権限

API key の権限と Session token。

API key が持つのは、発行時に与えられた権限だけです。その権限も、API key が属する Workspace の中でしか使えません。権限は必要最小限にしてください。

権限	許可される操作
`workspace.read`	Workspace の読み取り
`agent.read`	Agent、そのバージョン、CORS の Origin の一覧と読み取り
`agent.publish`	Agent の作成と名前の変更、バージョンの公開、CORS の Origin の設定
`agent.delete`	Agent の削除 (そのバージョンと Session も削除されます)
`session.create`	Session の作成
`session.read`	Session、その Event とストリーム、画像、Sandbox と Archive、Volume のファイルの一覧と読み取り
`session.manage`	入力の送信、キャンセル、名前の変更、削除、Session token の発行、承認、フォーム、Client、Sandbox の Archive の削除、Volume へのファイルの書き込み
`vault.read` / `vault.manage`	Vault の読み取り / 作成、更新、削除
`credential.read`	Credential の一覧 (シークレットは含みません)
`credential.manage`	Credential の追加、接続、テスト、再接続、削除
`skill.read` / `skill.manage`	Skill の読み取り / 作成、プッシュ、名前の変更、削除
`function.read` / `function.manage`	Function package の読み取り / 作成、プッシュ、名前の変更、削除
`model_provider.read` / `model_provider.manage`	Model Provider の読み取り / 接続、更新、削除
`usage.read`	Workspace の使用量の読み取り

subako api-key permissions は、サーバーが付与できる権限を一覧表示します。

API key には付与できない操作

次の操作は人にしか行えません。Workspace の名前の変更と削除、Workspace の Member の管理、API key の発行と無効化、そして Organization レベルのすべての操作 (Member、招待、Plan、Credit) です。これらの権限はどの API key にも付与できないので、API key が漏えいしても、それを使って別の API key を発行したり、誰かを招き入れたりすることはできません。

人が行える操作

人が行える操作は、その人の Role で決まります。

Workspace の Member は、その Workspace で上記のすべての操作ができ、Workspace の API key も管理できます。
Workspace の Admin は、さらに Workspace の名前の変更と削除、Workspace に参加する Member の変更もできます。
Organization の Admin は、すべての Workspace ですべての操作ができ、Organization も管理できます。

Session token

Session token は権限を持ちません。自身の Session のすべてのルート (読み取りと追跡、入力、キャンセル、承認、フォーム、Client、名前の変更と削除、Sandbox、Volume) を呼び出せますが、その Session の外には何もできません。詳しくは Session token を参照してください。