uipath-governance

UiPath ガバナンス

UiPath のガバナンスを作成するための汎用スキルです。基盤となる CLI は 2 種類です。

サーフェス	管理対象	CLI
AOps 製品ポリシー	製品の機能動作 — Studio／StudioX／Assistant／Robot／AI Trust Layer／Agent Builder が設計時／実行時に実行できること	uip gov aops-policy
アクセス ポリシー（ToolUsePolicy）	リソース／ツールの使用範囲 — アクタープロセスが子リソース（Agent／Maestro／Flow／RPA／API／Case Management）を呼び出す際、その呼び出しが許可されるか	uip gov access-policy

両方のサーフェスで、同じ動詞（block、restrict、deny、allow、require、enforce）を使用します。同じ英語の文がどちらのレイヤーにも当てはまることがよくあるため、このスキルでは最初に分類し、その後に対応する仕組みへ振り分けます。

このスキルを使う場面

ユーザーが基盤となる CLI を指定していなくても、ガバナンス／ポリシー／ルールに関するあらゆる意図に対して有効化します。

• policy / rule / guardrail / govern / gate / control に関するリクエスト
• アクション、モデル、アプリ、URL、エージェント、フロー、プロセスを block / restrict / deny / disable / disallow する
• 動作やルールを require / enforce / mandate する
• X のみを allow only / permit only / limit to / restrict to する
• who can / which … can / on behalf of — アクターまたは ID に関するガバナンス
• ポリシーに関連する compliance / posture / audit
• .uipolicy ファイルのパス、compliance standard、apply standard
• 標準名：ISO 42001、ISO 27001、GDPR、HIPAA、SOC 2、EU AI Act。名前だけを基準に振り分けます。実際に利用できる標準は環境によって異なり、実行時に catalog list から取得するため、ここでは決めつけません。
• check compliance、compliance posture、posture against、drift check
• is my tenant compliant、am I compliant with
• organization-wide、all tenants、entire org、across all tenants — 組織全体を対象とした適用

トラブルシューティング

• ガバナンスポリシーが適用されない原因を調査する
• デプロイの優先順位（ユーザー > グループ > テナントのオーバーライド）をデバッグする
• テストシナリオに対してアクセス ポリシーのルールを評価する（access-policy evaluate）
• ブロックされたツール／ワークフローの呼び出しをトラブルシューティングする
• デプロイ済みのポリシーと適用対象を監査する
• サイレントな無処理を引き起こすライセンス種別／製品の不一致を特定する

関連スキルへの振り分け：

• プラットフォーム運用（認証、Orchestrator リソース、パッケージング、デプロイ）→ uipath-platform
• エージェント／ワークフロー／RPA 自体の作成 → uipath-agents／uipath-rpa／uipath-maestro-flow

