# アクセスと権限

Canonical page: https://phishdestroy.github.io/TgWitness/ja/docs/reference/access/

アカウントやチャットへのアクセス範囲を限定し、権限を選択し、セッションやIPアドレスを制限し、アクセス権を取り消すことができます。

レビュー担当者には1つのチャットへのアクセス権を、アナリストには案件のエクスポート権限を、 オペレーターには選択したアカウントの管理権限を付与します。各ユーザーには独自のトークンが割り当てられます。メイン パネルのトークンは管理者が保持します。

[アカウントの設定](https://phishdestroy.github.io/TgWitness/ja/docs/reference/accounts/) · [接続経路](https://phishdestroy.github.io/TgWitness/ja/docs/reference/connection/) · [セキュリティモデル](https://phishdestroy.github.io/TgWitness/ja/docs/reference/security/)

## 2つの適用範囲、2つの異なる役割

**収集範囲によって**、アカウントが記録する対象（選択したチャット、Telegramの フォルダ、またはアカウント全体）が決まります。**アクセス範囲によって、**記録された アカウントやチャットのうち、他のユーザーが閲覧・利用できるものが決まります。アクセス権を付与しても、 Telegramのチャットに参加したり、収集を開始したり、Telegramアカウントの権限が付与されたりすることはありません。

アクセス権限を設定することで、選択したワークスペース、その中の特定のチャット、またはすべての ワークスペースを開くことができます。**すべてのワークスペース（後から追加されたものも含む）は、**将来の アカウントにも適用されます。特定のケースを特定のワークスペースに限定する必要がある場合は、そのワークスペースを明示的に選択してください。

## アクセス権を付与する

1. メイン管理者としてログインし、「**Access」**を開いてください。
2. 「**アクセス権を付与する」**の項目で、ログ上で識別できる名前を入力してください。
3. ワークスペースを選択し、必要に応じて個々のチャットを選択してください。
4. この人物が実行しうる行動を選択してください。「**表示」**は常に含まれます。
5. 必要に応じて、有効期限、ログイン／セッション制限、および許可されるアドレスを設定してください。
6. **「アクセスを作成」**をクリックしてください。トークンを今すぐコピーしてください。トークンは一度しか表示されません。
7. パネルアドレスとトークンを非公開で送信してください。受信者は、通常のサインインページでそのトークンを入力します。 あなたのメインパネルトークンやTelegramのセッションは必要ありません。

発行されたトークンが表示されたパネルを別のブラウザセッションで開き、 表示されているチャットや許可されている操作を確認してから、相手にお渡しください。

## 権限を選択してください

| 利用許諾 | 本ツールの機能 |
| --- | --- |
| `view` | 閲覧可能なチャット、キャプチャされたメッセージ、プロフィール、ファイル、およびフィルタリングされたジャーナル記録をご確認いただけます。これらは常に含まれています。 |
| `export` | 許可されたチャット履歴および資料をエクスポートできます。ワークスペース全体の証拠データをエクスポートするには、そのワークスペース全体へのアクセス権が必要です。 |
| `sources` | ソース、スナップショット、プロファイルの取得を管理します。チャット限定のアクセス権限では、許可されたチャットに対してのみ操作が可能であり、アカウント全体のソース検出およびスコープ設定は非公開のままとなります。 |
| `collect` | コレクターの起動または停止を行います。収集操作はアカウントに影響を与えるため、ワークスペース全体へのアクセス権が必要です。 |
| `interact` | アクセス範囲内で、サポートされているTelegramの操作を行ってください。「チャット限定」のアクセス権限では、アカウント全体のリンクプレビュー機能はご利用いただけません。 |
| `settings` | 収集設定、タイムスタンプ、通知、オフサイトコピー、およびパラメータを変更できます。ワークスペース全体へのアクセス権が必要です。 |
| `account` | Telegramへのログインおよびログアウト、接続経路の管理が可能です。ワークスペース全体へのアクセス権が必要です。 |

権限と適用範囲は同時に確認されます。権限にチェックを入れても、 チャット限定のアクセス権の場合、他のチャットが開かれたり、ワークスペース全体での操作が可能になったりすることはありません。 並行してエクスポートを行う場合、アクセス権限は、選択されたすべての アカウントにおいて、エクスポート対象のチャットをカバーしている必要があります。付与されたアクセス権限では、新しいアクセス権限の作成、他者の セッションの管理、または管理者コンソールの起動は行えません。

