注: 以下の翻訳の正確性は検証されていません。AIPを利用して英語版の原文から機械的に翻訳されたものです。
オブジェクトとプロパティのセキュリティポリシー
オブジェクトセキュリティポリシーでは、オブジェクトタイプにセキュリティポリシーを設定することで、元データソースの権限とは独立して、オブジェクトのインスタンスの閲覧権限を設定できます。これらは、行レベルセキュリティを実現するために使用されます。
特定のプロパティの表示設定は、追加のプロパティセキュリティポリシーで制御できます。これらは、選択したプロパティにのみ適用される点を除き、オブジェクトセキュリティポリシーと同じです。これらは、列レベルセキュリティを実現するために使用されます。
デフォルトでは、オブジェクトセキュリティポリシーはすべてのプロパティに適用されます。プロパティセキュリティポリシーにプロパティが含まれている場合、ユーザーがそのプロパティ値を表示するには、オブジェクトセキュリティポリシーとプロパティセキュリティポリシーの両方の条件を満たす必要があります。オブジェクトとプロパティのセキュリティポリシーを組み合わせることで、セルレベルセキュリティを実現します。ユーザーがオブジェクトセキュリティポリシーの条件を満たさない場合、そのユーザーはオブジェクトのインスタンスを閲覧できません。オブジェクトセキュリティポリシーの条件を満たしていても、プロパティセキュリティポリシーの条件を満たさない場合は、プロパティ値の代わりに null 値が表示されます。
オブジェクトとプロパティのセキュリティポリシーは、ユーザーが読み取れる内容を絞り込みます。ユーザーは、閲覧権限のないオブジェクトのインスタンスやプロパティ値を読み取ることはできません。これらの制御は、下流の出力やエクスポートには適用されません。データが下流に流れる際も保護を保持するには、これらの制御をマーキングまたは機密情報区分に基づくアクセス制御と組み合わせてください。モデル全体については、アクセス制御の伝播を参照してください。
オブジェクトおよびプロパティのセキュリティポリシーを設定する
オブジェクトのインスタンスとそのプロパティへのアクセスは、次の条件によって決まります。
- オブジェクトタイプに対する閲覧者アクセス権があること。
- Granular Policy が設定されている場合、その条件を満たすこと。
- マーキング、組織、または機密情報区分のチェックをすべて通過すること。
オブジェクトまたはプロパティのセキュリティポリシーが設定されている場合、オブジェクトのインスタンスを閲覧するために、オブジェクトタイプの元データソースに対する閲覧者権限は必要ありません。
エンロールメントでレガシーのデータソース由来の権限モデルを使用している場合、オブジェクトタイプとそのインスタンスを閲覧するには、引き続き元データソースに対する閲覧者権限が必要です。この要件は、オブジェクトセキュリティポリシーが設定されている場合にも適用されます。データソース由来の権限では、オブジェクトセキュリティポリシーによる権限の分離が機能しなくなるため、オブジェクトセキュリティポリシーを設定する前に、プロジェクトベースの権限に移行することを推奨します。
ダウンロード権限は、上記の閲覧権限とは別に評価されます。オブジェクトタイプがセキュリティポリシーで保護されている場合、オブジェクトデータをダウンロードするための権限で説明するように、オブジェクトタイプの場所によって、プラットフォームがオブジェクトタイプと元データソースのどちらでダウンロード権限をチェックするかが決まります。
Passenger オブジェクトタイプに User ID、Flight Number、Seat Assignment、Name、Address、Phone Number のプロパティがある例を考えます。一部の乗客は VIP であり、その情報は VIP マーキングへのアクセス権を持つユーザーのみが閲覧できます。また、Name、Address、Phone Number などの一部のプロパティは、PII マーキングを持ち、個人を特定できる情報の閲覧を許可されたユーザーのみが閲覧できるようにする必要があります。元データセットは機密データで構成されているため、PII と VIP のマーキングをつける必要があります。ただし、機密情報のマーキングを持たないユーザーも、乗客のフライト詳細にはアクセスできる必要があります。
次の手順で、オブジェクトセキュリティポリシーを使用して Passenger オブジェクトタイプを保護できます。
- オブジェクトタイプのセキュリティタブに移動します。
- セキュリティポリシーセクションで作成を選択して、データソースポリシーをオブジェクトセキュリティポリシーでオーバーライドします。
- オブジェクトのインスタンスの閲覧権限を変更するオブジェクトセキュリティポリシーを作成します。Granular Policy の追加や、組織とマーキングの編集ができます。
- マーキングの設定で、
PIIおよびVIPマーキングの継承を停止し、これらのマーキングを持たないユーザーがオブジェクトのインスタンスを閲覧できるようにします。
