注: 以下の翻訳の正確性は検証されていません。AIPを利用して英語版の原文から機械的に翻訳されたものです。
オブジェクトとプロパティのセキュリティポリシー
オブジェクトセキュリティポリシーでは、元データソースの権限とは独立して、オブジェクトタイプにセキュリティポリシーを設定することで、オブジェクトのインスタンスの閲覧権限を設定できます。これらのポリシーは、行レベルのセキュリティを実現するために使用します。
特定のプロパティの閲覧は、追加のプロパティセキュリティポリシーで制限できます。これらは、選択したプロパティにのみ適用される点を除き、オブジェクトセキュリティポリシーと同じです。これらのポリシーは、列レベルのセキュリティを実現するために使用します。
デフォルトでは、オブジェクトセキュリティポリシーはすべてのプロパティに適用されます。プロパティがプロパティセキュリティポリシーに含まれている場合、そのプロパティ値を閲覧するには、ユーザーはオブジェクトセキュリティポリシーとプロパティセキュリティポリシーの両方の条件を満たす必要があります。オブジェクトとプロパティのセキュリティポリシーを組み合わせることで、セルレベルのセキュリティを実現します。ユーザーがオブジェクトセキュリティポリシーの条件を満たさない場合、そのユーザーはオブジェクトのインスタンスを閲覧できません。オブジェクトセキュリティポリシーの条件を満たしていても、プロパティセキュリティポリシーの条件を満たさない場合、プロパティ値の代わりに null 値が表示されます。
オブジェクトとプロパティのセキュリティポリシーは、ユーザーが読み取れる内容を絞り込みます。ユーザーは、閲覧を許可されていないオブジェクトのインスタンスやプロパティ値を読み取ることはできません。これらの制御は、下流の出力やエクスポートには適用されません。下流へ流れるデータを引き続き保護するには、これらの制御をマーキングまたは機密情報区分ベースのアクセス制御と組み合わせてください。モデル全体については、アクセス制御の伝播を参照してください。
オブジェクトとプロパティのセキュリティポリシーを設定する
オブジェクトのインスタンスとそのプロパティへのアクセスは、次の条件によって決まります。
オブジェクトまたはプロパティのセキュリティポリシーが設定されている場合、オブジェクトのインスタンスを閲覧するために、オブジェクトタイプの元データソースに対する閲覧者権限は必要ありません。
エンロールメントでレガシーのデータソース由来の権限モデルを使用している場合、オブジェクトタイプとそのインスタンスを閲覧するには、引き続き元データソースに対する閲覧者権限が必要です。この要件は、オブジェクトセキュリティポリシーが設定されている場合にも適用されます。データソース由来の権限では、オブジェクトセキュリティポリシーによる権限の分離が機能しなくなるため、オブジェクトセキュリティポリシーを設定する前に、プロジェクトベースの権限に移行することを推奨します。
ダウンロード権限は、上記の閲覧権限とは別に評価されます。オブジェクトタイプがセキュリティポリシーで保護されている場合、プラットフォームがオブジェクトタイプと元データソースのどちらでダウンロード権限をチェックするかは、オブジェクトタイプの場所によって決まります。詳細は、オブジェクトデータをダウンロードする権限で説明しています。
Passenger オブジェクトタイプに、User ID、Flight Number、Seat Assignment、Name、Address、Phone Number というプロパティがある例を考えます。一部の乗客は VIP であり、その情報は VIP マーキングにアクセスできるユーザーのみが閲覧できます。また、Name、Address、Phone Number などの一部のプロパティは、PII マーキングを持ち、個人を特定できる情報を閲覧する権限があるユーザーのみが閲覧できるようにする必要があります。元データセットは機密データで構成されているため、PII と VIP のマーキングをつける必要があります。ただし、機密データ用のマーキングを持たないユーザーでも、乗客のフライト情報には引き続きアクセスできるようにする必要があります。
次のステップで、オブジェクトセキュリティポリシーを使用して Passenger オブジェクトタイプを保護できます。
