ロール
ユーザーとグループをロールに対応付け、各ロールにできることを設定します。
roles 属性
config.yaml の最上位の roles リスト：
| 属性 | 説明 |
|---|---|
| roles array | Roles
The roles provide RBAC. Each role has a name and 1 or more groups (local, ldap or entraid). The
When options are not set, the admin role will have all options. The 例: 1) Roles |
default ロール
サインインしたすべてのユーザーは default ロールを持つので、 roles: [default] のフォームはサインインできる全員に公開されます。 匿名アクセスはありません。サインインせずにこのロールを得ることはできません。
このロールはすでに全員に適用されるため、グループもユーザーも持ちません。その options は全員の既定値になります。詳しくは 下の ロールオプション を参照してください。 config.yaml には admin ロールと default ロールが必要で、 ロールのページでは両方とも 必須 と表示されます。
default は 7.0.0 より前は public と呼ばれていましたが、古い名前も引き続き使えます。
- フォームでは 、
roles: [public]は引き続きすべてのユーザーに一致するので、リポジトリのフォームを変更する必要はありません。 config.yamlでは 、publicという名前のロールは、設定の読み込み時にファイル内でdefaultに名前が変わります。変わるのは 名前だけで、先に設定のバックアップが取られます。リポジトリで管理している設定では、プッシュすべき変更が発生します。- ytt テンプレートでは 、テンプレートは書き換えられません。生成される設定の名前が変わり、ログの警告で テンプレート内のロール名も変更するよう求められます。バージョン 8 では、そこでの
publicロールは拒否されます。
default ロールと public ロールの両方を持つ設定は、同じロールであるため拒否されます。
Role オブジェクト
roles リストの各エントリ：
A role allows RBAC. Each role has 1 or more groups (local or ldap). Except the default role (public its old name), which has no groups.
The default and admin roles are mandatory.
| 属性 | 説明 |
|---|---|
| name string / required / unique | The name of the role
The name of a role has to be unique. The |
| groups array / required | Groups
A list of groups. They must be in the format of A Microsoft Entra ID group can be named by its object id,
|
| users array / required added in version 4.0.10 | User
A list of local or ldap users. They must be in the format of |
| credentials array added in version 7.0.0 | The credentials this role may use
Limits the credentials a user of this role may use: those a job passes to a playbook or a template (the form’s A user none of whose roles lists credentials may use every credential, as before. Once one of their roles lists them, they may use what any of the roles that list them allows. The |
| secretStores array added in version 7.0.0 | The secret stores this role may read inline
Limits the secret stores a user of this role may read through an inline reference ( |
| runners array added in version 7.0.0 | The runners this role may run jobs on
Limits the runners a job of a user of this role may run on: the form’s |
| options object added in version 5.0.8 | Role options
Since version 5.0.8 you can add specific role options. The options are used to enable or disable certain features for a role.
When options are not set, the admin role will have all options. |
| Examples | |
| 1) Roles | |
ロールオプション
ロールの options は、そのメンバーに対して機能をオン／オフにします。7.3.0 からは、ロールのページで四つのグループに分けて表示され、 各オプションには、何ができるようになるかを説明する (i) があります。プロフィールの 権限 ビューと同じテキストです。
| オプション | ユーザーにできること | 既定値 |
|---|---|---|
| 設定 | ||
showSettings | すべての設定ページの表示と変更。サーバーログとバックアップには専用のオプションがあります | 管理者のみ |
showAppearanceSettings | ほかの設定なしで、外観の設定を変更（7.3.0 から） | オフ |
showConnectionsSettings | ほかの設定なしで、接続の設定（認証情報、ランナーなど）を管理（7.3.0 から） | オフ |
showLogs | サーバーログの表示 | 管理者のみ |
showAuditLog | ほかの設定なしで、監査ログを表示（7.3.0 から） | 管理者のみ |
