エリアの権限

セキュリティエリアの概念によって、セキュリティモデルが拡張されます。セキュリティエリアは、さまざまなユーザが管理する何千ものオブジェクトが使用される大規模な実装に適したオプションの機能です。

セキュリティエリアは、地理的、組織的、またはトポロジ上の区分です。セキュリティエリアを定義しておくと、ユーザのアクセス権をセキュリティエリアにリンクされているオブジェクトにのみ制限する場合に役立ちます。セキュリティエリアの概念では、セキュリティプロファイルおよびオブジェクトによって示されるユーザがセキュリティエリアにリンクされます。セキュリティエリアは、複数のプロファイル、および複数のオブジェクトにリンクされている可能性があります。オブジェクトにリンクされている少なくとも 1 つのセキュリティエリアが、ユーザの少なくとも 1 つのセキュリティプロファイルにもリンクされている場合、ユーザはオブジェクトにアクセスできます。オブジェクトアクセス権が拒否された場合、ユーザに対してそのオブジェクトは表示されません。

例： 2 つのセキュリティエリアおよび 3 人のユーザ

HRManager、SeniorManager、および DevManager の 3 人のユーザには、ユーザプロファイル HRMgrProfile、SrMgrProfile、および DevMgrProfile（すべてのアクセス権）が割り当てられます。 HumanResources および Development という 2 つのセキュリティエリアが定義されています。プロファイル HRMgrProfile および SrMgrProfile は、セキュリティエリア HumanResources にリンクされています。プロファイル SrMgrProfile および DevMgrProfile は、セキュリティエリア Development にリンクされています。したがって、SrMgrProfile で示される SeniorManager は、HumanResources および Development の両方のセキュリティエリアへのアクセス権を持っています。 HRManager はセキュリティエリア HumanResources へのアクセス権のみを持っていて、ユーザ DevManager はセキュリティエリア Development へのアクセス権のみを持っています。たとえば、HRManager が HumanResources エリア内の自分のコンソールでクエリを作成した場合、これはユーザ DevManager に対して非表示になります。すべてのユーザプロファイルに対しては、システムで作成されたオブジェクトのみが表示されます。

3 つのセキュリティプロファイルを持つ 3 人のユーザが 2 つのセキュリティエリアにリンクされている例を示す図

エリアのアクセス権を設定すると、1 つ以上のプロファイルの特定のオブジェクトに対するアクセス権を制限できます。つまり、 t1 つのプロファイルに対して定義されている複数のクラスレベルのアクセス権が同じになります。オブジェクトをさまざまなエリアに割り当てまたはリンクするか、プロファイルのアクセスを特定のエリアにリンクされたオブジェクトのみの表示に制限できます。

オブジェクトのアクセス権は、基本的にセキュリティクラスによって管理されています。また、セキュリティサブシステムでは、最大 32 のエリアの作成が許可されています。

以下の図に、セキュリティサブシステムのエリアのサポートの概要を示します。

セキュリティサブシステムのエリアのサポートの概要を示す図

ユーザ 1 およびユーザ 2 はセキュリティプロファイル A に属しています。プロファイル A にリンクされているエリアの定義では、セキュリティプロファイル A に属するユーザに対して表示するエリアが定義されます。

ユーザ 2 が作成したオブジェクトは、適切なエリアにリンクされているすべてのユーザに対して表示されます。

重要なユースケース、およびこれらのユースケースのコンテキストにおけるエリアのサポート内容については、セキュリティエリアのサポートのユースケースを参照してください。