- オブジェクトタイプのセキュリティタブに移動します。
- データソースのポリシーよりオブジェクトセキュリティポリシーを優先するには、セキュリティポリシーセクションで作成を選択します。
- オブジェクトのインスタンスの閲覧権限を変更するオブジェクトセキュリティポリシーを作成します。Granular Policy の追加や、組織とマーキングの編集ができます。
- マーキングの設定で、
PIIとVIPのマーキングの継承を停止し、これらのマーキングを持たないユーザーがオブジェクトのインスタンスを閲覧できるようにします。
- VIP へのアクセスを制限するため、詳細なポリシーを追加します。
VIPマーキングは、強制アクセス制御プロパティとして追加されます。すべての行の強制アクセス制御プロパティにはマーキングが含まれており、そのオブジェクトのインスタンスにアクセスするには、ユーザーがそれらのマーキングの要件を満たす必要があります。
グループ、マーキング、組織のメンバーシップに NOT 条件を使用しないでください。このような場合に NOT 条件を使用することは、設定の誤りです。プラットフォームは、ユーザーの権限の一部のみを持つスコープ付きトークンをサポートしています。これらのトークンには NOT 条件がチェックする属性が含まれない場合があり、その結果、条件を満たして意図した以上のアクセスが許可されるおそれがあります。
- これでオブジェクトセキュリティポリシーが作成されます。次に、
PIIプロパティをPIIマーキングで保護する必要があります。これは、プロパティセキュリティポリシーを追加することで実現できます。
- 保護する必要があるプロパティを選択し、ポリシーに名前をつけます。次に、マーキングを管理の設定で
PIIマーキングを適用します。プロパティセキュリティポリシーの設定項目は、オブジェクトセキュリティポリシーと同じです。
プロパティセキュリティポリシーのマーキングを管理を選択し、PIIマーキングを適用します。
- これでプロパティセキュリティポリシーが作成されます。ポリシーに含まれるプロパティは、オブジェクトセキュリティポリシーと新しいプロパティセキュリティポリシーによって保護されます。どのプロパティセキュリティポリシーにも含まれないプロパティは、引き続きオブジェクトセキュリティポリシーによって保護されます。
セキュリティポリシーを編集する権限
オブジェクトまたはプロパティのセキュリティポリシーを作成または編集するには、オブジェクトタイプの所有者である必要があります。エンロールメントでプロジェクトベースの権限を使用している場合は、オブジェクトタイプが含まれるプロジェクトで所有者ロールを持っている必要があります。
エンロールメントでレガシーのデータソース由来の権限モデルを使用している場合は、オントロジーの所有者である必要があります。オブジェクトタイプにセキュリティポリシーが設定されると、プロパティの追加や削除にもオントロジーの所有者権限が必要になります。これにより、一般的なワークフローの多くに厳しい制限がかかるため、この点からも、オブジェクトセキュリティポリシーを設定する前にプロジェクトベースの権限に移行することを推奨します。
オブジェクトデータをダウンロードする権限
オブジェクトタイプがオブジェクトまたはプロパティのセキュリティポリシーで保護されている場合、プラットフォームがダウンロード権限をチェックする場所は、オブジェクトタイプの場所によって決まります。
- プロジェクトに保存されているオブジェクトタイプ： プラットフォームは、オブジェクトタイプに対するダウンロード権限をチェックします。
- オントロジーロールまたはデータソース由来の権限を使用しているオブジェクトタイプ： プラットフォームは、元データソースに対するダウンロード権限をチェックします。
プロパティセキュリティポリシーの制限
1つ以上のプロパティセキュリティポリシーを設定する場合、次の制限が適用されます。
- オブジェクトセキュリティポリシーがすでに設定されている必要があります。
- 主キープロパティは、どのプロパティセキュリティポリシーにも含めることができません。
- 主キー以外のプロパティは、最大1つのプロパティセキュリティポリシーに含めることができます。
オブジェクトタイプへのアクセスを設定する
