Organization Owner は、ユーザーが委任したアクセスを通じて AI クライアントが Atlas 組織に接続できるかどうか、またそのクライアントが受け取るアクセスのレベルを制御できます。AI クライアントのアクセスを有効にするまで、AI クライアントは組織に接続できません。
Atlas は、既存の組織と、 既存の Atlas user が作成した 新規組織に対して、AI クライアント アクセスをデフォルトで 無効にします 。Atlas は、新規ユーザーが Atlas アカウントを作成するときに作成する組織に対して、AI クライアント アクセスをデフォルトで有効にします。
AI クライアント アクセスが有効になっている場合、AI クライアントは個別の Atlas user によって認可され、そのユーザーに代わって操作する必要があります。AI クライアントは、認可した Atlas user の既存の Atlas パーミッションを使用して操作しますが、それを超えることはできません。ユーザーがクラスター データを読み取りまたは変更する能力は、そのユーザーの Atlas ロールと組織のアクセス モードによって制御されます。AI クライアント アクセスを有効にする前に、ユーザー ロールとデータベース アクセスで、AI クライアントをクラスターに接続できるロールを検討してください。
Atlas UI で AI クライアントアクセス設定を管理できます。
ユーザーのロールとデータベースへのアクセス
AI クライアント アクセスが有効になっている場合、次の Atlas ロールのいずれかを持つユーザーは、AI クライアントが組織のクラスターに接続することを承認できます。
ORG_OWNERGROUP_OWNERGROUP_DATA_ACCESS_ADMINGROUP_DATA_ACCESS_READ_WRITEGROUP_DATA_ACCESS_READ_ONLYGROUP_STREAM_PROCESSING_OWNER
AI クライアントのクラスター データへのアクセスは、次の 2 つの制限のうちでも厳しい方です。アクセスを認可するユーザーの Atlas ロールと組織のAI クライアント アクセス モードです。アクセス モードはユーザーのアクセスを減らすことはできますが、ユーザーのロールで許可されている以上のアクセスを付与することはできません。例えば、 GROUP_DATA_ACCESS_READ_ONLYロールを持つユーザーは、組織が AI クライアントに対して読み取りと書き込みを許可している場合でも、AI クライアントを介して読み取り専用のアクセスを持ちます。
AI クライアントの活動を監査する
すべてのツール呼び出しは、呼び出しを行った AI クライアントを認可した個別のユーザーに割り当てられます。監査ログで、どのユーザーが各アクションを実行したかを確認できます。
Atlas は、アプリ接続の新しい監査イベントを記録し、既存の監査イベントに委任コンテキストを追加することで、AI クライアントを介して実行されたアクションを他のアクティビティと区別できるようにします。
Atlas が各アクションを個別のユーザーに割り当てる方法については、「セキュリティ、ガバナンス、および監査可能性」を参照してください。
注意
読み取り専用の Atlas Administration API の呼び出しは、監査ログに記録されません。これは既存の Atlas の動作であり、AI クライアント アクセスに固有のものではありません。
AI クライアントアクセスを有効にする
組織の AI クライアント アクセスを有効にするには、次の手順を実行します。
AI クライアントのアクセス モードを設定します。
AI クライアントが接続する際に受け取るアクセス モードを選択します。各モードの説明については、AI クライアント アクセス モードを参照してください。
AI クライアント アクセス モード
AIクライアントアクセスは次のモードをサポートします。
読み取り: AI クライアントは、
find、aggregate、count、list-collections、collection-indexes、スキーマ検査などの読み取り操作を実行できます。読み取りと書き込み: AI クライアントは、
insert-many、update-many、create-collection、create-indexなどの読み取り操作と書き込み操作を実行できます。無効: AI クライアントは組織に接続できません。
構成されたモード外のツールは AI クライアントのセッションに登録されていないため、クライアントに表示されません。例えば、読み取りモードでは、書き込みツールはクライアントの使用可能なツールのリストに表示されません。
組織全体のアクセスを無効にする
組織へのすべての AI クライアント アクセスを停止するには、アクセス モードを無効に設定します。これにより、新しい接続が防止され、組織に接続されているすべての AI クライアントの既存のコントロール プレーン アクセスが直ちに終了します。クライアントが既に作成したデータベースユーザーなどのアーティファクトを介したデータ プレーン アクセスは引き続き機能します。
個別のユーザーは、Atlas UI からいつでも自分の接続を取り消すことができます。
失効のタイミングとフェデレーティッドユーザーの取り扱いについては、Atlas アプリ Connectionsの概要の失効とライフサイクルのガイダンスを参照してください。
AI クライアント アクセス ライフタイム
デフォルトでは、AI クライアントによるユーザーに代わってのアクセスは、未使用状態が 7 日続いた場合、またはアクティビティに関わらずアクセスが最初に付与されてから 30 日経過した場合に終了します。このアクセスが終了すると、ユーザーは AI クライアントのプラグインを介して再認証し、AI クライアントを再接続する必要があります。
AI クライアントが期間限定の認証情報を使用してデータベースに接続する方法については、セキュリティ、ガバナンス、および監査機能を参照してください。
Organization Owner は、組織のトークンの最大有効期間を短縮できます。最大有効期間を短縮すると、再認証なしで接続がアクティブのままになる期間が短くなります。
Atlas アクセスの管理に IdP を使用する場合は、トークンの最大有効期間を短縮します。それにより、IdP で行ったアクセス変更がより早く適用されます。例えば、IdP でユーザーのアクセスを取消すると、トークンの有効期間が短いと、AI クライアントがユーザーに代わって動作を続けることができる期間が短くなり、再認証が必要になるまでの時間が短縮されます。
制限
AI クライアント アクセスは組織レベルで適用されます。ユーザー単位、クラスター単位、またはクライアント単位のアクセス制御を設定することはできません。アクセス モードは組織全体に適用されます。
AI クライアントアクセスにも Atlas アプリ Connections と同様の制限があります。これには、次のような機能が含まれますが、これに限られません。
特定の AI クライアントへのアクセスを制限する
Organization Owner としての個別ユーザーの接続を取り消します
ユーザーの許可のサブセットを委任します
制限の全体については、制限を参照してください。
詳細
認可、 同意 、ライフサイクルなど、 AIクライアントアクセスの基盤となるアクセス権限の概念については、Atlas アプリ接続の概要を参照してください。