> ## Documentation Index
> Fetch the complete documentation index at: https://docs.nora.my/llms.txt
> Use this file to discover all available pages before exploring further.

# 접근·정책

> 워크스페이스 전체에서 누가 무엇을 할 수 있는지. 역할부터 Flow 별 접근 룰까지

역할이 멤버가 할 수 있는 것의 바닥을 정합니다. Flow 별 접근 룰이 그걸 더 풀거나 조입니다. 워크스페이스 정책이 그 위에 적용됩니다.

## 접근 층

접근은 모든 액션에서 이 순서로 점검됩니다.

1. **워크스페이스 역할**(Owner / Manager / Member / Viewer).
2. **Flow 별 오버라이드** Flow가 역할 기본을 넘어 editor·publisher·runner를 제한할 수 있습니다.
3. **워크스페이스 정책** 조직 전체 룰(아래 참고).

체인 어디서든 거부가 나면 액션이 막힙니다.

## Flow 별 접근

Flow마다 권한 필드가 셋 있습니다(Flow settings → Access).

* **Editors** Draft를 바꿀 수 있는 사람. 기본 Owner + Manager.
* **Publishers** 배포할 수 있는 사람. 기본 Owner + Manager.
* **Runners** 실행을 걸 수 있는 사람(인터랙티브나 API). 기본 모든 멤버.

조이려면 이렇게 합니다.

* Publisher를 특정 그룹으로 제한합니다(컴플라이언스 팀만 고객 대상 Flow를 배포).
* Runner를 그룹으로 제한합니다(온콜 팀만 응급 Flow를 걸 수 있음).

풀려면 이렇게 합니다.

* Draft 전용 프로토타입 Flow에 Member에게 Publisher 권한을 줍니다.

접근 변경은 기록됩니다([감사](/ko/reliable/versions/audit) 참고).

## 워크스페이스 정책

정책은 워크스페이스의 모든 Flow에 적용됩니다. Settings → Access policies 입니다.

### 배포 정책

* **모든 배포에 시뮬레이션 요구** 배포가 지정 데이터셋을 통과해야 하는 게이트입니다. "잘되겠지" 식 배포를 막습니다.
* **릴리스 노트 요구** 빈 릴리스 노트를 받지 않습니다.
* **Multi-sign 배포** Manager 혼자 배포 못 하고 두 번째 사인오프가 필요합니다. 위험한 Flow에 켭니다.

### 승인 정책

* **승인 웹훅 URL 요구** 웹훅 없는 Flow는 설정 점검에 실패합니다. 승인이 앱 안에서만 뜨는 일을 막습니다.
* **리뷰어 역할 제한** 특정 그룹 멤버만 승인자가 됩니다.

### 데이터 정책

* **N일 넘는 트레이스 페이로드 금지** 더 오래 두려는 Flow는 덮어씁니다.
* **모든 파운더리 파이프라인에 편집 요구** 모든 파이프라인이 PII 지우기 단계를 넣어야 합니다.

### CLI / API 정책

* **CLI 배포를 CI 전용으로 제한** 사람 개인 토큰으로는 배포 못 하고 워크스페이스 토큰만 됩니다. 감사 트레일 요구도 붙습니다.
* **파괴적 명령을 Owner로 제한** `flows delete`, `documents delete` 같은 걸 Owner만 씁니다.

정책은 플랫폼 층에서 강제됩니다. CLI도 앱도 다 지킵니다.

## Personal 토큰과 workspace 토큰

API/CLI 접근용 토큰이 두 종류입니다.

| 종류            | 스코프                     | 발급 위치                                  | 흔한 용도     |
| ------------- | ----------------------- | -------------------------------------- | --------- |
| **개인 접근 토큰**  | 속한 모든 워크스페이스. 역할을 따릅니다. | Settings → Security → API tokens       | 인터랙티브 개발. |
| **워크스페이스 토큰** | 워크스페이스 하나. 커스텀 스코프.     | Settings → Security → Workspace tokens | CI, 통합.   |

자동화에는 워크스페이스 토큰이 맞습니다. 스코프가 좁고, 서비스별로 거둘 수 있고, 개인 정체성이 얽히지 않습니다.

## SSO와 접근

SSO로 관리되는 워크스페이스는 이렇습니다.

* 역할이 SCIM 속성이나 그룹 매핑에서 옵니다.
* 로컬 역할 변경이 꺼집니다(앱이 "SSO-managed" 표시를 띄웁니다).
* 그룹 멤버십(Flow 별 접근용)도 SSO 그룹에서 옵니다.

필요하면 로컬 사용자를 Guest로 더합니다(단기, 대역 외). Settings → Members → Add guest 입니다.

## 접근 레시피

### 컴플라이언스만 고객 대상 Flow 배포

1. Members에 "Compliance" 그룹을 만듭니다.
2. 컴플라이언스 팀 멤버를 그룹에 넣습니다.
3. Flow에서 Access → Publishers → **컴플라이언스 그룹만**으로 둡니다.

### 외부 감사자에게 읽기 전용 접근

1. 감사자를 **Viewer**로 초대합니다.
2. 필요하면 특정 Flow로 제한합니다. Flow → Access → Runners → **viewer 그룹 제외**.
3. 아니면 초대하지 말고 리포트 내보내기를 공유합니다.

### CI 전용 배포

1. Settings → Access policies → **CLI 배포를 워크스페이스 토큰으로 제한**을 켭니다.
2. CI 워크스페이스 토큰을 발급해 CI에서 씁니다.
3. 이제 사람 개인 토큰으로는 배포 못 하고 CI를 거쳐야 합니다.

## 트레이스의 접근 점검

트레이스 뷰가 접근을 지킵니다. 페이로드 읽기 권한이 없는 멤버는 이렇게 봅니다.

* 메타데이터(타임스탬프, 비용, 판정).
* 지운 프롬프트와 도구 인자.
* 접근이 허용될 때만 최종 답변.

**Flow settings → Access → Payload visibility**에서 페이로드 접근을 정합니다.

## "왜 X를 못 하지?" 디버깅

1. 역할을 봅니다. Settings → Members → 여러분 항목.
2. Flow의 Flow 별 접근을 봅니다. Flow → Settings → Access.
3. 워크스페이스 정책을 봅니다. Settings → Access policies.
4. 접근이 있어야 한다고 생각되면 Owner에게 물어봅니다.

모든 접근 거부가 막은 룰과 함께 기록됩니다. Owner가 감사 항목을 뽑아 정확히 왜인지 볼 수 있습니다.