セキュリティグループと割り当ての管理

PlaidCloudのセキュリティとアクセスの管理はシンプルです。メンバーは、所属するグループに基づいてアクセスが許可または拒否されます。メンバーのセキュリティ関連付けの追加や変更は、簡単にカスタマイズできます。

セキュリティグループの管理

セキュリティグループは、追加、更新、削除できます。

セキュリティグループを管理するには：

Identityを開きます
「Security」タブを選択します
ドロップダウンメニューで「セキュリティグループ」をクリックします（既存のグループを一覧表示するフォームが表示されます）
グループを追加するには、「Create Security Group」をクリックします
グループの権限を編集するには、左端のアイコンをクリックします

グループメンバーを管理するには：

Identityを開きます
「Security」タブを選択します
ドロップダウンメニューで「セキュリティグループ」をクリックします
メンバーアイコンをクリックします
目的のメンバーを「Unassigned Members」列から「Assigned Members」列にドラッグします。削除する場合は、その逆にドラッグします

行アクセスの管理

行アクセスは、1つの列の値に基づいて、セキュリティグループがテーブルのどの行を表示できるかを制限します。たとえば、region列でアクセスを制限し、EastとCentralが付与されたグループには、それらの値を持つ行のみを表示することができます。プロジェクトと列に関するすべての操作（列の選択、値の取得元の選択、どのグループに何を表示するかの決定）は1つの画面で行え、保存するとすぐに有効になります。

行アクセスの設定と変更には、プロジェクトのアーキテクトまたはテナント管理者が必要です。それ以外のユーザーがプロジェクトの「Security」タブを開くと、行アクセスはアーキテクト専用であることが通知され、以下の入口は表示されません。

行アクセスを開く

どの入口からでも、同じ行アクセス画面が開きます。

テーブルエクスプローラーのツールバーには行アクセスボタンがあり、テーブルですでに行が制限されている場合はバッジが表示されます。テーブルに制限された列がある場合は最初の列で開き、同じテーブルの他の列に切り替えることもできます。
列のファセットメニューには この列で行を制限… があり、その列で行アクセスが開きます。すでに行を制限している列では、項目名は次のようになります：この列で行を制限中 - 編集…。
プロジェクトの「Security」タブには、プロジェクト内の制限された列がすべて一覧表示され、適用先のテーブル、付与を持つグループ、同期の状態も確認できます。列を選択して編集するか、列を制限… をクリックして新しく開始します。その場合は、テーブルを選んでから列を選びます。すでに行を制限している列にはロックのマークが付きます。
Identity → Memberのメンバーの行アクセスタブと、Identity → Security → セキュリティグループのグループの行アクセスの概要。行アクセスを開く（または編集）で選択した列が開き、追加でその行のプロジェクト内の別の列を制限します。

列を指定して開いた場合、画面はその列のままです。列を制限… または追加から開いた場合は、列を選択できます。

行アクセスのグリッド

列でテーブルを制限するには、次の手順を行います。

上記のいずれかの入口から行アクセスを開き、列が指定されていない場合は列を選択します。ピッカーには、自由入力ではなく、テーブルに実在する列が表示されます。
値のソースを選択します。列（テーブルの列の一意の値）、ディメンション（ディメンションのノード）、リスト（入力した値）のいずれかです。値の型は、列のデータ型に従います。
セキュリティグループごとに、そのグループが表示できる値をオンにします。グリッドには、プロジェクトへのアクセス権を持つグループと、その列にすでに付与を持つグループが表示されます。
Everyone elseをsees all rowsまたはsees no rowsに設定します。これは、グリッドでチェックが1つもないグループすべてに適用されます。
保存をクリックします。

保存は即座に反映されます。PlaidCloud自体のクエリには変更がすぐに反映され、Supersetダッシュボードには約1分以内に反映されます。変更を適用するための別の手順や承認ダイアログはありません。画面の同期状態に、変更がどこまで届いているかが表示されます。ダッシュボードの同期の維持を参照してください。

