組織所有者として、 AIクライアントがユーザー権限のアクセスを通じて Atlas組織に接続できるかどうかと、それらのクライアントが受け取るアクセスのレベルを制御します。 AIクライアントアクセスを有効にするまで、 AIクライアントは組織に接続できません。
Atlas は、既存の組織と既存の Atlas ユーザーが作成した新しい組織の場合、デフォルトでAIクライアントアクセスを無効にします。 Atlas は、Atlas アカウントの作成時に新しいユーザーが作成した組織に対して、デフォルトでAIクライアントアクセスを有効にします。
AIクライアントアクセスが有効になっている場合、 AIクライアントは、そのユーザーに代わって動作するために個々の Atlas ユーザーによって認可される必要があります。 AIクライアントは、認可された Atlas ユーザーの既存の Atlas 権限を使用して動作し、それを超えることはできません。クラスター データを読み取りまたは変更するユーザーの能力は、そのユーザーの Atlas ロールと組織の アクセスモードによって制御されます。 AIクライアントアクセスを有効にする前に、「 ユーザー ロール と データベース アクセス 」でどのロールがAIクライアントをクラスターに接続できるかを確認してください。
Atlas UIでAIクライアントのアクセス設定を管理できます。
ユーザー ロールとデータベース アクセス
AIクライアントアクセス が有効になっている場合、次の Atlas ロールのいずれかを保持するユーザーは、組織のクラスターに接続するためのAIクライアントを認証できます。
ORG_OWNERGROUP_OWNERGROUP_DATA_ACCESS_ADMINGROUP_DATA_ACCESS_READ_WRITEGROUP_DATA_ACCESS_READ_ONLYGROUP_STREAM_PROCESSING_OWNER
AIクライアントのクラスター データへのアクセスは、認可ユーザーの Atlas ロールと組織のAIクライアントアクセスモードの 2 つの制限のうちより制限的です。アクセスモードでは、ユーザーのアクセス権を削減するだけで、ユーザーの ロールで許可される以上のアクセス権は付与されません。例、 ロールを持つユーザーは、組織がAIクライアントの読み取りと書き込みを許可している場合でも、GROUP_DATA_ACCESS_READ_ONLY AIクライアントを介して読み取り専用アクセス権を持ちます。
AIクライアント アクティビティの監査
すべてのツール呼び出しは、呼び出しを行ったAIクライアントを許可した個々のユーザーに属性されます。監査するログで各アクションを実行したユーザーを識別できます。
Atlas は、アプリ接続の新しい監査するイベントを記録し、既存の監査するイベントに削除コンテキストを追加するため、 AIクライアントを介して実行されるアクションを他のアクティビティと区別できます。
Atlas が各アクションをどのように個々のユーザーに属性するかについては、「 セキュリティ、ガバナンス、監査可能性 」を参照してください。
注意
読み取り専用の Atlas Administration API呼び出しは、監査するログに記録されません。これは既存の Atlas の動作であり、 AIクライアントアクセスに固有のものではありません。
AIクライアント アクセスの有効化
組織でAIクライアントアクセスを有効にするには、次の手順を実行します。
AIクライアントのアクセスモードを設定します。
AIクライアントが接続するときに受け取るアクセスモードを選択します。各モードの説明については、 「 AIクライアント アクセス モード 」を参照してください。
AIクライアント アクセス モード
AIクライアントアクセスは次のモードをサポートしています。
読み取り: AIクライアントは、
find、aggregate、count、list-collections、list-indexes、スキーマ検査などの読み取り操作を実行できます。読み取りと書込み: AIクライアントは、
insert-many、update-many、create-collection、create-indexなどの読み取り操作と書込み操作を実行できます。無効: すべてのAIクライアントは組織に接続できません。
構成モード外のツールはAIクライアントのセッションに登録されず、クライアントには表示されません。例、読み取りモードでは、書込みツールはクライアントの使用可能なツールのリストに表示されません。
組織全体のアクセスを無効化
組織への すべてのAIクライアントアクセスを停止するには、 アクセスモードを無効 に設定します。これにより、新たな接続が防止され、組織に接続されたすべてのAIクライアントの既存のコントロールプレーンへのアクセスが直ちに終了します。データベースユーザーなどのクライアントがすでに作成したアーティファクトを介したデータプレーン アクセスは引き続き機能します。
個人ユーザーは、 Atlas UIからいつでも自分の接続を取り消すことができます。
For revocation timing and how to handle federated users, see the revocation and lifecycle guidance in Atlas App Connections Overview.
AIクライアントのアクセス有効期間
デフォルトでは 、ユーザーに代わったAIクライアントのアクセスは、7 日間非アクティブになるか、アクティビティに関係なくアクセスが最初に付与されたときから 30 日後に終了します。このアクセスが終了すると、ユーザーはAIクライアントのプラグインを介して再認証を行い、 AIクライアントを再接続する必要があります。
AIクライアントが有効期間の短い認証情報を使用してデータベースに接続する方法については、「 セキュリティ、ガバナンス、監査可能性 」を参照してください。
組織所有者として、組織の最大トークン有効期間を短縮 できます。最大有効期間を短縮すると、再認証なしで接続がアクティブのままになるウィンドウが短くなります。
Atlas アクセスを管理するためにIdP（IdP）に依存している場合は、最大トークンの有効期間を減らして、IdP で行ったアクセス変更はより早く有効になります。例、 IdP でユーザーのアクセスを取り消すと、トークンの有効期間が短くなり、 AIクライアントが再認証を行う前にそのユーザーの代わりに機能を継続できる期間が短縮されます。
制限
AIクライアントアクセスは組織レベルで適用されます。ユーザーごと、クラスターごと、またはクライアントごとのアクセス制御は設定できず、アクセスモードは組織全体 に適用されます。
AIクライアントアクセスは、次の操作ができないなど、Atlas アプリ接続の制限も共有しますが、これらに限定されません。
特定のAIクライアントへのアクセスを制限する
組織所有者としての個人ユーザーの接続を取り消す
ユーザーの権限のサブセットを委任する
制限事項の完全なリストについては、「 制限事項 」を参照してください。
詳細
For the delegated-access concepts that underlie AI client access, including authorization, consent, and lifecycle, see Atlas App Connections Overview.