重要なルール

1. 作成を始める前に分類してください。 ガバナンスに関する依頼を受けたら、最初にその意図をブランチ A（AOps）またはブランチ B（Access）に分類します。判断には references/disambiguation-guide.md の事前情報を使用してください。分類が確定するまでは、create／update／delete を開始してはいけません。分類はユーザーの表現、または確認質問によって確定します。
2. 分類は最初に行います。 各メカニズムのライブラリは、ブランチが選択済みであることを前提としています。各フローで「もう一方のブランチのことですか？」と尋ねてはいけません。その質問はこの段階で行います。
3. 1 回の変更につき 1 つのブランチを使用します。 1 件のユーザー依頼でポリシーを作成するブランチは 1 つだけです。ユーザーが両方を希望する場合は、2 回の確認ゲートを設けて、2 つのフローを順番に実行します。
4. 各メカニズムは、それぞれ独自の重要なルールに従います。 適切なブランチに振り分けた後は、そのブランチのルールに従ってください。この最上位の段階でルールを緩和してはいけません。
5. ユーザーの確認なしに、コンプライアンス設定を適用、復元、削除してはいけません。 適用する場合は、まず状態分析を実行し、計画（概要と詳細）を提示します。いずれの場合も、確認を求めたら返信を終了してください。確認の質問と同じ返信内で変更コマンドを実行してはいけません。ユーザーの次のメッセージで明示的に y が返された場合にのみ続行します。ユーザーの元の依頼は意図を示すものであり、同意ではありません。唯一の例外は、ユーザーが事前に確認を明示的に不要としている場合（例：「確認は不要です」）です。この場合は y として扱います。
6. 適用後は必ず適用結果を提示します。 適用後のレポート（設定した項目、手動で必要な手順、「適用者」／日付）を提示し、ユーザーが記録を残せるようにしてください。ローカルファイルに書き込む必要はありません。正しい情報源は CLI と UiPath プラットフォームです。
7. Compliance Standards はプレビュー機能です。すべてのコンプライアンスパックのフローで利用可否を確認してください。 ユーザー向けのコンプライアンス標準に関する応答にはプレビューに関する免責事項を追加してください。また、uip gov compliance-packs … の呼び出しで HTTP 403 / Forbidden が返された場合は、直ちに停止し（再試行せず、コンプライアンス関連のコマンドをそれ以上実行しない）、この機能を利用するにはプレビュープログラムへの登録が必要であることをユーザーに伝えてください。正確な文言と配置については references/compliance-pack/preview-gate.md を参照してください。403 はプレビューが有効になっていない状態を示します。401 は通常のログイン失敗であり、混同してはいけません。
8. uip gov … コマンドを実行する前に、必ず uip login を実行してください。Access の evaluate では、テナントスコープのログインも必要です。詳細は access-policy-overview-guide.md § Critical Rules を参照してください。
9. 標準が確定する前に、パックを指定するコマンドを実行してはいけません。 state coverage、state get、state enable、state disable、state restore、catalog get はいずれも packId を受け取り、複数の標準が利用可能です。そのため、「コンプライアンス状況を確認して」「コンプライアンスに準拠していますか」のように標準を指定しない依頼では、パックが特定されません。catalog list を実行して利用可能な標準を提示し、どれを使うか尋ねてから返信を終了してください。一覧の先頭にある、最も一般的な、または以前に見たことがあるという理由で標準を選んではいけません。ユーザーが指定していない標準に基づいてコンプライアンス状況を報告するのは、すべてのコマンドが成功した場合でも誤りです。解決ルールについては references/compliance-pack/catalog/impl.md § Pack ID lookup を参照してください。
10. UUID を捏造してはいけません。 ユーザーが指定したユーザー／グループ／プロセス／エージェント／フロー／ロボット／テナントはすべて、該当するブランチの検索機能を使って解決してください。

ワークフロー

1. 意図を内部で分類します。ユーザーにどのフローへ誘導するかを決して伝えないでください。 内部フローのラベル（AOps／Access／Compliance standard）は実装上の詳細であり、ユーザーに見せるのは結果だけです。references/disambiguation-guide.mdを読み、各フローを示す強いシグナル、判別が必要な語句のパターン、標準的な実例を確認してください。強いシグナルに一致する場合は、内部でフローを決定してください。表現が曖昧（AOps と Access のどちらにも該当）な場合は、判別質問を提示し、数字での返信を待ってください。ユーザーが1または2以外で返信した場合は、意図の言い換えとして扱い、再分類してください。分類が確定する前にCLIコマンドを実行してはいけません。判別質問自体にuipは必要ありません。また、無関係な依頼（プラットフォーム運用、エージェントの作成）は、ここでセットアップを始める前に、関連する別のスキルへ誘導してください。依頼に標準名（ISO 42001、ISO 27001、GDPR、HIPAA、SOC 2、EU AI Act）、apply standard、compliance posture、drift check、am I compliant、is my tenant compliant、what packs are available、what packs are configured、which standards are enabled、organization-wide、disable standard、またはreset／restore／undo drift on a standardが含まれる場合は、適切なコンプライアンス標準プラグインへ内部で誘導し、まず標準を特定してください（references/compliance-pack/catalog/impl.md § Pack ID lookup）。利用可能な標準は複数あるため、標準名が明示されていない依頼（例：「コンプライアンス状況を確認して」）では、パックを指定したコマンドを実行する前に標準を確定する必要があります。範囲を指定した依頼についてはpartial-apply/planning.mdを、状況確認についてはcoverage/impl.mdを、検出についてはcatalog/impl.mdを、情報照会についてはquery/impl.mdを、状況計画の確認後はfull-apply/impl.mdを、削除についてはdisable/impl.mdを、設定済みの標準を推奨設定に戻す場合はrestore/impl.mdを参照してください。現在設定済みのパックを一覧表示する場合は、catalog/impl.mdとstate listを使用してください。
2. uipとログイン状態を確認します（ガバナンスフローに誘導された場合のみ）。

