JIRAのユーザー管理・権限管理についてまとめてみました

こんにちは。リックソフト プリセールスの奥村です。

プリセールスでAtlassian製品紹介を行ったときや製品をご評価いただいている際に、お客様より「ユーザーに対する利用制限はどこまでできるの？」「プロジェクトごとに権限は変更できるの？」や、「アカウント管理を社内の既存システムと連携したい」などのご要望、ご質問をいただくことがあります。

ですが、口頭やデモ画面あるいはメールでの回答だけでは十分なご説明ができないため、ユーザー管理や権限管理の概要についてここでお話させていただきます。

尚、ここでは製品のユーザーや権限設定のための機能や役割の説明までとなっており、具体的な権限で設定できる内容や種類までは説明しておりませんのでご了承ください。

今回はJIRAに対する説明です。

アカウント管理

[管理 > ユーザー管理]

JIRAが管理するアカウントは、ユーザーとグループの2種類があります。

ユーザー

• • 個人単位のアカウントです。
  • JIRAの中で、個人を特定して管理が必要なメンバーは全員ユーザー登録が必要です。
    ※JIRAにログインするメンバーはもちろん、課題の担当者にアサインするメンバーもユーザー登録が必要になります。
  • JIRAを利用しなくなったユーザーは無効にすることでアクセスできないように制御できます。
    ※ユーザーを削除してしまうと、課題に登録されていたそのユーザーの情報は消えてしまいます。
  • ライセンス数 = ユーザー数ではありません。必要なライセンス数はアプリケーションアクセスを許可するユーザー数となります。

グループ

• • JIRAにおける役割と責任に基づき、ユーザーをまとめた代表アカウントです。
  • グループに権限を付けると、グループに属しているユーザーもその権限でJIRAを利用できるように振舞えます。

ベストプラクティス

• ユーザー登録は必須です。
• グループについては下記のロールや権限を考慮して管理しましょう。
• ユーザーやグループはAD連携やSAML連携にも対応しています。利用予定の場合はこれらの連携を意識してユーザーIDやグループを作成しましょう。

アプリケーションアクセス とグローバル権限

アプリケーションアクセスやグローバルパーミッションは、JIRAアプリケーション全体に関係する権限を管理します。

アプリケーションアクセス

[管理 > アプリケーション > アプリケーションアクセス]　または　[管理 > ユーザー管理 > ユーザー > ユーザーの詳細]

• • JIRAにログインできるアカウントを管理します。
  • JIRAの利用ライセンス数はアプリケーションアクセスが許可されたユーザー数となります。
  • アクセス権は「グループ」を指定して付与します。つまりグループに所属する全ユーザーがアカウント管理対象となります。
    ※複数のアクセス権が付与されたグループに所属するユーザーのアカウントも1となり、所属グループ数分カウントされません。
  • [ユーザー管理]でユーザーにアクセスを許可すると、既定に設定されているグループに自動的に所属されます。

グローバルパーミッション

[管理 > システム > セキュリティ]

• • 設定できるグローバル権限の種類は、JIRAやインストールしたアドオンによって決まっていて、独自の権限は作れません。
  • 「グループ」を指定してグローバル権限を付与し、グループに所属する全ユーザーが対象となります。

ベストプラクティス

• • JIRAにログインするユーザーは、アプリケーションアクセス権を持つグループに追加する必要があります。
  • 課題の担当者にアサインするがJIRAにはログインしないユーザーをライセンス管理対象外にしたい場合、アプリケーションアクセス権が付与されたグループに所属させないでください。
    ※ユーザーを無効にしてしまうと、担当者へのアサインもできなくなりますのでご注意ください。

プロジェクトロール

[管理 > システム > セキュリティ]

ロールは「アカウント」と「プロジェクト（の権限）」を関連付ける箱のようなイメージです。

• • ロールはJIRA全体で共通ですが、ロールに割り当てる権限などはプロジェクトごとに指定できます。
  • （e.g.「Manager」ロールは、プロジェクトAとプロジェクトBで異なる権限を持たせることができます。）
  • ロールの作成はJIRAシステム管理者やJIRA管理者だけが行えます。
  • ロールに所属するメンバーの管理はプロジェクト管理者も行えます。

ベストプラクティス

• • 権限の付与は出来る限りロールを利用し、直接ユーザーやグループに付与しないようにすると権限変更作業が楽になります。
  • 特定プロジェクト用のロールを乱立させず、できるだけ汎用的なロールを使いまわすことで運用負担を軽減できます。
  • ロールの名称は、プロジェクトごとに目的が変わらないような名前を付けましょう。

