サービスアカウント

ソフトウェア（統合、スケジュールされたエクスポート、サポートデスクなど）のためのIDであり、人間のように役割を担い、コンソールにサインインすることもなく、2段階目の操作を求められることもない。

2段階サインインは、すべての人にとって適切ですが、すべてのスクリプトにとって不適切です。パスワードでサインインするプログラムは、入力できないコードを求められます。ソフトウェアが代わりに使用するIDはサービスアカウントです。サービスアカウントは、人間とまったく同じように役割と会社を保持するため、すべての画面権限、組織単位の制限、および義務ルールが適用されます。しかし、誰も知っているパスワードはなく、サインインフォームはサービスアカウントを拒否し、コンソールの個人用またはインタラクティブな部分（設定、パーソナライズ、ダッシュボード、アシスタント、2段階セットアップ、システムコンソール）を使用することはできません。

1. プラットフォーム → アクセスとセキュリティ → アクセス → サービスアカウント（ユーザーの横）を開き、「新しいサービスアカウント」を選択します。
2. そのメールには、用途を示すアドレス（nightly-export@service.yourcompanyなど）、名前、そしてそのメールの機能を説明する一文を付けてください。
3. そのキーの役割にチェックを入れてください。必要な機能を果たす上で最も限定的な役割を割り当ててください。例えば、発注書を表示するだけで、それ以外の操作はできないキーは、発注書を読み取るだけで、それ以外の操作はできません。
4. オプションとして、アドレス（IPアドレスまたは203.0.113.0/24などのIPv4アドレス範囲）を制限したり、トークンの有効期間を短縮したり、有効期限を設定したりできます。
5. 作成してください。秘密鍵は一度だけ表示されます。それを使用するプログラムにコピーしてください。秘密鍵は指紋としてのみ保存され、読み戻すことはできません。

このプログラムは秘密鍵を数分間有効なトークンと交換し、他のベアラートークンと同様に、呼び出しのたびにそのトークンを送信します。

POST /api/auth/service-token
{ "client_id": "nightly-export@service.yourcompany", "secret": "txs_…" }

→ { "token": "…", "expires_in": 3600, "companies": [ … ] }

GET /api/scm/purchase-orders
Authorization: Bearer <token>
X-Company: <company id>

• 新しい秘密鍵が発行されると、古い秘密鍵は即座に停止されます。既に発行されたトークンは、終了させない限り有効期限が切れます。
• 取り消しは秘密鍵を停止し、次の要求時にすべての有効なトークンを終了します。
• 無効化するとアカウントは削除されますが、そのアカウント名は、そのアカウントが書き込んだすべての監査ログに残ります。
• すべてのトークンはセッションです。プラットフォーム → アクセス → Web およびユーザーセッションに表示され、他のユーザーと同様にそこで終了できます。
• 間違った秘密情報も、間違ったパスワードと同様にアカウント停止の対象となり、すべてのやり取りは監査ログに記録されます。
• サービスアカウントを管理しているが管理者ではないユーザーは、自身が持つ役割のみを付与でき、管理者権限を付与することはできません。

サポートデスクのアカウント

すべてのデプロイメントには、作成する必要のないサービスアカウントが1つ含まれています。それがsupport-desk@service.tranxactです。このアカウントは、デプロイメントのインストール時にベンダーが設定したシークレットからデプロイメント自体によってプロビジョニングされるため、社内の誰もチケットへの回答のために何かを発行する必要はありません。このアカウントは、すべての企業でサポートデスクの役割を持ち、サポートチケットとその添付ファイルを読み込んで回答します。モジュールや他の画面を開くことはありません。「デプロイメントによって設定」と表示されます。このアカウントを取り消すかどうかはユーザーの判断であり、デプロイメントによって上書きされることはありません。