メインコンテンツまでスキップ

タグ

タグはレコードを分類するラベルです。1 つの語彙を、タグを付けられる 7 つの登録簿すべてで共有します。aws というタグ 1 つで、シークレットも MCP サーバーも同じように絞り込めます。

管理サイドバーの Tags を開くと語彙を整えられます。各タグは、テナント内で一意の Name、任意の Description、固定の 8 色パレットから選ぶ色(パレットにない色は拒否されます)、そして既定でオフの Access control チェックボックスを持ちます。このチェックを入れると、タグはただのラベルから関門に変わります(アクセス制御タグを参照)。

普通のタグの作成・編集には admin または developer が要ります。タグを付けられる 7 つのリソースのいずれかに書き込めるロールの和集合なので、タグを必要とする人はいつでも自分で作れます。Access control にチェックが入ったタグは別です。作成、どの項目の編集、削除も Admin(と Super Admin)しかできません。Developer には既存のアクセス制御タグが完全に読み取り専用で見えます。チェックボックスは固定表示、ほかの項目も文字だけの表示になり、Save や Delete ボタンも出ません。普通のタグの作成・編集は今までどおりできます。読み取りはほかのセクションと同じく開いています。

レコードにタグを付ける​

タグを付けられるレコードの新規作成フォームと詳細ページには Tags のピッカーがあります。今の選択が削除できる色付きチップとして Select tags… ボタンの上に並ぶので、この項目の高さは語彙の量ではなく選択の量で決まります。

  1. Select tags… を押します。ダイアログには語彙全体が、折り返して並ぶ色付きチップとして出ます。1 つ 1 つがトグルです。押されたチップは色が濃くなり、頭にチェックも付くので、状態が色だけに頼ることはありません。
  2. 必要なら絞り込みます。フィルターは 2 つあり、組み合わせて効きます。名前の入力欄と、8 色のパレット見本の並びです。見本はいくつでも同時に押せます。すべて解除した状態が「絞り込みなし」です。
  3. Select で確定し、Cancel で下書きを捨てます。選んだあとに絞り込みで見えなくなったタグも、選択されたままです。

タグを付ける操作は、そのレコード自身の書き込みロールで守られます。タグを作ったロールとは無関係です。

タグで絞り込む​

タグを付けられる一覧には Tags 列があり、各レコードのチップが並びます。列ヘッダーのメニューから複数選択で絞り込めます。この列はどの行も1行の高さに保たれます。そのときの列幅に収まる分だけチップを並べ、残りは末尾の +N チップにまとめます。+N をクリックすると、そのレコードの全タグがダイアログで一覧表示され、各タグにカーソルを合わせると説明が出ます。列の端をドラッグして広げたり、ほかの列を隠したりすれば、まとめられていたタグもチップとして戻ります。この選択は論理積で、メニューにも "Filter (all of)" と出ます。選んだタグをすべて持つレコードだけが残るので、選ぶほど結果は狭まります。絞り込みは画面に出ている分だけでなく、データ全体に効きます。

タグはほかの列フィルターとは別の軸ですが、表示に関する規則は同じです。列ピッカーで Tags 列を隠すとタグの絞り込みも解除されます。ほかの列を隠したときにその列の絞り込みが解除されるのと同じです。

アクセス制御タグ​

Access control にチェックの入ったタグは、それが付いたレコードを誰が見られるかを制限します。このタグのチップには、Tags 一覧の Preview 列でも、レコードの Tags 列でも、ピッカーでも、錠前のマークが付きます。Tags 一覧には Access control 列も加わり、絞り込みに使えます。

見られるかどうかは自分のユーザーグループで決まります。グループ自身もタグを持ち、自分が所属するすべてのグループのタグをまとめて判定します。

レコードに付いているタグ見える条件
アクセス制御タグなし(普通のタグだけ、または無し)常に見える。普通のタグは何も制限しません
アクセス制御タグが 1 つ以上自分のグループが合わせて、そのすべてを持っている

見られないレコードは単に存在しないように振る舞います。一覧に出ず、直接リンクを開いても見つからないと表示されます。Admin と Super Admin にはすべてが見えます。Admin はアクセス制御タグをすべて素通りし、Super Admin はさらにプラットフォーム全体のもので、どのグループにも属さないため、ほかの規則でも届かないからです。

