注: 以下の翻訳の正確性は検証されていません。AIPを利用して英語版の原文から機械的に翻訳されたものです。
制限付きビューを元データソースとするオブジェクトタイプを設定する
制限付きビュー（RV）を使用すると、オントロジーデータに対して行レベルのアクセス制御を行えます。これにより、データセット全体や特定のタイプのすべてのオブジェクトへのアクセスを付与するだけの場合よりも、きめ細かいアクセス制御が可能になります。
制限付きビューはデータセットに似ていますが、データセット内の特定の行へのアクセスを制限します。制限付きビューはデータセットレベルで設定され、オントロジーオブジェクトは制限付きビューのポリシーで定義された Granular Permissions を継承します。
制限付きビューをオブジェクトタイプの元データソースとして使用する
制限付きビューをオブジェクトタイプの元データソースにすると、ユーザーが閲覧できるオブジェクトを制御できます。たとえば、ユーザーがポリシーの要件を満たし、制限付きビュー内の特定の行を閲覧できる場合、対応するオントロジーオブジェクトも閲覧できます。
データセットを元データソースとするオブジェクトタイプのオブジェクトを閲覧するには、そのデータセットも閲覧できる必要があります。
- Object Storage v1（Phonograph）で、制限付きビューを元データソースとするオブジェクトタイプのオブジェクトを閲覧するには、オブジェクトタイプ自体を閲覧できる必要があります。制限付きビューを閲覧できる必要は必ずしもありません。制限付きビューのマーキングと、その行の読み取りポリシーを満たすだけで閲覧できます。
- Object Storage v2 では、制限付きビューを元データソースとするオブジェクトタイプのオブジェクトを閲覧するには、その制限付きビューを閲覧できる必要があります。
ユーザーによる特定のオブジェクトへのアクセスを制限する場合は、Ontology Manager でオブジェクトタイプの元データソースとして制限付きビューのみを選択します。
オントロジーの編集
オブジェクトのセキュリティで参照されるプロパティを編集できるため、ユーザーによる編集がオントロジーオブジェクトへのアクセスに影響することがあります。このような場合、ユーザーは元データソースの制限付きビュー内の行を閲覧できても、オントロジー内の対応するオブジェクトを閲覧できないことがあります。また、その逆もあります。
たとえば、次のデータを持つ Ticket オブジェクトタイプを考えます。この制限付きビューのポリシーでは、行を閲覧するには Assignee 列のグループのメンバーである必要があります。
| チケットID | タイトル | 担当者 |
|---|---|---|
| 101 | チケット1 | palantir-support |
このオブジェクトの Assignee を customer-support に変更するアクションが適用された場合、customer-support のメンバーではない palantir-support のメンバーは、オントロジー内のオブジェクトにアクセスできなくなります。ただし、制限付きビュー内の行はアクションの影響を受けないため、引き続き閲覧できます。palantir-support のメンバーではない customer-support のメンバーは、オントロジーオブジェクトにアクセスできるようになりますが、制限付きビュー内の行は引き続き閲覧できません。
セキュリティ設定
Ontology Manager のデータソースタブには、Granular Policy を編集するための追加の設定オプションが表示されます。Granular Policy セクションでは、このタイプのオブジェクトを編集するための権限を設定できます。
編集用の Granular Policy を設定できるのは、Object Storage v1 を使用し、アクションによる編集のみを許可オプションが選択されていないオブジェクトタイプのみです。それ以外のすべてのオブジェクトタイプでは、そのオブジェクトタイプを編集するアクションタイプを通じて編集権限が制御されます。アクション権限について詳しくはこちら。
これらのポリシーを設定することで、属性（オブジェクトのプロパティなど）に基づいて、ユーザーが特定のオブジェクトのみを閲覧または編集できるようにしたい場合に対応できます。たとえば、Europe のユーザー（region 列で判別）のみがヨーロッパのオブジェクトを閲覧および編集できるようにしたい場合があります。このポリシーは、制限付きビューのポリシーとは異なる場合があります。
オブジェクトのプロパティにアクセスできるユーザーを定義するポリシーには、3つあります。
- 読み取る： このポリシーは、制限付きビュー上のすべてのプロパティを閲覧できるユーザーを定義します。上記の例では、
region列とユーザーの属性に含まれる値（Europe）を比較して、ユーザーが閲覧できるオブジェクトを判定するポリシーが考えられます。 - プロパティを編集： このポリシーは、ライトバック用に設定されているプロパティのうち、どの Granular Policy の定義にも使用されていないプロパティを更新できるユーザーを定義します。上記の例では、このポリシーは
nameプロパティを編集できるユーザーを制御しますが、regionプロパティを編集できるユーザーは制御しません。regionプロパティはポリシーで使用されているためです。 - ポリシープロパティを編集： このポリシーは、ライトバック用に設定され、かつ Granular Policy の定義にも使用されているプロパティを更新できるユーザーを定義します。上記の例では、このポリシーは
regionプロパティを編集できるユーザーを制御します。
オブジェクトタイプを Object Storage v1（Phonograph）に登録した後で閲覧ポリシーが変更された場合は、Ontology Manager のオブジェクトタイプのデータソースタブにある Phonograph セクションの更新ボタンから、登録を更新する必要があります。登録を更新しない場合、以前に登録されたポリシーに基づいて、制限付きビューの最新データが利用可能になることがあります。Object Storage v2 では、デフォルトでポリシーの自動伝播が利用可能です。