パーミッション／セキュリティ

[管理 > 課題 ]

プロジェクト権限(パーミッション)

• • プロジェクトや課題に対する様々な操作を制限します。
  • 機能に対する閲覧や編集、作成・削除など多くの権限があります。
  • 設定できる権限はJIRAやアドオンによって決まっており、独自権限を作成できません。

権限付与の許可先一覧

• • • プロジェクトロール・・・・・・・・指定したプロジェクトロールに属するユーザー／グループ
    • グループ・・・・・・・・・・・・・指定したグループに属するユーザー
    • 単一ユーザー・・・・・・・・・・・指定したユーザー
    • アプリケーションアクセス・・・・・JIRAにログインできるすべてのユーザー
    • プロジェクトリーダー・・・・・・・プロジェクトリーダーに指定されたユーザー
    • 報告者・・・・・・・・・・・・・・課題を作成したユーザー
    • 現在の担当者・・・・・・・・・・・課題の担当者にアサインされているユーザー
    • ユーザーカスタムフィールド値・・・指定のユーザーカスタムフィールドで選択されたユーザー
    • グループカスタムフィールド値・・・指定のグループカスタムフィールドで選択されたグループに属するユーザー

課題セキュリティ

• • 課題の「セキュリティレベル」フィールドで選択したレベルで、その課題を閲覧できるユーザーを制限できます。
  • 課題の「セキュリティレベル」フィールドの操作は、「課題セキュリティの設定」権限が付与されたユーザーが行えます。
  • セキュリティレベルの許可先は、権限の付与と同じです。

ワークフローセキュリティ

• • ワークフローのトランジション設定「条件」で、トランジションを実行できるユーザーを管理できます。
  • この設定を利用して、課題のステータスを遷移できるユーザーを制限できます。

条件で指定できる許可先一覧

• • • 権限指定
    • プロジェクトロール
    • グループ
    • 報告者のみ
    • 担当者のみ
    • グループカスタムフィールド値

コメントの表示設定

• 課題にコメント入力するときに、指定した範囲のみに公開を制限することが出来ます。（コメントを編集したときの鍵アイコンから選択できます）
• 既定では特定のロールのみに公開を制限できます。（複数のロールは指定できません。）
• システム設定で、グループに対して公開を制限できるようになります。

ベストプラクティス

• • 複数のプロジェクトを管理する場合、プロジェクト固有の権限設定を極力減らし、権限スキームの共通化するようにしましょう。（権限管理やスキームの乱立化を防ぐため）
  • 許可先には、"ユーザーアカウント"や"グループアカウント"などユーザー指定ではなく、"プロジェクトロール","報告者","現在の担当者"などを指定すると運用しやすくなります。
  • ステータスの遷移を特定ユーザーのみに制限する場合、トランジションに該当するロール（承認者／レビュアーなど）を用意し、ユーザをそのロールに登録しましょう。

プロジェクトとパーミッション／セキュリティの関連付け

スキーム

• 設定した権限、課題セキュリティレベル、ワークフローセキュリティは、それぞれ"スキーム"と呼ばれるテンプレートで管理します。
• プロジェクトは管理画面で、参照するスキームを選択できます。
• 複数のプロジェクトで同じスキームを参照できます。
• 設定変更はスキームに対して行うため、スキームを修正すると参照している全プロジェクトに影響があります。
• スキームは権限設定に限らず、画面や課題タイプなどにも使われています。

プロジェクト管理者ができること

ここで紹介した設定のほとんどは、JIRAシステム管理者やJIRA管理者の権限を持つユーザーだけが変更でき、プロジェクト管理者は設定の参照のみが行えます。

プロジェクト管理が自プロジェクトで行える設定は以下の通りです。（権限設定に関わらず。）

• • 定義済みのプロジェクトロールへのプロジェクトメンバーの管理ができます。
  • 画面（フィールドやタブ）の表示可否が設定でき、「課題セキュリティレベル」の表示可否（利用可否）が指定できます。
  • ワークフローの編集はステータスの追加・編集のみで、トランジションは編集できません。
  • バージョンやコンポーネントを追加できます。

いかがでしたでしょうか？

JIRAはロールやスキームといった"概念"、グループといった代表アカウントを用いることで、ユーザーとプロジェクトを直接紐づけずに権限を設定することができます。

またスキームは権限に限らず、複数のプロジェクトで共通利用することができますので、管理者の運用負担の削減にも効果を発揮できます。

今回の説明の内容はJIRAに触れていただくことで、よりご理解を頂けると思いますので、まだの方は是非リックソフトまでご連絡いただきJIRAをご評価してみてください。