タグを付けるときの安全装置が 1 つあります。自分のグループが持たないアクセス制御タグはレコードに付けられません。 次にページを開いたときに自分から見えなくなってしまうため、保存はエラーで拒否されます。先に管理者に頼んで、そのタグを持つグループに入れてもらってください。ユーザーグループにタグを付ける操作は例外です。管理者がアクセスを与える手段がまさにそれだからです。

この制限は、レコードを開く・編集する・実行する・削除する人に関するものです。レコードが裏側で使うものには影響しません。ワークフローは生成元のエージェントスキルと、その MCP サーバーが参照するシークレットを使って実行されます。そのスキルやシークレットを自分では開けないリクエスターが実行する場合でも同じです。

例外はワークフローの設計です。ステップにツールを割り当てることは、あなた自身がその MCP サーバーを使うことと同じ扱いになります。タスクテンプレートの MCP Tools ピッカーで選ぶ場合も、あなたの代理として動く設計エージェントに頼む場合も、割り当てられるのはあなた自身が開けるサーバーのツールだけです。あなたのグループが持たないアクセス制御タグの付いたサーバーは、エージェントのツール一覧に現れず、割り当てようとしても存在しないサーバーと同じ扱いで拒否されます。すでにステップに割り当て済みのツールは、それを見られる人が割り当てたものであれば、あなたがステップを編集してもそのまま残ります。Discard changes でも、公開済みの割り当てはそのまま元に戻ります。

ワークフロー実行と承認のタグ​

ワークフロー実行にも Tags の列とフィールドがあり、それが属する承認にも同様にあります。ただし読み取り専用で、上記の 7 つのタグ対応レジストリには含まれません。実行が始まるとき、その時点でワークフローが持つタグをコピーします。後でワークフローのタグを変更しても、ワークフロー自体を削除しても、すでに始まった実行の表示は変わりません。この 2 つの画面に Tags ピッカーはなく、一覧にタグの絞り込みもありません。タグの付け外しはワークフロー側でのみ行います。

こうしてコピーされたアクセス制御タグも、ワークフロー自体と同じように実行とその配下の承認を制限します。実行がコピーした時点のタグを、自分のグループがもう持っていなければ、その実行も配下のすべての承認も、一覧からも直接リンクからも消えます。自分がその実行を開始した本人であっても、指名された承認者であっても同じです。実行の中でできることも同様で、チャットへのメッセージ送信、タスクの参照、配下の承認の承認・却下は、どれも実行が存在しないかのように失敗します。例外は Admin と Super Admin だけで、これはほかのアクセス制御タグと変わりません。タグは実行が始まる前にワークフローへ付けておく必要があります。実行後にワークフローへタグを付け直しても、すでに始まっている実行には届きません。コピーは実行開始の瞬間に一度だけ行われるからです。

実行にコピーされたアクセス制御タグは、承認を依頼できる相手も左右します。個人を宛先にするには、その人が所属するグループのいずれかが実行の持つそのタグをすべて持っている必要があり、ユーザーグループを宛先にするにはグループ自身がそれらを持っている必要があります。持っていなければ依頼は拒否されます。その人やグループには承認依頼自体が見えず、決裁できないからです。個人を宛先にする場合、Admin だけは例外です。Admin はほかの場面でもこれらのタグを常にバイパスするためです。ユーザーグループにはこの例外はなく、メンバーに Admin がいても変わりません。

改名と削除​

改名はいつでも安全です。 レコードはタグを名前ではなく識別子で参照しているので、そのタグを持つすべてのレコードが新しい名前に追随し、同期し直す作業はありません。タグを各レコードに自由入力させず、あらかじめ登録する形にしている理由がこれです。

削除は逆向きに働きます。タグを持つレコードがあるからといって削除が止められることはなく、すべてのレコードからそのタグが外れます。確認ダイアログにもそう書かれています。Access control にチェックの入ったタグの削除は、編集と同じく Admin か Super Admin しかできません。普通のタグの削除は Developer にも変わらず開いています。