所有権移転：データ、権限、および操作
組織の所有権は、検証済みの承認、二重管理、請求の継続性チェック、および検疫期間を経て、譲受人の取り消し不可能な権限昇格へと移行します。
パッケージ状況： AI支援リファレンスパッケージ。静的パッケージ検証は合格済み。実装シナリオは未実行であり、安定採用前に人間によるドメインレビューが必要です。
決定事項
現在の所有者からのみ所有権移転を開始し、譲受メンバーの承諾と両者のMFAを必須とします。譲受人は検疫期間中に表示されますが、所有者専用の破壊的操作はできません。その後、請求の継続性チェックと不変の監査履歴を保持しつつ、所有者ロールを原子操作でローテーションします。
範囲
- 既存メンバー間の組織所有者ロールの移転。
- 保留中、検疫中、完了、キャンセル、および期限切れの移転状態。
- 完了前の請求および支払い方法のゲート。
- 管理者および財務関係者への通知。
範囲外
- 2つの組織または重複アカウントの統合。
- まだメンバーでない新規ユーザーの招待（招待ブロック参照）。
- ドメイン検証またはSSOテナントマッピング。
契約
- 組織ごとに同時に1つのアクティブな所有権移転のみ存在可能。
- 移転開始には、プロファイルごとのステップアップMFAを伴う認証済みの現所有者セッションが必要。
- 譲受メンバーは明示的に承諾しなければならず、承諾なしの無言移転は拒否される。
- 検疫期間中、譲受人は管理UIに保留中の所有者として表示されるが、組織削除、請求アカウント変更、現所有者の削除はできない。
- いずれの当事者も検疫期間中にキャンセル可能。ただし、プロファイルで現所有者のキャンセル禁止設定がある場合は除く。キャンセル時には元のロールが復元される。
- 請求が滞納中、または譲受人に必要な有効な支払い方法がない場合は移転完了できない。
- 完了は原子操作で行われる：所有者ロール数は1のまま、現所有者は設定されたフォールバックロールに降格され、所有者専用APIトークンは製品ポリシーに従いローテーションまたは無効化される。
- すべての状態遷移は、アクター、対象メンバー、相関IDを含む監査イベントをプロファイル保持期間中に追加する。
- 期限切れの保留中移転はプロファイル期間経過後に所有権を変更せずに失効する。
実装ガイダンス
- 移転を状態機械としてモデル化し、メンバーシップ行とは別に永続化し、完了時に1トランザクションでコミットする。許可される遷移と所有者数の不変条件は
transfer-states.yamlを参照。 - 承諾用の署名付きメールリンクを送信し、検疫期間とは独立して期限切れにする。
- 移転が非終端状態のときはすべての管理者にアプリ内バナーを表示。
- 認可レイヤーと連携し、所有者専用権限チェックは単なるロール名ではなく移転状態を参照するようにする。
障害対応と安全策
- 完了トランザクションが途中で失敗した場合はロールバックし、所有者ゼロ状態を残さずに
failed状態にしてオペレーターに警告。 - 移転中に現所有者アカウントが侵害された場合は、ブレイクグラスフリーズをサポートし、本人確認レビューまで完了を停止。
- 譲受人プロファイルに既に検証済みでない外部メールアドレスへの移転は許可しない。
- プラットフォーム管理者のオーバーライドはチケット参照が必要で、高重大度の監査記録を生成。
検証と運用
- 開始、承諾、検疫キャンセル、完了、および請求ブロックのカウントを追跡。
- 四半期ごとに検疫中キャンセルおよび滞納請求ブロックをシミュレーションする訓練を実施。
- 自動統合テストで検疫中の譲受人が所有者専用エンドポイントを拒否されることを検証。
採用前提
example.yamlの名前および数値は採用プロファイルであり、普遍的なデフォルトではない。- チームは現所有者のフォールバックロールおよび完了時のAPIトークンローテーションの有無を定義する。