グリッドは、次のような細かい点も処理します。

多数の値。 値は並べ替えられます。列の値が表示しきれないほど多い場合、グリッドに「ここに収まらない値があります。入力して検索してください。」と表示され、フィルターボックスで列全体を検索できます。グループがすでに持っている値はすべて保持されます。
空白の値。 空白の値 — 付与のあるすべてのグループに表示チェックボックスで、列に値がない行の扱いを決めます。オンにすると、その列に何らかの付与を持つすべてのグループにそれらの行が表示されます。
まだ構築されていないテーブルでは、空のリストではなく、次のメッセージが表示されます：先にこのテーブルを構築してください（作成するワークフローを実行します）。
保存は画面上の値の読み込みを待ちます。 値の読み込み中（値のソース、ディメンション、テーブルを切り替えた後や、テンプレートを適用した後）は、保存が無効になり、「このソースの値が読み込まれると保存できます。」というツールチップが表示されます。読み込みに失敗した場合は、グリッドにその旨が表示され、ソースを選び直すよう求められます。読み込みが成功するまで、何も保存されません。

1つの列名、すべてのテーブル

制限は、単一のテーブルではなく、プロジェクト内の列の名前に対して設定されます。regionで行が制限されると、プロジェクト内でregionという名前の列を持つすべてのテーブルが、PlaidCloud自体のクエリでもダッシュボードでも、その制限でフィルターされます。グリッドのApplies toリストに、それらのテーブルが表示されます。列名で決まるため、このリストは読み取り専用です。同じ列を持つテーブルを後から追加した場合も、公開された時点で対象になります。

プロジェクト内にその名前の列を持つテーブルがない場合、ウィンドウにはApplies to 0 tablesと表示されるのに加えて、テーブルが追加されるまで制限がどのダッシュボードもフィルターしないという警告が表示されます。テーブルに列を追加するか、列名を修正すると、警告は消えます。

行を制限するテーブルを公開すると、同じ手順でそのダッシュボードフィルターも設定されます。 ダッシュボードは、公開されたレポーティングビューを通じてテーブルを読み取ります。そのため、制限された列を持つテーブルを公開または再公開すると、公開が完了する前に、PlaidCloudがそのテーブルのダッシュボードフィルターを登録します。登録できない場合は、公開が拒否され、その試行で作成されたものはロールバックされます。これにより、制限されたテーブルがフィルターなしでダッシュボードに残ることはありません。行を制限するプロジェクトでは、ビューを公開できません。ビューのクエリで、制限された列の名前を変更したり、導出したりできるためです。テーブルの公開を参照してください。

制限の解除

グリッドの制限を解除は、インラインの確認の後で制限を削除します。確認メッセージは「‘region’による行の制限を解除しますか？すべてのグループの付与が削除され、全員がその行を表示できるようになります。」です。その後、行アクセスに「‘region’の行は制限されなくなりました。」と表示されます。列のSupersetデータセットも一緒に削除されます。ただし、チャートがまだそのデータセットを使用している場合は削除されず、その場合は、データセットが残ることと、使用しているチャートの数が行アクセスに表示されます。

行を制限している間は、列の名前変更や削除はできません。アーキテクトには、先に行アクセスで制限を解除するよう通知されます。それ以外のユーザーには、プロジェクトのアーキテクトに依頼するよう通知されます。

行を制限するプロジェクトを変更できるユーザー

プロジェクトのワークフロー、ステップ、ユーザー定義関数は、すべての行を読み取れるプロジェクト自身のサービスIDとして実行されます。これらを変更できるユーザーは、付与されていない行を、自分が読み取れるテーブルにコピーするステップを作成できてしまいます。そのため、プロジェクトで行を制限すると、プロジェクトの動作を変更できるユーザーも制限されます。プロジェクトで少なくとも1つの列が制限されると、次のようになります。

