cx-platform-admin

プラットフォーム管理スキル

Coralogix のアクセス、認証、認可を管理する際にこのスキルを使用します。API キーの管理、ロールとスコープの定義、ユーザー管理、チームグループ、IP アクセス制限について説明します。

---

破壊的操作の安全性

すべての書き込み操作（create、update、delete、set-idp、set-active、set-status）には、対話形式での確認が必要です。CLI は実行前に確認を求めます。スクリプトで確認を省略するには、--yes を渡します。

重要：ユーザーの明示的な承認なしに --yes を渡さないでください。 書き込み操作を実行する前に、次の手順を行います。

1. 実行する操作の内容（作成／変更／削除するもの）をユーザーに具体的に説明します
2. ユーザーの確認を待ちます
3. その後にのみ、--yes を付けて実行します

読み取り専用操作（list、get、search、system、sp-params、send-data-keys）には確認は不要で、そのまま実行できます。

読み取り専用モード

--read-only（または CX_READ_ONLY=1）を使用すると、CLI レベルですべての書き込み操作をブロックできます。安全に調査する際に便利です。意図しない変更のリスクなく、任意の IAM リソースを照会できます。

エージェントモード

AI エージェント（Claude Code、Cursor、Codex など）の内部で実行すると、cx はエージェント環境を自動検出し、stdin のプロンプトで停止する代わりに、書き込み操作を即座に失敗させます。エラーメッセージには、先にユーザーの確認を得てから --yes を付けて再実行するよう記載されます。

---

CLI コマンド

API キー

RUM（ブラウザー／モバイル）キーと SDK のセットアップには、cx-rum-setup スキルを使用してください。

コマンド	用途
cx iam api-keys list	すべての API キーを一覧表示
cx iam api-keys get <id>	単一の API キーを取得
cx iam api-keys create --from-file	API キーを作成
cx iam api-keys update --from-file <id>	API キーを更新
cx iam api-keys delete <id>	API キーを削除
cx iam api-keys send-data-keys	送信データ用 API キーを一覧表示
cx iam api-keys admin list	すべてのチームメンバーのキーを一覧表示
cx iam api-keys admin delete --ids <id1> <id2>	キーを一括削除
cx iam api-keys admin set-status --ids <id1> --active true/false	キーを有効化／無効化

ロールとスコープ

コマンド	用途
cx iam roles list	カスタムロールを一覧表示
cx iam roles get <id>	ロール定義を取得
cx iam roles create --from-file	カスタムロールを作成
cx iam roles update --from-file <id>	カスタムロールを更新
cx iam roles delete <id>	カスタムロールを削除
cx iam roles system	システム（組み込み）ロールを一覧表示
cx iam scopes list	すべてのスコープを一覧表示
cx iam scopes get <id>	スコープ定義を取得
cx iam scopes create --from-file	スコープを作成
cx iam scopes update --from-file	スコープを更新
cx iam scopes delete <id>	スコープを削除

ユーザーとグループ

コマンド	用途
cx iam users search	ユーザーを検索（--query、--status は任意）
cx iam users get <user-id>	単一のユーザーを取得
cx iam users create --from-file	ユーザーを作成
cx iam users update --from-file	ユーザーを更新
cx iam users set-status --user-ids <id> --status ACTIVE/INACTIVE	ユーザーを有効化／無効化
cx iam groups list	すべてのチームグループを一覧表示
cx iam groups get <id>	ID でグループを取得
cx iam groups get-by-name <name>	名前でグループを取得
cx iam groups users <group-id>	グループ内のユーザーを一覧表示
cx iam groups create --from-file	グループを作成
cx iam groups update --from-file <id>	グループを更新
cx iam groups delete <id>	グループを削除

IP アクセス

コマンド	用途
cx iam ip-access get	IP アクセス設定を取得
cx iam ip-access create --from-file	IP アクセスルールを作成
cx iam ip-access update --from-file	IP アクセスルールを更新
cx iam ip-access delete	IP アクセス設定を削除

すべてのコマンドは、構造化出力用の -o json と、プロファイル選択用の -p <profile> をサポートしています。

---

アクセス監査ワークフロー

包括的なアクセスレポートを作成するには、次のワークフローを使用します。

ステップ 1：すべてのユーザーを一覧表示する

cx iam users search -o json
cx iam users search -o json | jq '[.[] | {id, name: .user_name, status, role_ids}]'

ステップ 2：ロールを一覧表示する

cx iam roles list -o json
cx iam roles system -o json

ユーザーのロール ID をロール定義と照合して、権限を確認します。

ステップ 3：グループとメンバーシップを一覧表示する

cx iam groups list -o json
cx iam groups list -o json | jq '[.[] | {id, name, member_count: (.members | length)}]'

各グループについて、メンバーを確認します。

cx iam groups users <group-id> -o json

ステップ 4：API キーを棚卸しする

cx iam api-keys list -o json
cx iam api-keys admin list -o json
cx iam api-keys send-data-keys -o json

古いキーや未使用のキーを特定します。

cx iam api-keys list -o json | jq '[.[] | {id, name, created_at, active}] | sort_by(.created_at)'

ステップ 5：IP 制限を確認する

cx iam ip-access get -o json

ステップ 6：相互参照する

管理者ロールを持つユーザー、古い API キー、広範なアクセス権を持つグループをまとめます。

---

API キーのローテーション

安全なキーのローテーションのワークフロー：

1. 現在のキーを一覧表示する： cx iam api-keys list -o json
2. ローテーションするキーを特定する： 経過期間または名前で絞り込みます
3. 新しいキーを作成する： cx iam api-keys create --from-file new-key.json --yes（ユーザーの承認後）
4. 古いキーを使用しているすべてのシステムに新しいキーをデプロイする
5. すべてのインテグレーションで新しいキーが機能することを確認する
6. 古いキーを削除する： cx iam api-keys delete <old-key-id> --yes（ユーザーの承認後）

警告： 置き換え用のキーをデプロイして動作を確認する前に、API キーを削除しないでください。有効なキーを削除すると、そのキーを使用しているすべてのインテグレーションが直ちに機能しなくなります。

---

安全上の注意

**API キーを削除すると、**そのキーを使用しているインテグレーションは直ちに機能しなくなります。必ず先に置き換え用のキーを作成してください。

ユーザーを無効化すると（cx iam users set-status --status INACTIVE）、直ちに反映されます。猶予期間なしで、ユーザーはアクセスできなくなります。

IP アクセスルールを削除すると（cx iam ip-access delete）、すべての IP 制限が直ちに解除され、アカウントが公開状態になる可能性があります。

---

重要な原則

• 変更前に監査する - 変更を加える前に、アクセス監査のワークフローをすべて実行します
• 置き換えずにキーを削除しない - 新しいキーを作成 → デプロイ → 確認 → 古いキーを削除
• 構造化レポートには -o json を使用する - jq による絞り込みが可能になり、アクセスを正確に分析できます
• 環境をまたぐ監査には複数のプロファイルを使用する - -p <profile> または --all-profiles を使って、ステージング環境と本番環境を監査します
• 既存のロールをテンプレートとして使用する - 新しいロールを作成する前に、cx iam roles get <id> -o json > role.json を実行します

---

関連スキル

• cx-cost-optimization - API キーの用途と、引き続き必要かどうかを確認します
• cx-rum-setup - RUM API キーを作成し、アプリに RUM SDK を組み込みます