- 詳細なポリシーを追加して、VIP へのアクセスを制限します。
VIPマーキングは、強制アクセス制御プロパティとして追加されます。各行の強制アクセス制御プロパティには、そのオブジェクトのインスタンスにアクセスするためにユーザーが満たす必要のあるマーキングが含まれます。
グループ、マーキング、または組織への所属に対して NOT 条件を使用しないでください。このような場合に NOT 条件を使用することは、設定の誤りです。プラットフォームは、ユーザーの権限の一部のみを含むスコープ付きトークンをサポートしています。これらのトークンには、NOT 条件でチェックする属性が含まれていない場合があり、その結果、条件を満たして意図した以上のアクセス権が付与される可能性があります。
- これでオブジェクトセキュリティポリシーが作成されます。次に、
PIIプロパティをPIIマーキングで保護する必要があります。これは、プロパティセキュリティポリシーを追加することで実現できます。
- 保護する必要があるプロパティを選択し、ポリシーに名前を付けます。次に、マーキングを管理の設定で
PIIマーキングを適用します。プロパティセキュリティポリシーの設定項目は、オブジェクトセキュリティポリシーと同じです。
プロパティセキュリティポリシーのマーキングを管理を選択し、PIIマーキングを適用します。
- これでプロパティセキュリティポリシーが作成されます。このポリシーに含まれるプロパティは、オブジェクトセキュリティポリシーと新しいプロパティセキュリティポリシーによって保護されるようになります。どのプロパティセキュリティポリシーにも含まれないプロパティは、引き続きオブジェクトセキュリティポリシーによって保護されます。
セキュリティポリシーを編集するための権限
オブジェクトまたはプロパティのセキュリティポリシーを作成または編集するには、オブジェクトタイプの所有者である必要があります。エンロールメントでプロジェクトベースの権限を使用している場合、オブジェクトタイプを含むプロジェクトで所有者ロールを持つ必要があります。
エンロールメントでレガシーのデータソース由来の権限モデルを使用している場合、オントロジーの所有者である必要があります。オブジェクトタイプにセキュリティポリシーを設定すると、プロパティの追加や削除にもオントロジーの所有者権限が必要になります。これにより、多くの一般的なワークフローが大きく制限されるため、これもオブジェクトセキュリティポリシーを設定する前にプロジェクトベースの権限に移行することを推奨する理由の1つです。
オブジェクトデータをダウンロードするための権限
オブジェクトタイプがオブジェクトまたはプロパティのセキュリティポリシーで保護されている場合、オブジェクトタイプの場所によって、プラットフォームがダウンロード権限をチェックする場所が決まります。
- プロジェクトに保存されたオブジェクトタイプ： プラットフォームは、オブジェクトタイプでダウンロード権限をチェックします。
- オントロジーロールまたはデータソース由来の権限を使用するオブジェクトタイプ： プラットフォームは、元データソースでダウンロード権限をチェックします。
プロパティセキュリティポリシーの制限
1個以上のプロパティセキュリティポリシーを設定する場合、次の制限が適用されます。
- オブジェクトセキュリティポリシーがすでに設定されている必要があります。
- 主キープロパティは、どのプロパティセキュリティポリシーにも含めることができません。
- 主キー以外のプロパティは、最大1個のプロパティセキュリティポリシーに含めることができます。
オブジェクトタイプへのアクセスを設定する
オブジェクトタイプへのアクセスは、オントロジーメタデータ権限で設定できます。ユーザーは、オブジェクトタイプの定義とインスタンスを閲覧できる必要があります。
Granular Policy を設定する
行レベルセキュリティの Granular Policy の設定について詳しくはこちら。
プロパティセキュリティポリシーの Granular Policy の制限
プロパティセキュリティポリシーに設定された Granular Policy では、プロパティセキュリティポリシーの Granular Policy とオブジェクトセキュリティポリシーの Granular Policy の比較の重みの合計を、Granular Policy の比較上限である10,000未満に保つ必要があります。
強制アクセス制御を設定する
デフォルトでは、オブジェクトセキュリティポリシーはデータソースからすべての強制アクセス制御を継承します。これには、マーキング、組織、機密情報区分が含まれます。
その後、オブジェクトセキュリティポリシーをさらにカスタマイズして、新しい強制アクセス制御を追加したり、不要になった継承元の強制アクセス制御を外したりできます。
オブジェクトセキュリティポリシーを使用する実体化
オブジェクトセキュリティポリシーは、オブジェクトタイプ内の実体化されたデータを閲覧するための権限も決定します。
