管理メンバーはコントロールプレーンの ID です。/mcp クライアントを認証する MCP キーとは別です。
メンバーのライフサイクル
新しいメンバーには、有効なメールアドレスと 8 文字以上のパスワードが必要です。ユーザー名は任意で、最大 100 文字です。作成時にはロール ID を明示して割り当てるか、すべてのロールを指定できます。
メンバー一覧は検索文字列、有効状態、ロールで絞り込みでき、ページングにも対応します。2.0.2 のメンバー表示には、アカウント状態、作成日時／最終ログイン日時、アクティブセッション数、現在のロール ID／名前が含まれます。
メンバー管理操作
| 操作 | 権限 | 主なガードレール |
|---|---|---|
| メンバー作成 | /auth/user → create | メール／パスワードの検証あり |
| メンバー一覧／検索 | /auth/user → view | 状態／ロール／検索条件に対応 |
| メンバーのロールを置換 | /auth/user → edit | 自分自身のロールは変更不可 |
| アカウントの有効化／無効化 | /auth/user → edit | 自分自身は無効化不可 |
| メンバーの全セッションを失効 | /auth/user → edit | 対象メンバーのセッションを直ちに無効化 |
| パスワード変更を要求 | /auth/user → edit | 次回サインイン時に強制 |
| メンバー削除 | /auth/user → delete | 自分自身は削除不可 |
ロール
ロールには一意な名前、任意の説明、permission/action の選択セットがあります。ロール割り当ては多対多で、1 人のメンバーが複数ロールを持つことも、1 つのロールを複数メンバーに割り当てることもできます。
組み込みの SuperUser ロールは保護されています。変更・削除はできず、新規ロールや名前変更後のロールにこの保護済み ID を使用することもできません。
ロール編集は現在の認可状態にも反映されます
ロールの権限セットが変更されると、2.0.2 はそのロールを割り当てられているメンバーを特定し、security version を増加させ、auth runtime-state cache barrier を通して変更を実行します。これにより、すでに認証済みのセッションが古いロール認可を無期限に保持することを防ぎます。
メンバーに割り当てられているロールを削除する場合も同じ考え方が適用されます。
ロール削除前に依存関係を確認する
ロールの dependency エンドポイントは、次の両方を返します。
- ロールに設定されている permission/action エントリ
- 現在そのロールを割り当てられているメンバー
メンバーが割り当てられたままのロールは、既定では削除を拒否されます。明示的な force=true 経路もありますが、影響を受けるメンバーはそのロールを失い、security state も無効化されるため、先に依存関係を確認してください。
パスワードとセッションへの対応
メンバー管理では、次回サインイン時のパスワード変更を必須にしたり、対象メンバーの全セッションを失効したりできます。ユーザー自身も Auth API から自分のセッションを管理できます。
ロールの背後にある認可モデルについては 権限 を参照してください。