自動化はアーキテクト専用になります。 ワークフロー、ステップ、ユーザー定義関数、スケジュール、ワークフロー変数とプロジェクト変数、通知メールテンプレートを変更できるのは、プロジェクトのアーキテクトとテナント管理者のみです。同じ理由で、ワークフローバンドルのインポート、Alteryxワークフローの変換、プロジェクトへのインポート、コピー、復元、およびプロジェクトの接続環境、デフォルトのドキュメントアカウント、ERP転記モードの変更も同様です。それ以外のユーザーも、プロジェクトのワークフローを実行することはできます。開始、停止、再開、選択したステップを実行は引き続き使用できます。ステップエディター、ワークフローの作成コントロール、UDFエディター、スケジュールフォームは、依頼先のアーキテクトを示すバナーとともに読み取り専用で開きます。バナーには「このプロジェクトでは行が制限されているため、ワークフロー、ステップ、UDF、スケジュール、変数、通知テンプレートを変更できるのはアーキテクトのみです。実行は引き続き行えます。」と表示されます。
制限された列が読み取るディメンションはアーキテクト専用です。 誰がどの行を表示できるかを決めるディメンション（制限された列の値のソース）を変更できるのは、プロジェクトのアーキテクトとテナント管理者、およびプロジェクト自身のワークフローのみです。これには、ノードの追加、移動、名前の変更、コピー、クリア、読み込み、復元と、ディメンション自体の操作が含まれます。それ以外のユーザーには「このディメンションは‘region’のどの行を誰が表示できるかを決めるため、変更できるのはプロジェクトのアーキテクトのみです。」と通知されます。どの制限からも読み取られていないディメンションには影響しません。
付与のソーステーブルはアーキテクト専用です。 列の付与のソースとしてバインドされたテーブルは、その行の変更や削除を、プロジェクトのアーキテクト、テナント管理者、プロジェクトのワークフローのみが行えます。データエディター、インポート、コネクターの読み込み、APIのいずれを使う場合も同じです。
プロジェクトのコピーはアーキテクト専用です。 コピーには「このコピーでは行は制限されていません。」と表示されます。新しいプロジェクトには、設定するまで制限はありません。
以前のバージョンの復元も、他の変更と同じ扱いです。 プロジェクト自体の設定や上記のディメンションを復元するには、プロジェクトのアーキテクトが必要です。復元は常にそのバージョンが属する項目に適用されるため、別のプロジェクトを指定してこの制限を回避することはできません。バージョン履歴を参照してください。
制限されたテーブルのデータの編集にはアーキテクトが必要です。詳細は行アクセスとデータエディターを参照してください。

プロジェクトで最初の列を制限する前に、行アクセスは影響を受けるユーザーを通知します。「ここで行を制限すると、このプロジェクトのワークフロー、ステップ、UDF、スケジュール、通知テンプレートを変更できるのはアーキテクトのみになります。現在変更できるメンバーはN人です。それらのメンバーも引き続き実行はできます。」

実行は、スケジュールされたものも含め、プロジェクトのサービスIDとして実行されるため、これまでどおり動作します。実行が生成するものは、アーキテクトが設計した内容に従います。制限された列を含まない出力テーブル、エクスポートファイル、通知メール、ログ行は、閲覧するユーザーに合わせてフィルターされることはありません。

実行開始時に渡される値。 ワークフローを実行できるユーザーは、変数に独自の値を指定して開始できます。アプリランナーはフォームの回答を使ってこれを行い、APIやAIツールでも可能です。これらの値はその実行にのみ有効で、ワークフローには保存されず、他の実行、エクスポート、閲覧者には見えません。実行はサービスIDとして行われるため、これらの値によってその実行が読み書きする内容が変わる可能性があります。ワークフローの実行権限は、信頼できる人にのみ付与してください。

