[アップデート] Amazon Quick Suite でロールアップグレードリクエスト機能が追加されていたので使ってみた

いわさです。

先日、AWS CLI v1.44.8 で Quick Suite に関する気になる API 更新がありました。

This release adds support for quick users to be able to perform role upgrades on their own.

https://github.com/aws/aws-cli/commit/85ac08c654b90533b2e00160cd679c1b514e7b9a

Quick Suite のユーザーがロールのアップグレードを実行できるようになるようです。
どういう機能なのかなーと気になりつつドキュメントが更新されるのを待っていたのですが、Quick Suite のコンソールに実装されていたので軽く使ってみました。

リクエストと承認

流れなのですが、ロールのアップグレード余地のあるユーザーで Quick Suite コンソールにアクセスしてみると次のように「Request an Upgrade」というボタンが表示されます。
ここからリクエストを行えるようです。

そして管理者は以下からユーザーによるアップグレードリクエストを管理することが出来るみたいですね。
管理者メニュー上には特に見当たらないのですが、「アカウントを管理」メニューの下の方に「ユーザーのアップグレード」というエリアが追加されていました。

上記の「Manage」ラベルを押すと UI はほぼ同じなのですが、違う URL の管理画面に遷移し、ここでユーザーのアップグレードリクエスト一覧が表示されるようです。

なるほど。ここでリクエストの承認や拒否をするのかな。
使ってみましょう。

Reader がリクエストしてみる

まずは Reader ユーザーで上記リクエストを送信してみましょう。
ボタンを押すと次のようにバナーが表示されました。リクエストが送信されたようです。特にどういう権限が欲しいなどの選択はなかったし確認画面もなかったです。押した瞬間に送信されました。

管理者側では次のようにどのユーザーからリクエストが送信されたのかを確認することが出来ました。

「詳細を確認」ボタンと「承認」ボタンがありますね。拒否ボタンはここには無さそう。
「詳細を確認」ボタンを押してみると、いつどのユーザーからどういうリクエストが送信されたのかを確認することが出来ます。そしてここに拒否ボタンがありました。

ここで「承認」ボタンを押してみます。
そうすると次のようにアップグレード一覧からリクエストが消えました。拒否の場合も消えます。承認・拒否履歴が残り続けるわけではないようです。

そしてリクエストしたユーザーには次のように承認された旨のメールが送信されていました。

確認してみると、「BI Reader」から「Professional」にライセンスが切り替わっていますね。

BI Reader は旧閲覧者ロールで、Professional は旧閲覧者プロロールですね。管理者機能のユーザー一覧では次のようにロールが表示されていました。

こんな感じでユーザーがアップグレードをリクエストして管理者が承認すれば Quick Suite ユーザーとしてのロールが恒久的に昇格されるような仕組みみたいです。
なので承認した時点で料金も切り替わる感じですね。

Reader Pro がリクエストしてみる

Reader が Reader Pro をリクエストできることは確認しました。
先程の切り替え後の画面を見て頂くとわかるのですが、Reader Pro (Professional) に切り替え後もまだアップグレードリクエストを送信できそうに見えますね。
この場合どうなるのでしょうか。試してみると次のように Enterprise (Author Pro) ロールがリクエストされることが確認できました。

承認すると、作成者プロロールに切り替わりました。メールもこんな感じで送られます。

BI ロールへの切り替えは出来ないみたいですが、Reader Pro → Author Pro へのアップグレードはできるみたいですね。

Author Pro はリクエストできない？

そして Author Pro がリクエストを送るとどうなるのか。管理者になれるのか？と思ったのですがそれは出来ないみたいです。
UI 上の挙動がちょっと不安定な気がしましたが、次のようにボタン自体が表示されなかったり、ボタンが押せなくなりました。

API 上は許容されていそうにも見えたのですが、コンソール上は Enterprise から先はアップグレードリクエストが送信できないように見えました。

自動承認できるみたい

管理者はアップグレードリクエストを承認・拒否を行う必要があるのですが、自動で承認することも出来ます。
次のように「アップグレードを自動的に承認する」をオンにしておくことで管理者の操作不要で無条件に承認できるみたいです。

ただ、アップグレードすることでライセンス料金がどんどん上がっていくので、無条件に自動承認させるとコスト面のリスクがありますね。
なのでここで自動承認を使いたいケースってほとんど無い気がします。

カスタムアクセス許可でユーザー別に本機能の制御ができる

ただし、カスタムアクセス許可を使うことでこのアップグレード機能を使うユーザーやロールを制限することが出来ます。
自動承認を有効化した上で一部のユーザーのみ自動承認させるみたいな運用は小規模なチームであればまだありかもしれませんね。

次のようにカスタムアクセス許可の中で「ユーザーによるアップグレードまたはアップグレードのリクエストを許可」をチェックするとこれらの機能が使えなくなります。

管理者の中でさらに承認権限を持つユーザーを一部にしたい場合なども使えそうですね。

さいごに

本日は Amazon Quick Suite でロールアップグレードリクエスト機能が追加されていたので使ってみました。

BI ロール → プロフェッショナル → エンタープライズ という形でロールのアップグレードをユーザーがリクエストし、管理者が承認することでロールが更新される仕組みみたいです。
ただ、一定時間だけ一時的なアクセス許可を与えるとかではなくて恒久的なアップグレードみたいなのでライセンス料金が増える点について認識しておきましょう。

承認機能自体は良いなと思いつつ、リクエスト時にユースケースや理由などのリクエスト補足情報を送って、アップグレードリクエストに関する背景確認から判断までこの画面だけで行えるようになると使い勝手良さそうですね。