オブジェクトタイプへのアクセスは、オントロジーメタデータの権限で設定できます。ユーザーは、オブジェクトタイプの定義とインスタンスを閲覧できる必要があります。
Granular Policy を設定する
行レベルのセキュリティのための Granular Policy の設定について詳しくはこちら。
プロパティセキュリティポリシーにおける Granular Policy の制限
Granular Policy の比較数の上限である10,000は、オブジェクトセキュリティポリシー単独と、オブジェクトセキュリティポリシーと1つのプロパティセキュリティポリシーの組み合わせそれぞれに個別に適用されます。各プロパティセキュリティポリシーについて、その Granular Policy の比較重みを、オブジェクトセキュリティポリシーの Granular Policy の重みに加算します。この合計重みは10,000未満である必要があります。
たとえば、Passenger オブジェクトタイプで、VIP 乗客へのアクセスを制御するオブジェクトセキュリティポリシーを保持し、フライトの詳細と連絡先の詳細という2つのプロパティセキュリティポリシーを設定します。この例では、フライトの詳細へのアクセスも、権限を持つ航空会社のスタッフに制限されます。Name、Address、Phone Number を保護するため、連絡先の詳細の PII マーキングを保持します。さらに、各プロパティセキュリティポリシーに詳細な条件を設定し、比較重みが次のようになったとします。
| セキュリティポリシー | プロパティ | Granular Policy の重み | 上限10,000に対して確認する重み |
|---|---|---|---|
| オブジェクトセキュリティポリシー | User ID（主キー）。ほかのすべてのプロパティにも適用 | 3,000 | 3,000 |
| フライトの詳細のプロパティセキュリティポリシー | Flight Number、Seat Assignment | 5,000 | 3,000 + 5,000 = 8,000 |
| 連絡先の詳細のプロパティセキュリティポリシー | Name、Address、Phone Number | 6,000 | 3,000 + 6,000 = 9,000 |
各プロパティセキュリティポリシーはオブジェクトセキュリティポリシーとのみ組み合わされるため、合計重みはフライトの詳細で8,000、連絡先の詳細で9,000になります。フライトの詳細のポリシーの重みは、連絡先の詳細のポリシーの合計重みに加算されず、その逆も同様です。
オブジェクトセキュリティポリシーは、プロパティセキュリティポリシーの対象となるプロパティを含め、引き続きすべてのプロパティに適用されます。その詳細な条件を各プロパティセキュリティポリシーで繰り返し設定する必要はありません。
強制アクセス制御を設定する
デフォルトでは、オブジェクトセキュリティポリシーはデータソースからすべての強制アクセス制御を継承します。これには、マーキング、組織、機密情報区分が含まれます。
その後、オブジェクトセキュリティポリシーをさらにカスタマイズして、新しい強制アクセス制御を追加したり、継承した強制アクセス制御のうち不要になったものを外したりできます。
オブジェクトセキュリティポリシーを使用した実体化
オブジェクトセキュリティポリシーは、オブジェクトタイプ内の実体化されたデータを閲覧するための権限も決定します。
現在、オブジェクトセキュリティポリシーを持つオブジェクトタイプは、Foundry データセットにのみ実体化できます。実体化されたデータには、最も制限の厳しい権限が適用されます。これには次のものが含まれます。
- 元データソースのすべてのマーキング。
- オブジェクトセキュリティポリシーまたはプロパティセキュリティポリシーに適用された追加のマーキング。
- すべてのオブジェクトセキュリティポリシーおよびプロパティセキュリティポリシーの Granular Policy で使用される、すべての強制アクセス制御プロパティのマーキング。