行を制限しないプロジェクト。 これらのルールが有効になるのは、プロジェクトで列が制限されてからです。行を制限していないプロジェクトでは、プロジェクトの自動化を変更できるユーザーなら誰でも、プロジェクトのサービスIDとして実行され、プロジェクトのアクセスを変更して自分自身をアーキテクトにするステップやユーザー定義関数を作成できます。これは仕様であり、そのようなプロジェクトは行の分離を保証しません。そのため、作成権限はアーキテクトとして信頼できる人にのみ付与するか、列を制限してください。

ダッシュボードの同期の維持

行アクセスは、変更がダッシュボードに届くまでの状況を、グリッドとプロジェクトの「Security」タブの同期列に表示します。

ステータス	意味
待機中	変更は保存され、ダッシュボードへ送信中です。通常は約1分以内に完了します。
再試行中	送信に失敗し、再試行しています。失敗の理由がステータスの横に表示され、再試行ですぐに再送信できます。
未適用	プロジェクトの制限は、まだダッシュボードに送信されていません。
適用済み	制限をダッシュボードに送信する直近の試行が成功しました。
ダッシュボードと同期済み	ダッシュボードが適用している内容と、行アクセスが書き込む内容を比較し、一致しています。
ダッシュボードと差異あり	ダッシュボードが、行アクセスが書き込む内容を適用していません。Supersetでルールが変更または削除されたか、テーブルの公開ビューを確認できない状態です。
エラー	制限の送信に失敗しました。理由はステータスの横に表示されます。

変更が適用済みになると、グリッドはそれをダッシュボードと照合し、ダッシュボードと同期済みまたはダッシュボードと差異ありに移行します。ダッシュボードと差異ありとエラーではどちらも再試行が表示され、プロジェクトの制限を再送信します。ステータスをまったく読み取れない場合、グリッドに「同期ステータスを確認できませんでした。」と表示されます。

1つのテーブルが原因のエラーでは、そのテーブルが示され、対処方法が表示されます。たとえば、制限された列を含まずに公開されたテーブル（「再公開するか、公開を取り消してください。」）や、制限された列を持つのに公開されていないテーブル（公開されるまでダッシュボードはフィルターできません）などです。ステータスはエラーのままで、そのテーブルを公開するか、代わりに公開済みのテーブルの列を制限するまで、公開されていないテーブルの名前が表示されます。このようなテーブルがあっても、プロジェクトの他の部分は止まりません。他のすべてのテーブルは同期が維持されます。

ダッシュボードは、PlaidCloud自体のクエリと同じ付与に従います。

その列を持つ公開済みのテーブルはすべてフィルターされます。 制限を設定したときに表示していたテーブルだけではありません。
一部の値のみを付与されたグループは、他の全員がすべての行を表示できる場合でもフィルターされます。 ダッシュボードデータセットが存在するすべてのテーブルが対象です。
セキュリティグループのメンバーシップの変更は、自動的にダッシュボードに反映されます。 PlaidCloudでグループにユーザーを追加または削除したとき、メンバーを無効化または削除したとき、グループを削除したとき、デフォルトのセキュリティグループに参加する新しいメンバーを追加したときは、そのグループに値を付与しているすべてのプロジェクトで、ダッシュボードでの表示内容が約1分以内に更新されます。行アクセスを開き直す必要はありません。KeycloakでPlaidCloudの外部から直接行ったメンバーシップの変更や、シングルサインオンによるサインイン時のグループへの配置は、保存や再試行をしなくても、約15分以内にダッシュボードに反映されます。

ディメンションの付与

値のソースとしてディメンションを選択した場合、ノードをオンにすると、その配下のすべてが付与されます。付与はディメンションに追従します。オンにしたノードの配下にメンバーを追加すると、ディメンションを保存した後の次の同期でそのグループに付与されます。配下から移動または削除されたメンバーは付与されなくなります。グリッドを開き直す必要はありません。グリッドを開き直すと、オンにしたノードは引き続きオンの状態で表示されます。

