注: 以下の翻訳の正確性は検証されていません。AIPを利用して英語版の原文から機械的に翻訳されたものです。
制限付きビューを元にするオブジェクトタイプを設定する
制限付きビュー（RV）を使用すると、オントロジーデータに対して行レベルのアクセス制御を有効にできます。これにより、データセット全体や特定のタイプのすべてのオブジェクトへのアクセスを単に許可するよりも、きめ細かなアクセス制御が可能になります。
制限付きビューはデータセットに似ていますが、データセット内の特定の行へのアクセスを制限します。制限付きビューはデータセットレベルで設定され、オントロジーオブジェクトは制限付きビューのポリシーで定義された Granular Permissions を継承します。
制限付きビューをオブジェクトタイプの元データソースとして使用する
オブジェクトタイプの元データソースとして制限付きビューを使用すると、ユーザーが閲覧できる個々のオブジェクトを制御できます。たとえば、ユーザーがポリシーの要件を満たし、制限付きビュー内の特定の行を閲覧できる場合、対応するオントロジーオブジェクトも閲覧できます。
データセットを元にするオブジェクトタイプのオブジェクトを閲覧するには、そのデータセットも閲覧できる必要があります。
- Object Storage V1（Phonograph）で制限付きビューを元にするオブジェクトタイプのオブジェクトを閲覧するには、オブジェクトタイプ自体を閲覧できる必要があります。制限付きビューを閲覧できる必要はありません。代わりに、制限付きビューのマーキングと、その行の読み取りポリシーを満たしているだけで十分です。
- Object Storage V2（OSv2）では、制限付きビューを元にするオブジェクトタイプのオブジェクトを閲覧するには、その制限付きビューを閲覧できる必要があります。
ユーザーによる特定のオブジェクトへのアクセスを制限する場合は、Ontology Manager でオブジェクトタイプの元データソースとして制限付きビューのみを選択してください。
インデックス化に関するポリシーの制限
OSv2 のオブジェクトタイプでは、制限付きビューのデータソースポリシーおよびオブジェクトとプロパティのセキュリティポリシーに次の制限が適用されます。
- ポリシーの比較オペランドには、配列要素を含め、
StringまたはBooleanプリミティブ型を使用する必要があります。 - 順序比較（より小さい、以下、より大きい、以上）はサポートされていません。
タイムスタンプ、日付、数値のオブジェクトプロパティは、ポリシーがそれらを参照していない場合にインデックス化できます。
オントロジーの編集
オブジェクトのセキュリティで参照されているプロパティを編集できるため、ユーザー編集によってオントロジーオブジェクトへのアクセスが影響を受けることがあります。このような場合、ユーザーは元の制限付きビューの行を閲覧できても、オントロジー内の対応するオブジェクトを閲覧できないことがあり、その逆もあります。
たとえば、次のデータを持つ Ticket オブジェクトタイプを考えます。制限付きビューのポリシーでは、行を閲覧するために Assignee 列のグループのメンバーであることが求められます。
| チケットID | タイトル | 担当者 |
|---|---|---|
| 101 | チケット1 | palantir-support |
アクションを適用してこのオブジェクトの Assignee を customer-support に変更すると、customer-support のメンバーではない palantir-support のメンバーは、オントロジー内のオブジェクトへのアクセスを失います。ただし、制限付きビュー内の行はアクションの影響を受けないため、引き続き閲覧できます。palantir-support のメンバーではない customer-support のメンバーは、オントロジーオブジェクトへのアクセスを得ますが、制限付きビュー内の行は引き続き閲覧できません。
セキュリティ設定
Ontology Manager のデータソースタブには、Granular Policy を編集するための追加の設定オプションが表示されます。Granular Policy セクションでは、このタイプのオブジェクトを編集するための権限を設定できます。
編集用の Granular Policy は、Object Storage V1 を使用し、アクションによる編集のみを許可オプションが選択されていないオブジェクトタイプに対してのみ設定できます。それ以外のすべてのオブジェクトタイプでは、そのオブジェクトタイプを編集するアクションタイプによって編集権限が制御されます。アクションの権限について詳しくはこちら。
これらのポリシーを設定すると、属性（オブジェクトのプロパティなど）に基づいて、ユーザーが特定のオブジェクトのみを閲覧または編集できるようにする場合に対応できます。たとえば、Europe のユーザー（region 列に格納）のみがヨーロッパのオブジェクトを閲覧および編集できるようにする場合があり、これは制限付きビューのポリシーとは異なる可能性があります。
オブジェクトのプロパティにアクセスできるユーザーを定義するポリシーは3つあります。
- 読み取る： このポリシーは、制限付きビュー上のすべてのプロパティを閲覧できるユーザーを定義します。上の例では、
region列とユーザーの属性に含まれる値（Europe）を比較して、ユーザーが閲覧できるオブジェクトを判定するポリシーが考えられます。 - プロパティを編集： このポリシーは、ライトバック用に設定され、どの Granular Policy の定義にも使用されていないプロパティを更新できるユーザーを定義します。上の例では、このポリシーは
nameプロパティを編集できるユーザーを制御しますが、regionプロパティを編集できるユーザーは制御しません。regionプロパティはポリシーで使用されているためです。 - ポリシープロパティを編集： このポリシーは、ライトバック用に設定され、いずれかの Granular Policy の定義にも使用されているプロパティを更新できるユーザーを定義します。上の例では、このポリシーは
regionプロパティを編集できるユーザーを制御します。
オブジェクトタイプを Object Storage V1（Phonograph）に登録した後に閲覧ポリシーを変更した場合は、Ontology Manager でオブジェクトタイプのデータソースタブにある Phonograph セクションの更新ボタンから登録を更新する必要があります。登録を更新しない場合、以前に登録されたポリシーに基づいて、制限付きビューの最新データが利用可能になることがあります。Object Storage V2 では、ポリシーの自動伝播がデフォルトで利用可能です。