実体化されたデータセットのトランザクションは、実体化されたデータセットのビルド時に生成されたセキュリティポリシーによって保護されます。ユーザーがオブジェクトセキュリティポリシーまたはプロパティセキュリティポリシーでマーキングを追加または削除した場合、そのマーキングは、マーキングが存在する時点でコミットされたトランザクションにのみ反映されます。トランザクションは、ユーザーが設定した実体化のビルドスケジュールに従ってビルドが実行されるときにコミットされます。 オブジェクトセキュリティポリシーまたはプロパティセキュリティポリシーにマーキングを追加した後は、必ず次の操作を行ってください。
- マーキングを実体化データセットに直ちに伝播する必要がある場合は、実体化データセットをビルドしてください。
- 実体化データセットの過去のすべてのトランザクションを保護するため、実体化データセットまたは元データセットにそのマーキングをつけてください。
オブジェクトセキュリティポリシーをテストする
オブジェクトセキュリティポリシーを設定する際、未保存のオブジェクトセキュリティポリシーに基づいて、インデックス化済みのオブジェクトタイプのプロパティを特定のユーザーが閲覧できるかどうかをテストできます。また、Granular Policy で参照されるプロパティの値を編集して仮想的なオブジェクトのインスタンスをテストし、ポリシーが正しく設定されているかどうかを確認できます。セキュリティポリシーセクションからポリシーをテストを選択すると、セキュリティポリシーをテストモーダルが開きます。
セキュリティポリシーをテストモーダルで、テストを設定パネルを使用して、指定したオブジェクトに対する閲覧アクセスをテストするユーザーを選択します。結果セクションには、現在のセキュリティポリシーの設定に基づいて、そのユーザーが閲覧できるオブジェクトのプロパティが表示されます。
オブジェクトセキュリティポリシーのテストにおける現在の制限
- 派生プロパティを閲覧できるかどうかはテストできません。これは、派生プロパティのソースオブジェクトに対するユーザーの閲覧アクセスにも依存するためです。
- セキュリティポリシーで参照される組織のメンバーでも管理者でもない場合、テスト時にゲストメンバーシップとセカンダリ組織は考慮されません。Foundry は、権限のない組織を列挙した警告コールアウトを表示して、このことを知らせます。
制限付きビューからオブジェクトセキュリティポリシーに移行する
オントロジーに基づくほとんどのユースケースでは、制限付きビューよりもオブジェクトセキュリティポリシーを推奨します。オブジェクトセキュリティポリシーは、統合されたセルレベルのセキュリティ、ほぼ即時のポリシー更新、ストリーミングとブランチへの対応を提供します。オブジェクトセキュリティポリシーとプロパティセキュリティポリシーの利点について詳しくはこちら。
以前に制限付きビューに基づくオブジェクトタイプを設定していて、オブジェクトセキュリティポリシーに移行する場合は、以下で説明する移行ツールを使用できます。オブジェクトポリシーおよびプロパティポリシーとデータソースポリシーの違いについて詳しくはこちら。
セキュリティタブの移行ツールを使用すると、オブジェクトタイプのデータソースを制限付きビューからその元データセットに移行し、オブジェクトセキュリティポリシーで保護できます。このツールは、制限付きビューに定義されているポリシーと一致するようにセキュリティポリシーを設定します。
制限事項
移行ツールは、次の制限付きビューの設定に対応していません。
- 複数のデータソースを持つオブジェクトタイプ（MDO）。
- 複数の実体化、または単一の制限付きビューの実体化を持つオブジェクトタイプ。
- より大きい、以上、より小さい、以下など、対応していない比較演算子を使用する Granular Policy を持つ制限付きビュー。
- Integer、Long、Double などの数値の固定値を参照する Granular Policy を持つ制限付きビュー。
- ユーザープロパティとして認可済みグループID、組織マーキングID、または固定マーキングIDを参照する Granular Policy を持つ制限付きビュー。同等のセキュリティを実現するには、強制アクセス制御プロパティの使用を検討してください。
任意アクセス制御によるセキュリティを維持する
データに対するプロジェクトの閲覧制約（制限付きビューが属するプロジェクトから継承されるセキュリティ設定）を維持するには、移行ツールを使用して、オブジェクトタイプを制限付きビューと同じプロジェクトに移動できます。