オンにしたノードの配下の項目のチェックを外すと、ノードのチェックも外れ、グループにはチェックが残っているメンバーのみが保持されます。そのメンバーをもう一度オンにしても、ノードは再びオンにはなりません。ノードをオンにするには、ノード自身のチェックボックスをクリックします。貼り付け、すべて選択、選択を反転は、メンバーをオンにするもので、ノードはオンにしません。

名前を行アクセスの値として使用できないディメンションメンバーは、保存時に名前が示されて拒否されます。そのようなメンバーが後から現れた場合、その行は誰にも付与されず、同期ステータスにその名前が表示されます。「ディメンション‘…’のメンバー‘…’は行アクセスの値として使用できないため、その行は付与されません。ディメンションで名前を変更してください。」

付与のソーステーブルへのバインド

値を手動でオンにする代わりに、すでに答えを持つソーステーブル（グループと、そのグループが表示できる値の組が1行になっているテーブル）を制限された列に指定できます。まずグリッドで列を制限し、次に、列、ソーステーブル、ソーステーブルのグループ列と値の列を指定した行アクセスを設定ワークフローステップを追加します。このステップの最初の実行で、列がそのテーブルにバインドされます。列に手動で設定されていた付与はクリアされ、付与はテーブルの行から設定されます。

バインドされると、その列はソース所有になります。行アクセスのグリッドでは、ソーステーブルの名前を示すバッジとともにロックされた状態で表示され、バインディングを削除をクリックするまで、付与を手動で編集することはできません。

ステップを実行するたびに、ソーステーブルが再び読み取られ、付与が再適用されます。そのテーブルを読み込むか更新するワークフローの後に実行されるようにスケジュールすると、ソースデータでグループが追加、削除、再割り当てされた場合に、グリッドを手動で編集しなくても、次の実行で行アクセスに反映されます。

ソーステーブルが誰に何を表示するかを決めるため、その行の変更や削除ができるのは、プロジェクトのアーキテクト、テナント管理者、プロジェクト自身のワークフローのみです。それ以外のユーザーには「このテーブルは‘region’の行アクセスの付与を提供しているため、その行の変更や削除ができるのはプロジェクトのアーキテクトのみです。」と通知されます。

制限テンプレート

同じ値のソース、値の型、空白の値の設定といった、再利用したい制限の構成を作成した場合は、一度保存しておけば、列ごとに作り直さなくても必要な場所に適用できます。

開いている行アクセス画面のテンプレートとして保存… は、現在の列の構成を、名前を付けたテナントレベルのテンプレートとして保存します。保存されるのは構成のみで、付与は含まれません。
別のプロジェクトの列でのテンプレートを適用は、その列をテンプレートの構成から開始します。すべてのグループの付与は空の状態で、入力できます。

テンプレートの保存と適用は、プロジェクトのアーキテクトなら誰でも行えます。テンプレートの名前変更（名前の変更… ）と削除（削除）には、テナント管理者が必要です。テンプレートはテナント全体で共有されるためです。テンプレートを削除しても、そのテンプレートを適用した列の制限はそのまま残ります。

SSOグループ属性からの付与

列の付与を、PlaidCloudではなくIDプロバイダーから取得することもできます。プロジェクトのアーキテクトが、行アクセスでAccept row-access grants from SSO group attributesを有効にして、列をオプトインします。

有効にすると、セキュリティグループのKeycloak属性row_access.<column>が、そのグループがその列で表示できる値を決めます。Keycloakでグループに属性を設定すると、プロジェクトへのアクセス権をすでに持つすべてのグループについて、PlaidCloudが自動的に取得します。行アクセス自体で追加の構成は不要で、PlaidCloud自体のクエリとSupersetダッシュボードの両方で付与の同期が維持されます。