allowBackupOps | データベースのバックアップとリストア | 管理者のみ |
| デザイナー | ||
showDesigner | デザイナーの表示と使用 | 管理者のみ |
allowFormDesign | デザイナーでフォームの設定（カテゴリ、定数、フォーム）を編集。ない場合は読み取り専用（7.3.0 から） | オン |
designAllForms | デザイナーですべてのフォームを表示・編集。ない場合はユーザーのロールのフォームだけ（7.5.0 から） | オン |
allowPlaybookDesign | デザイナーでプレイブックを編集（保存、作成、削除、プッシュ）。ない場合は読み取り専用 | オン |
designAllPlaybooks | デザイナーですべてのプレイブックを表示・編集。ない場合はユーザーのフォームが使うものと、まだどのフォームも使っていないものだけ（7.5.0 から） | オン |
allowWorkflowDesign | デザイナーでワークフローを編集（保存、作成、削除、プッシュ）。ない場合は読み取り専用 | オン |
designAllWorkflows | デザイナーですべてのワークフローを表示・編集。ない場合はユーザーのフォームが使うものと、まだどのフォームも使っていないものだけ（7.5.0 から） | オン |
allowInventoryDesign | デザイナーでインベントリを編集（保存、作成、削除、プッシュ）。ない場合は読み取り専用 | オン |
allowVarsFileDesign | デザイナーで変数ファイルを編集（保存、作成、削除、プッシュ）。ない場合は読み取り専用 | オン |
| ジョブ | ||
showJobs | ジョブページの表示 | オン |
showAllJobLogs | 自分のジョブだけでなく、すべてのユーザーのジョブを表示 | 管理者のみ |
manageAllJobs | すべてのユーザーのジョブの中止、削除、再実行。削除と再実行には下の二つのオプションも必要です（7.3.0 から） | 管理者のみ |
showExtravars | フォームとジョブの extravars を表示 | オン |
showDebugButtons | フォームのデバッグボタンを表示 | オン |
showArtifacts | ジョブのアーティファクト（AWX ジョブが返すもの、またはプレイブックが set_stats で集めたもの）を表示 | オン |
allowVerboseMode | 詳細モードでジョブを実行 | オン |
allowJobRelaunch | 以前の実行のフォームデータでジョブを再実行 | 管理者のみ |
allowJobDeletion | ジョブの削除。自分のジョブ、または manageAllJobs があればすべてのユーザーのジョブ。ない場合はジョブ履歴がすべて残ります（7.3.0 から） | オン |
allowScheduledJobs | スケジュール ページで、繰り返しと一回限りのスケジュールを作成、管理（下の警告を参照） | 管理者のみ |
allowPlannedJobs | 決まった時刻に一度だけ実行するようジョブを計画（ 後で実行 ） | オン |
allowStoredJobs | フォームのデータを保存し、後で再び読み込む | オン |
| アクセスと連携 | ||
allowLogin | AnsibleForms にサインイン | オン |
allowChat | 有効な場合に チャットアシスタント を使用 | オン |
allowMcp | 有効な場合に AI エージェントから MCP サーバー を使用 | ロールの allowChat |
allowFileUploads | フォームのファイルフィールドからファイルをアップロード（7.3.0 から） | オン |
allowApiTokens | インスタンスが許す最長の有効期間まで、スクリプト用の API トークン を作成（7.3.0 から） | オフ |
extendedTokenExpiration | 期限切れにならない API トークンも作成。 allowApiTokens が必要です | オフ |
ほかのオプションを含むオプションもあり、ロールのページでは含まれるオプションがオンかつグレー表示になります。
showSettingsはshowAppearanceSettings、showConnectionsSettings、showAuditLogも与えます。manageAllJobsはshowAllJobLogsも与えます。すべてのユーザーのジョブを操作するには、それらを見る必要があるためです。- デザインのオプション は
showDesignerがある場合にだけ意味を持ち、extendedTokenExpirationはallowApiTokensがある場合だけです。
7.2.0 までは、 showAllJobLogs で表示されるジョブの中止と削除もできました。7.3.0 からは manageAllJobs が必要です。 7.3.0 より前の、 extendedTokenExpiration があって allowApiTokens がないロールには allowApiTokens が付与されるので、トークンはそのまま使えます。
designAllForms、 designAllPlaybooks、 designAllWorkflows は管理者には常にオンです。これらがないユーザーにデザイナーが何を表示するかは 制限付きのデザイナー利用者 で説明しています。
管理者のみ は、 admin ロールを持つユーザーにはオン、それ以外の全員にはオフという意味です。ユーザーが複数のロールに一致する場合、 オプションは次のように組み合わされます。
- ユーザーのロールの間では 、オプションを設定しているすべてのロールが同意している場合にだけオンになります。明示的な
falseが優先されます。 defaultロール は、ユーザーのほかのロールがどれも設定していないオプションを補うので、全員の既定値を持たせることができます。- どこにも設定されていないオプション は、表の既定値になります。
V が大文字の showExtraVars も showExtravars の別の綴りとして受け付けられます。どちらかの綴りが false の場合、 オプションはオフになります。
allowScheduledJobsは管理者レベルのオプションとして扱ってください。スケジュールは作成したユーザーの所有物ではなく、このオプションを持つ すべてのユーザーがすべてのスケジュールを表示、変更できます。また、スケジュールは作成者自身のアクセス権にかかわらず、どのフォームでも管理者権限で実行されます。 管理者として信頼できるロールにだけ付与してください。
defaultロールでallowLogin: falseにすると、ほかのロールでallowLogin: trueを設定していないすべてのユーザーが、管理者も含めて 締め出されます。保存する前に、サインインが必要なロールで改めて許可してください。