### 3つの便利な設定方法

| 人物 | 範囲 | 権限 |
| --- | --- | --- |
| レビュー担当者 | ある事例の記録されたチャット | `view` |
| 引き継ぎの準備を行うアナリスト | 調査およびエクスポート対象のチャット | `view`、`export`；Telegramを通じて対応する必要がある場合にのみ、`interact`を追加してください。 |
| 収集オペレーター | 選択されたワークスペース全体 | `view`、`sources`、`collect`。`settings`または`account`は、必要な場合にのみ追加してください。 |

これらは、権限チェックボックスで設定する例であり、固定された役割ではありません。

## 制限とセッション

| 設定 | 仕組み |
| --- | --- |
| 並行セッション | 同時接続セッション数を1～100に制限します。上限に達した場合は、次のログインを拒否するか、最も古いセッションを終了します。 |
| ログインが可能です | トークンを使用してセッションを開始できる回数を制限します。許可された最後のログインが使用されたからといって、既存のセッションが終了することはありません。 |
| 有効期限： | アクセス権には絶対的な有効期限が設定されています。有効期限が切れたアクセス権では、ログインやリクエストの継続はできません。 |
| 一定時間操作がない場合の記録 | セッションの非アクティブ状態によるタイムアウトは、5分から30日まで設定可能です。リクエストが成功するとタイムアウト時間が延長されます。また、開いているパネルはポーリングを行うことで、アクティブ状態を維持することができます。 |
| 許可されたアドレス | 特定のIPアドレスまたはCIDRサブネットを受け入れます。「first-sign-in binding」が有効になっていない限り、空欄のままにするとすべてのアドレスを受け入れます。 |
| 初回ログイン時に紐付ける | 初回ログインに成功すると、そのアクセスに対する許可済みアドレスが確定します。 |

IPアドレスとは、アプリケーションから認識されるクライアントのアドレスを指します。リバースプロキシや トンネルの背後にある場合は、IPルールに依存する前に「**開いているセッション」**に表示されるアドレスを確認してください。 そうしないと、複数のユーザーがプロキシのアドレスを共有しているように見える可能性があります。

## アクセスの変更または取り消し

**「アクセス」**の下にあるエントリを編集して、その適用範囲、権限、または制限を変更してください。 適用範囲および権限の変更は、その後のリクエスト（すでに開かれているセッションからのリクエストを含みます）において確認されます。 アクセス権を取り消すと、そのセッションは終了し、 発行されたトークンは使用できなくなります。また、**開かれているセッションについては、**管理者が アクセス権全体を取り消すことなく、個々のセッションを終了させることも可能です。

アクセス権の取り消しを行っても、すでに誰かがダウンロードしたファイルを復元することはできません。ログアウト、 パネルのロック、またはセッションの終了を行っても、実行中のコレクターは停止しません。

## 管理者が確認できる内容

**この開始以降のログには**、プロセスログとすべての ワークスペースからのジャーナルアクティビティ（ログイン、拒否、経路変更、オペレーターの操作など）が組み合わされています。これは、 現在のプロセス用のインメモリコンソールであり、すべてのメッセージの恒久的なコピーではありません。 頻繁に発生するメッセージイベントは、コンソールを埋めることなく、ジャーナルに保存されます。

アクセス権の付与、変更、取り消し、およびセッションの開始・終了の際にも、 署名付き`access.*`ジャーナル記録が生成されます。これらの記録にはトークンは含まれません。 発行されたトークンおよびセッション認証情報は、ハッシュ化された状態で暗号化された保管庫に保持されます。

****メイン管理者および信頼境界**** メインパネルのトークンには制限が設けられていません。このトークンを使用してブラウザでログインすると、 管理者が設定したセッション制限の対象となるセッションが作成されます。 メイントークンを直接送信するスクリプトは、完全なアクセス権を維持し、ブラウザセッションとしてカウントされません。 これは、単一のインストール環境におけるアプリケーションレベルのアクセス制御です。すべてのワークスペースは サーバープロセスを共有しており、ホスト管理者からの隔離は行われていません。メイントークン、 Telegramセッション、署名鍵、およびデータディレクトリは、機密として厳重に管理してください。ウィットネストークンは 、パネルアクセストークンではなく、独立したチェックポイント／健全性確認用の認証情報です。