保存前のプレビュー

行アクセスでは、変更を確定する前に、その変更が何を意味するかを確認できます。

プレビュー表示ユーザー… フッターには、グループが全体のうち何行を表示できるかと、行のサンプルが表示されます。グリッドで任意のグループを選択してプレビューできます。プレビューは保存後に更新されます。
保存前に、確認が必要な点について行アクセスが警告します。何もオンになっていないグループがある場合に、Everyone elseの設定によってそのグループがすべての行を表示するのか、まったく表示しないのか。どのグループの付与にも含まれていない、プロジェクトへのアクセス権を持つメンバー。その列の値が空白（NULL）で、どのグループにも付与されていない行。

制限されたメンバーに表示される内容

制限されたメンバーが名前でテーブルを読み取る場所ではどこでも、自分の行のみが取得されます。これには、テーブルエクスプローラーのグリッド、列のファセット、ダウンロード、テーブルのダウンロードダイアログ、閲覧者として読み取るアプリやツール、ダッシュボードが含まれます。テーブルエクスプローラーでは、表示しているグリッドが付与に基づいてフィルターされている場合、ツールバーにアクセス権により行が制限されていますと表示されます。フィルターされるダウンロードを開始するときにも「アクセス権により行が制限されています。」と表示されます。すべての行を読み取るアーキテクトには、どちらの通知も表示されません。

行アクセスと自分で作成するクエリ

行アクセスは、定義されているテーブルをフィルターすることで、グループが表示できる行を制限します。自分で作成したクエリには、そのフィルターを適用できる単一のテーブルがありません。クエリは、好きなだけ多くのテーブルを結合、統合、入れ子にできるためです。そのため、行を制限するプロジェクトでは、PlaidCloudは、検証されていない行を返すのではなく、呼び出し元が指定したクエリの実行を拒否します。

これは、独自のSQLによる読み取り、独自のSQLの結果のファイルや別のデータベースへのエクスポート、ファンアウトステップの「Test row 1」プレビューへの行条件の入力に適用されます。名前によるテーブルの読み取りには適用されません。これは、アプリやツールがデータを読み取る通常の方法であり、付与が適用され、閲覧者が表示できる行が返されます。単一テーブルの単純なクエリとして記述された列のファセットも、名前で読み取られるため、拒否されずにメンバー自身の値が返されます。

拒否されたユーザーには、対象のプロジェクトと、名前で読み取る方法が通知されます。プロジェクトのアーキテクトは、記述どおりにクエリを実行でき、結果を任意の形式でエクスポートできます。アーキテクトは、制限されたすべての列のすべての値を自分に付与できるためです。

スプレッドシートのインポート自体は、自分で作成したクエリではありません。通常のファイルのインポートは制限されたデータを一切読み取らず、アップロードしたファイルからプロジェクト独自の新しいテーブルを作成するだけなので、行アクセスの影響を受けません。例外は、データの射影が呼び出し元から指定されるインポート（列ごとの式や、動的なExcelマッピング）です。対話型のインポート画面では、これらは上記の自由形式SQLの画面と同じように拒否され、プロジェクトのアーキテクトが必要になります。呼び出し元が指定した射影は、別のテーブルを読み取る可能性があるためです。ワークフローから実行されるインポートは、プロジェクト自身のサービスIDで実行されるため、どちらの場合も影響を受けません。

行アクセスとデータエディター

データエディターはテーブルを直接読み書きするため、行アクセスは読み取りと書き込みの両方に適用されます。

制限されたテーブルをデータエディターで開くと、セキュリティグループに付与された行のみが表示されます。これはダッシュボードでも適用されるのと同じフィルターで、制限された列がグリッドに表示される列に含まれていない場合でも適用されます。