現在、オブジェクトセキュリティポリシーを持つオブジェクトタイプは、Foundry データセットにのみ実体化できます。実体化されたデータには、最も制限の厳しい権限が適用されます。これには次のものが含まれます。
- 元データソースのすべてのマーキング。
- オブジェクトセキュリティポリシーまたはプロパティセキュリティポリシーに追加で適用されたマーキング。
- すべてのオブジェクトセキュリティポリシーおよびプロパティセキュリティポリシーの Granular Policy で使用される、すべての強制アクセス制御プロパティのマーキング。
実体化されたデータセットのトランザクションは、実体化されたデータセットのビルド時に生成されたセキュリティポリシーによって保護されます。ユーザーがオブジェクトセキュリティポリシーまたはプロパティセキュリティポリシーにマーキングを適用したり外したりした場合、そのマーキングは、マーキングが存在する時点でコミットされたトランザクションにのみ反映されます。トランザクションは、ユーザーが設定したビルドスケジュールに従って実体化がビルドされるときにコミットされます。 オブジェクトセキュリティポリシーまたはプロパティセキュリティポリシーにマーキングを適用した後は、必ず次の操作を行ってください。
- マーキングを実体化データセットにすぐに伝播させる必要がある場合は、実体化データセットをビルドします。
- 実体化データセットの過去のすべてのトランザクションを保護するには、実体化データセットまたは元データセットにそのマーキングをつけます。
オブジェクトセキュリティポリシーをテストする
オブジェクトセキュリティポリシーを設定するときに、未保存のオブジェクトセキュリティポリシーに基づいて、特定のユーザーがインデックス化済みのオブジェクトタイプのプロパティを閲覧できるかどうかをテストできます。また、Granular Policy で参照されるプロパティの値を編集して仮想的なオブジェクトのインスタンスをテストし、ポリシーが正しく設定されているかどうかを確認することもできます。セキュリティポリシーセクションからポリシーをテストを選択すると、セキュリティポリシーをテストモーダルが開きます。
セキュリティポリシーをテストモーダルのテストを設定パネルで、指定したオブジェクトに対する閲覧アクセスをテストするユーザーを選択します。結果セクションには、現在のセキュリティポリシー設定に基づいて、ユーザーが閲覧できるオブジェクトのプロパティが表示されます。
オブジェクトセキュリティポリシーのテストにおける現在の制限
- 派生プロパティの閲覧可否はテストできません。これは、派生プロパティのソースオブジェクトに対するユーザーの閲覧可否にも依存するためです。
- セキュリティポリシーで参照される組織のメンバーでも管理者でもない場合、テスト中にゲストメンバーシップとセカンダリ組織は考慮されません。Foundry は、権限のない組織を列挙した警告コールアウトを表示して、この状況を示します。
制限付きビューからオブジェクトセキュリティポリシーに移行する
オントロジーに基づくほとんどのユースケースでは、制限付きビューよりもオブジェクトセキュリティポリシーを推奨します。オブジェクトセキュリティポリシーは、統合されたセルレベルセキュリティ、ほぼ即時のポリシー更新、ストリーミングとブランチへの対応を提供します。オブジェクトセキュリティポリシーとプロパティセキュリティポリシーの利点について詳しくはこちら。
以前に制限付きビューを元にするオブジェクトタイプを設定しており、オブジェクトセキュリティポリシーに移行したい場合は、以下で説明する移行ツールを使用できます。オブジェクトポリシーおよびプロパティポリシーとデータソースポリシーの違いについて詳しくはこちら。
セキュリティタブの移行ツールを使用して、オブジェクトタイプのデータソースを制限付きビューから、その制限付きビューの元データセットに移行し、オブジェクトセキュリティポリシーで保護できます。このツールは、制限付きビューに定義されたポリシーと一致するようにセキュリティポリシーを設定します。
制限
移行ツールは、次の制限付きビューの設定に対応していません。
- 複数のデータソースを持つオブジェクトタイプ（MDO）。
- 複数の実体化、または単一の制限付きビューの実体化を持つオブジェクトタイプ。
- より大きい、以上、より小さい、以下など、対応していない比較演算子を使用する Granular Policy を持つ制限付きビュー。
- Integer、Long、Double などの数値の固定値を参照する Granular Policy を持つ制限付きビュー。
- 認可済みグループID、組織マーキングID、または固定マーキングIDをユーザープロパティとして参照する Granular Policy を持つ制限付きビュー。同等のセキュリティを実現するために、強制アクセス制御プロパティの使用を検討してください。
任意アクセス制御を維持する
データに対するプロジェクトの閲覧制約（制限付きビューが属するプロジェクトから継承されたセキュリティ設定）を維持するには、移行ツールを使用して、オブジェクトタイプを制限付きビューと同じプロジェクトに移動できます。