   which uip && uip --version
   uip login status --output json
   

   インストールされていない場合は、公式インストーラーを実行してください（macOS／Linuxではcurl -fsSL https://download.uipath.com/uipath-cli/install.sh | bash、Windows PowerShellではirm https://download.uipath.com/uipath-cli/install.ps1 | iex）。ログインしていない場合は、uip loginを実行してください（非本番環境では--authority <URL>を指定）。Accessのevaluateでは、テナントスコープでログインする必要があります。 同じ組織内の誤ったテナントにログインしている場合は、簡易手順を使用してください。uip login tenant list --output jsonを実行し、続けてuip login tenant set <NAME>を実行します。組織またはオーソリティが異なる場合に限り、ログインし直す必要があります。references/auth-context.md § テナントの切り替えを参照してください。
3. 選択した仕組みに誘導し、そのフローを最初から最後まで実行します。
   • AOps の製品ポリシー → references/aops-policy/aops-policy-overview-guide.md
   • Access ToolUsePolicy → references/access-policy/access-policy-overview-guide.md
   • コンプライアンス標準 → 上記のステップ1にあるプラグインへの誘導（catalog／coverage／full-apply／partial-apply／disable／restore／query）を使用します

判別質問

ユーザーの意図が両方の分岐に当てはまる場合は、次の番号付きリストをそのまま提示し（AskUserQuestionも表も使用せず）、数字での返信を待ってください。

### Which layer should this rule govern?

1. **Govern the product** — control what Studio / StudioX / Assistant / Robot / AI Trust Layer / Agent Builder *can do* (e.g. block ChatGPT inside Studio, enforce Workflow Analyzer, disable a Marketplace widget). Backed by `uip gov aops-policy`.
2. **Govern resource/tool use** — control which Actor Processes / identities can *invoke* which child Resource as a tool (e.g. block agents tagged `Sandbox` from being called, only let the finance group trigger this Flow). Backed by `uip gov access-policy`.

Reply with the number.

標準的な曖昧な依頼は、*「Studioを使って、財務チームのChatGPTをブロックしてください。」*です。両方の解釈で動作する成果物が作成されるものの、その内容は異なる理由については、references/disambiguation-guide.mdを参照してください。

参照ナビゲーション

やりたいこと	参照先
リクエストがどの分岐に該当するか判断する（事前確率、フレーズテーブル、実例）	references/disambiguation-guide.md
AOps の製品ポリシーを作成する	references/aops-policy/aops-policy-overview-guide.md
AOps ポリシーをユーザー／グループ／テナントにデプロイする	references/aops-policy/aops-policy-deploy-guide.md
デプロイ済み AOps ポリシー／有効なルールを照会する	references/aops-policy/aops-policy-deployed-guide.md
Access ToolUsePolicy を作成する	references/access-policy/access-policy-overview-guide.md
CLI フラグ／出力形式を確認する（AOps）	references/aops-policy/aops-policy-commands.md
CLI フラグ／出力形式を確認する（Access）	references/access-policy/access-policy-commands.md
Access の名前を UUID に変換する	references/access-policy/resource-lookup-guide.md
ガバナンスの失敗を診断する（機能インデックス）	references/diagnose/CAPABILITY.md
既知のガバナンス失敗パターンを特定する	references/diagnose/failure-modes.md
診断の優先順位に沿って確認する	references/diagnose/troubleshooting-guide.md
利用可能なコンプライアンス標準を見つける／標準名を packId に変換する	references/compliance-pack/catalog/impl.md
現在設定されているコンプライアンス標準を一覧表示する	references/compliance-pack/catalog/impl.md — state list tenant <id> を使用
準拠状況の分析 — 設定済みの項目と推奨項目を確認する	references/compliance-pack/coverage/impl.md
コンプライアンスパック全体を適用する	まず準拠状況を確認し、その後 references/compliance-pack/full-apply/impl.md を参照
特定のコントロール／条項を適用する	references/compliance-pack/partial-apply/planning.md
コンプライアンス標準の設定を削除する	references/compliance-pack/disable/impl.md
標準を推奨設定にリセット／復元する（ドリフトを元に戻す）	references/compliance-pack/restore/impl.md
照会 — 条項／コントロールで推奨されている内容を確認する	uip gov compliance-packs catalog get <packId> --output json（catalog list で <packId> を特定してください。ハードコードしないでください）。次に references/compliance-pack/query/impl.md を参照
プレビューに関する免責事項と 403 オプトインゲート（すべてのコンプライアンスフロー）	references/compliance-pack/preview-gate.md

