チームにアプリを共有する

アプリを使う人を特定のチームに限定して、URL を共有できます。このページでは、営業チームのメンバーと、アプリを管理する人が使えるように設定します。

招待とグループ作成には Owner / Admin、アプリの権限変更にはそのアプリの管理権限が必要です。全プランで利用できます。

ここで設定するのは、アプリを開ける人の範囲です。「自分の申請だけ見える」「上司だけ承認できる」といった業務上の権限は、アプリ側で実装します。

1. メンバーを招待する

「メンバー」→「招待」で、営業チームのメールアドレスを入力し、ロールは App User を選びます。アプリを使うだけの人向けのロールで、開発・管理用の人数枠（Developers 席）には含まれません。

相手はメールのリンクを開き、招待されたアドレスと同じアカウントでログインして、招待を承諾します。詳細はメンバーを招待するを参照してください。すでに参加している人を再度招待する必要はありません。

社員が多い場合は、Team プラン以上でドメイン自動参加を使うと、招待なしで参加できます。

2. グループを作る

グループは、アプリの権限をまとめて割り当てるためのメンバーの集まりです。「メンバー」→「グループ」で「営業」グループを作り、営業チームのメンバーを追加します。

グループには、表示名とは別に、設定やコマンドで指定する名前（キー）を付けます。この例では sales を使います。キーは作成後に変更できませんが、表示名とメンバーは変更できます。

3. アプリを使えるグループを設定する

アプリ画面の「権限」タブを開きます。閲覧権限はアプリを開いて使う権限、管理権限はアプリをデプロイしたり設定を変更したりする権限です。管理権限には閲覧も含まれます。

新しいアプリでは、everyone（全メンバー）に閲覧、developers（Owner / Admin / Developer）に管理が割り当てられています。「営業」に閲覧を追加するだけでは、everyone の閲覧が残り、全員が開ける状態が続きます。

閲覧グループから everyone を外します。
閲覧グループに sales を加えます。
この例では、管理グループを developers のままにして保存します。

これで、営業メンバーと developers のメンバーがアプリを開ける設定になります。営業以外の App User は開けません。すでに権限を変更したアプリでは、ほかの閲覧・管理グループが残っていないかも確認します。

管理する人の範囲も変えたい場合は、グループとアプリ権限を参照してください。そのアプリの管理権限を持つ人は、閲覧グループに入っていなくてもアプリを開けます。

設定の保存後、アクセス判定への反映には時間がかかることがあります。ログイン中の利用者についても、反映後は変更した権限で判定されます。

4. URL を渡す

アプリ画面の URL（https://<ワークスペース>--<アプリ>.keelson.run）をコピーして、チャットやメールで共有します。App User はコンソールでアプリの URL を確認できず、招待メールにもアプリの URL は含まれません。

「招待されたメールアドレスでログインしてください」と添えると、複数のアカウントを使う人にも伝わります。

5. 共有相手と対象外の人で確認する

共有したい人が開けることと、閲覧・管理のどちらの権限も持たない人が開けないことを確認します。

確認	期待する結果
営業グループの利用者が URL を開く	ログイン後にアプリが表示される
営業グループに入っていないアプリ管理者が URL を開く	ログイン後にアプリが表示される
営業グループに入っておらず、ほかのグループ経由でも閲覧・管理権限を持たない App User が URL を開く	ログイン後に「アクセスできません」の画面になる
ログインしていない人が URL を開く	Keelson のログイン画面になり、アプリは表示されない

対象外の利用者に確認を頼めない場合は、自分の別のメールアドレスを App User として招待し、営業グループに追加せずに試せます。

保存した設定は、アプリ一覧の「アクセス範囲」で確認できます。全員に閲覧を許可していなければ、人数とグループが表示されます。実際に開けるかどうかは、上の手順で確認します。

うまくいかないとき

症状	確認すること
営業の人が開けない	招待を承諾しているか、`sales` に所属しているか、登録されたメールアドレスでログインしているかを確認します
営業以外の人も開ける	`everyone` やほかの閲覧グループが残っていないか、その人が管理グループに所属していないかを確認します
保存した設定でアクセスが変わらない	反映に時間がかかることがあります。少し待って再読み込みし、「権限」タブの保存内容と、確認に使ったアカウントを見直します

メンバーの無効化や IP 制御など、その他の確認項目はアクセスできないときの確認を参照してください。

AI エージェントに設定を依頼する場合

グループ作成やアプリの権限設定は、CLI を使える AI エージェントにも依頼できます。対象のワークスペース、アプリ名、共有する人のメールアドレス、管理権限を残す人を伝えます。操作には、コンソールで設定する場合と同じ権限が必要です。

アプリ sales-tool を、営業チームとアプリ管理者が使えるように設定してください。招待済みの tanaka@example.com と suzuki@example.com を「営業」グループ（キー: sales）に追加し、閲覧は sales、管理は developers に設定してください。設定後に、閲覧・管理を許可したグループを教えてください。

AI エージェントによる設定後も、手順 5 のアカウントごとのアクセスを確認します。

CLI で設定する例

招待の承諾が済んだメンバーを、作成したグループに追加します。次のコマンドは、コンソールで行う手順 2・3 と同じ設定です。コンソールで設定済みの場合は実行不要です。

keelson groups create sales --name "営業"
keelson groups members add sales tanaka@example.com suzuki@example.com
keelson access set --app sales-tool --view sales --manage developers

access set には、残したい閲覧・管理グループを指定します。この例では閲覧を sales、管理を developers に設定します。

アプリの中で「本人の分だけ」にする

ここまでの設定で、アプリを開ける人の範囲を決められます。さらに「自分の申請だけを見せたい」場合は、AI エージェントに次のように依頼できます。

Keelson が渡すログイン中の利用者情報を使い、本人の申請だけを表示してください。他人の申請の URL や ID を指定しても、取得・更新できないようにし、その確認も行ってください。

利用者ごとの画面表示に加えて、データを取得・更新するサーバー側でも権限を確認する処理が必要です。AI エージェントには、別の利用者のデータを取得・更新できないことをどう確認したかも報告してもらうと、実装結果を確認できます。

判定には、Keelson が付けた利用者 ID（X-Keelson-User-Id）やグループ情報を使います。ブラウザから送られた値だけで本人と判断しないようにします。実装はログイン中のユーザー情報を使うを参照してください。

ワークスペース・アプリ・業務上の権限の違い

権限	設定する人・場所	例
ワークスペースの管理権限（ロール）	Owner / Admin が付与。Owner の付与・変更は Owner のみ	メンバーを招待できるか、請求を扱えるか
アプリの閲覧・管理権限（view / manage）	そのアプリの管理権限を持つ人が、グループに割り当てる	アプリを開けるか、デプロイ・設定変更ができるか
アプリ内の業務上の権限	アプリ側で実装する	自分の申請だけ見られるか、上司として承認できるか

アプリの管理権限は、デプロイや設定変更を行う人のための権限です。業務上の承認者と同じ人とは限りません。ロールの詳細はメンバーとロールを参照してください。