API キー

API キーを使うと、スクリプトや CI から REST API を使えます。Account settings → API Keys で作成します。

• キーは zv_pat_ で始まり、表示されるのは一度だけです。パスワードと同じように扱ってください。
• 各キーには権限があり、一部のプロジェクトに制限できます。キーには仕事に必要なものだけを与えてください。
• どのキーも、あなたのアカウント（メールアドレス、パスワード、キー）を変えること、他のキーを作ること、請求、購入、チームのメンバーに触れることはできません。
• 有効期限は 30、90、365 日、またはなしから選びます。一覧には各キーが最後に使われた日時が表示されます。不要になったキーは削除してください。

curl -H "Authorization: Bearer $ZENAVO_API_KEY" https://zenavo.app/api/projects

権限

権限	できること	できないこと	相当するロール
Read only	プロジェクト、サービス、デプロイ、ジョブ、ログ、サーバー、使用量を見る	設定値（環境変数、接続情報）を見る、何かを変更する	最大で Viewer
Deploy	さらに、サービスのデプロイ、ロールバック、再起動、再開、プロジェクトの設定（環境変数を含む）の編集、ソースのアップロード、生成ドメインの追加、バックアップの作成	シェルを開く・コマンドを実行する、ファイルやデータベースの行を読む・変える、バックアップのダウンロードや復元、プロジェクトの作成・削除・移行・停止、サーバーやファイアウォールの変更	最大で Member
Full access	API キーにできることすべてを、あなた自身のロールで	請求、サーバーの購入や更新、メンバーの招待や削除、チームの作成・削除・移管	あなたのロール

キーがチーム内であなたのロールを超えることはありません。Viewer の Deploy キーは Viewer のままです。権限の仕組みより前に作られたキーは、以前どおり Full access です。キーの権限で許されないリクエストには 403 が返ります。

ログにはサービスが出力したものが何でも含まれえます。サービスがシークレットを出力すれば、Read only のキーでも見えます。

キーを一部のプロジェクトに制限する

Only some projects を選んでプロジェクトにチェックを付けます。するとキーには他のものが一切見えなくなります。プロジェクトとジョブの一覧にはそのプロジェクトだけが出て、他のプロジェクトは 404、プロジェクト以外のもの（サーバー、チームの設定、メンバー）は 403 を返します。Full access でも、そのプロジェクトを削除、複製、移行、移管することはできません。AI エージェントや CI のジョブには、これがいちばん安全な選択です。

プロジェクトの制限はリクエストのたびにあなたのロールとあわせて確認されるので、チームを抜けるとキーもプロジェクトへのアクセスを失います。

CLI のサインイン

CLI の zenavo auth login は、手でコピーすることなく CLI 用のキーを作ります。ターミナルにコードが表示されるので、コンソールで /device を開き、コードを入力して承認します。デバイス名とネットワークが自分のものか確認し、今自分で要求したコードだけを承認してください。承認はセキュリティのアクティビティに記録されます。キーの名前は CLI on <hostname> で、90 日で期限が切れ、この一覧に表示されます。

承認ページには CLI が求めた権限が表示されます。少ない権限（Deploy の代わりに Read only など）で承認したり、一部のプロジェクトに制限したりできますが、求められた以上を与えることはできません。権限を求めない古い CLI には Full access が与えられます。