ポリシーのプログラムによる管理については、「Amazon Quick API リファレンス」を参照してください。

よくある質問

デフォルトでは承認が必要ですか?

いいえ。承認ワークフローはオプトインのみです。管理者がポリシーを作成して有効にしない限り、承認は必要ありません。

どのエディションが承認ワークフローをサポートしていますか?

承認ワークフローは Quick Enterprise Edition で利用できます。

承認者になることができるのは誰ですか?

プロフェッショナルユーザーとエンタープライズユーザーの両方が承認者になることができます。Professional および Enterprise は、Quick Enterprise Edition 内のユーザーサブスクリプションであり、Quick の個別のエディションではありません。

どのグループを承認者グループとして使用できますか?

IAM Identity Center、IAM フェデレーション、または Active Directory から既存の ID グループを使用できます。

リクエストが拒否された場合はどうなりますか?

リクエスタは理由コードと書面によるフィードバックを受け取ります。リクエストを修正して再送信できます。

アセットへの承認者のアクセスは、決定後に削除されますか?

いいえ。承認者グループはビューワーレベルのアクセスを保持します。アセット所有者は承認者グループを手動で削除します。

承認ポリシーを削除するとどうなりますか?

進行中の保留中のリクエストは完了し続けます。これらのアセットタイプの新しい共有リクエストは、承認を必要としなくなりました。

リクエスタは保留中のリクエストをキャンセルできますか?

はい。「マイモノ」で「マイタスク」を選択し、「Submited By Me」を選択し、「Cancel request」を選択します。

承認者には新しいリクエストが通知されますか?

はい。新しいリクエストが送信されると、承認者に通知されます。

承認イベントを監査できますか?

はい。すべての承認イベント (送信、承認、拒否、取り消し) は AWS CloudTrail に記録されます。