アンチパターン

• 表現が両方の分岐に当てはまる場合、曖昧さを解消する質問を省略しないでください。メカニックライブラリは分岐が選択済みであることを前提としているため、誤った分岐へのルーティングを検出できません。
• メカニックに引き継いだ後で、「もう一方の分岐のことでしたか？」と尋ねないでください。その質問は、このトップレベルで行う必要があります。
• AOps と Access の意図を単一のポリシーにまとめないでください。成果物、CLI、スキーマはそれぞれ異なります。
• プラットフォーム運用では、このスキルを有効にしないでください。uipath-platform にルーティングしてください。
• 意図がどちらの分岐にも該当しない場合、スキルの編集を提案しないでください。ユーザーに確認してください。
• ギャップの検出に deployed-policy list を使用しないでください。これは、統合された実効値ではなく、優先順位順にすべてのルールを返します。単一の実効統合ポリシーを取得するには、deployed-policy get <licenseType> <productName> <tenantId> を使用してください。
• 適用が一部失敗した場合でも、適用後のレポートを省略しないでください。成功した内容と手動での対応が必要な内容を示してください。
• コンプライアンスパックの状況分析には、uip gov compliance-packs state coverage を使用してください。aops-policy deployed-policy コマンドは使用しないでください。これらはコンプライアンスパックのフローではなく、AOps ポリシーのデバッグ（分岐 A）用です。
• パックを完全に設定するには、state enable を使用してください。各製品に対して手動で aops-policy create を呼び出さないでください。この方法は、一部または範囲を限定した設定にのみ使用します。
• 一部または範囲を限定した設定（特定の条項、製品、または領域のみ）には、synthesize-formdata.mjs と aops-policy create を使用してください。state enable は呼び出さないでください。state enable は標準全体を適用するため、特定の条項や製品に限定できません。
• 組織全体に適用する場合、state enable organization は呼び出さないでください。バックエンドは組織スコープでの有効化を実装していません。代わりに、uip login tenant list でテナントを一覧表示し、各テナントに対して個別に state enable tenant <id> を呼び出してください。§ 組織スコープのデプロイについては、references/compliance-pack/full-apply/impl.md を参照してください。
• テナントが標準に「準拠している」と決して断言しないでください。推奨設定が構成されていると伝えるにとどめてください。コンプライアンス状況は顧客の監査担当者が判断します。
• ポリシー名、製品識別子（AITrustLayer、Robot、Development）、条項 ID（A.6.2.8）を主な回答の単位として提示しないでください。分かりやすい管理項目名と条項の説明を先に示してください。ポリシーは内部実装の詳細です。条項 ID は括弧内に二次的な参照情報としてのみ記載してください。
• ユーザー向けの出力で「コントロール」という語を使用しないでください。「設定」を使用してください。UiPath の UI では、標準が構成を推奨する対象を「設定」と呼んでいます。
• 内部手順をユーザーに説明しないでください。「実行しました…」「CLI が返した内容は…」「ガバナンス CLI を呼び出して…」「API からの応答は…」などとは決して言わないでください。コマンドはユーザーに見せずに実行し、参照ドキュメントの出力テンプレートを使って解釈した結果だけを提示してください。未加工の JSON、UUID、エラースタック、CLI 出力は決して表示せず、エラーは分かりやすい言葉で要約してください。
• コマンドの未加工の出力をそのまま表示しないでください。すべての CLI 応答を解析し、書式付きの表または分かりやすい要約にして提示してください。ユーザーに見せるのは結果であり、処理の仕組みではありません。