セキュリティ プロファイルのアクセス

さまざまなユースケースに合わせて複数のセキュリティ プロファイルを作成し、各プロファイルにロール レベルの権限を割り当てることができます。個別の読み取りプロファイルと書き込みプロファイルを作成し、これらのプロファイル内の特定のロールにデータ アクセスを割り当てるのが一般的なアプローチです。たとえば、「European Controller」ロールに、読み取りプロファイル内のすべてのエンティティの読み取りを許可することができます。書き込みプロファイルで、「European Division」内のエンティティへの書き込みアクセスを制限することもできます。

セキュリティ プロファイルを有効にするには、カスタマー ケア に連絡し​​てテナントの設定の有効化を依頼してください。セキュリティ プロファイルを管理するには、[Security] モジュールに移動して [Security Profile Access] エディターを使用します。

セキュリティ プロファイルの作成を開始する前に、実装するセキュリティ ポリシーを定義します。図、チャート、又はテーブルを描いて、エンティティやコスト センターへのアクセスなど、制限する必要がある領域を見つけます。たとえば、セキュリティ プロファイルを作成する前に、各エンティティと、読み取り専用または書き込み権限を持つ必要があるロールをリストするテーブルを作成します。セキュリティ ポリシーを理解すると、作成する必要があるロールを決定するのに役立ちます。エンティティ ベースのセキュリティ ポリシーに従う場合は、エンティティ又はエンティティ グループごとにロールの作成が必要になる可能性があります。

セキュリティ プロファイルを作成する方法は以下のとおりです。

• セキュリティ ポリシーに基づいてユーザー ロールを作成します。
• 新しいプロファイルを作成します。詳細については、以下の「セキュリティ プロファイルの作成」セクションを参照してください。
• ロール別にメンバーのアクセス制限のディメンションと階層を定義します。
• 定義へのアクセスが必要な各階層にロールを割り当てます。
• 各ロールに含めるメンバーと除外するメンバーを指定します。
• 各階層とロールの組み合わせにロールを割り当て、メンバーを指定します。

通常、作成および構成が必要なプロファイルは読み取りと書き込みの二つです。必要に応じてさらにプロファイルを作成できます。メタデータのセキュリティを効果的に管理するには、次の重要なルールに従ってください。

セキュリティ プロファイルを作成するときは、コントロールするディメンションを指定する必要があります。まず、[Metadata] エディター内でディメンションの階層を定義します。プロファイルで階層を明示的に定義しない場合は、すべてのユーザーがその階層内のすべてのメンバーにアクセスできるようになります。たとえば、プロファイルに勘定階層を含めない場合、すべてのユーザーがすべての勘定にアクセスできます。 

プロファイルで階層を定義すると、データ アクセス ルールのないロールはその階層内のどのメンバーにもアクセスできなくなります。そのため、各ロールのデータ アクセス ルールを慎重に設定する必要があります。

システムにはさまざまなセキュリティ要素があります。

• Security Profile Permissions: 特定のデータ メンバーへのアクセスをコントロールします。
• File System Security: Explorer でユーザーがアクセスできるオブジェクトを決定します。
• Role Authorizations: アプリケーション内の特定のタスクと機能へのアクセスを許可します。

権限は順番に適用されます。これにより、最初に広範なアクセスを許可し、その後の権限でアクセスを制限できます。たとえば、一つの権限でサブ階層内のすべてのメンバーにアクセス権を付与し、その後で特定のメンバーへのアクセスを拒否できます。

ユーザーに複数のロールがある場合、そのユーザーの権限は統合されます。つまり、いずれかのロールで特定のメンバーへのアクセスが許可されている場合、そのロールはそのメンバーにアクセスできることになります。

これらのルールを理解して適用することで、システム内のメタデータ セキュリティを効果的に管理できます。