編集内容を保存するには、プロジェクトのアーキテクトが必要です。保存では、テーブルの行を読み取るのではなくまとめて置き換えます。また、行ごとにフィルターされません。そのため、制限されたテーブルのデータ編集は、読み取りではなく作成操作として扱われ、アーキテクトでないユーザーには、アーキテクトが必要であることが通知されます。制限された列を持たないテーブルは、これまでどおり編集できます。行を制限しないプロジェクトも同様です。

行数とテーブルサイズ

テーブルの行数とストレージサイズは、表示できる行ではなくテーブル全体を表します。そのため、制限された閲覧者に、付与された範囲を超えて行が何行あるかを知らせてしまいます。行を制限するプロジェクトでは、読み取りがフィルターされるユーザーには、プロジェクトのどのテーブルについても行数とサイズが表示されません。これは、テーブル一覧、検索、テーブルの詳細、スナップショット、およびMCP経由で接続されたAIアシスタントとAIツールに適用されます。制限された列を持たないテーブルも含め、プロジェクト内のすべてのテーブルが対象です。ホーム、プロジェクト一覧、検索、プロジェクトの詳細にあるプロジェクト自体の合計行数とサイズも、それらのユーザーには非表示になります。

ワークフローの実行履歴にも同じことが当てはまります。各実行とステップが記録した読み取り行数と書き込み行数も、テーブル全体を表します。そのため、同じユーザーに対しては、ワークフローとステップの実行履歴、およびMCP経由で接続されたAIアシスタントとAIツールで、これらの数値は空白になります。また、検出事項自体がテーブル全体の件数が変動したことを知らせてしまうため、それらのユーザーに対しては、Weaveは、ステップの行数や空の値が前回の実行と異なるかどうかをチェックしません。

プロジェクトのアーキテクトには、これまでどおり数値が表示されます。行を制限しないプロジェクトでは、全員に表示されます。

メンバーに表示される内容の確認

グループに付与された内容ではなく、特定の人に何が表示されるかを確認するには、Identity → Memberを開いてメンバーを選択し、その行アクセスタブを開きます。有効なアクセス列には、制限されたプロジェクトと列ごとに、そのメンバーが所属するすべてのグループを合わせて表示できる値が一覧表示されます。これには、SSOグループ属性からの付与や、グループの付与に含まれる場合の空白（NULL）の行も含まれます。プロジェクトのアーキテクトは、すべての行を読み取れるため、すべての行を表示（アーキテクト） と表示されます。これはPlaidCloud自体のクエリが適用する結果と同じであるため、サポート時や、問い合わせが来る前に変更が意図どおりに動作したかを確認する際に役立ちます。

わかりやすいエラー

行アクセスがアクションをブロックする場合（制限されたプロジェクトで自分で作成したクエリ、アーキテクトなしでの編集、自動化、ディメンション、付与のソーステーブルの変更、その他上記のケース）、メッセージには、汎用的なエラーではなく、何が制限されているかと、次に何をすべきか（依頼すべきアーキテクトなど）が示されます。

行アクセスは監査される

列の制限や制限の解除、グループの付与の編集は、いずれもそのプロジェクトのプロジェクトログにエントリとして書き込まれます。誰がいつ変更したかが記録されます。確認するには、プロジェクトのAnalyze → Projects → Logを開きます。この履歴を残すために、行アクセスで有効にする必要のある設定はありません。プロジェクトに対する他の追跡対象の変更と同じ方法で記録されます。

デフォルトのセキュリティグループの設定

新しいメンバーの追加にかかる時間を短縮するには、デフォルトのセキュリティグループのセットを指定します。これにより、各ユーザーを手動で割り当てなくても、新しいメンバーに基本のセキュリティグループのセットが適用されます。新しいセキュリティグループを追加するときに、セキュリティグループウィンドウの下部にある「Assign to New Users by Default」のチェックボックスをオンにすると、この設定を使用できます。

セキュリティ監査の実施

セキュリティ監査機能では、すべてのメンバーとグループにわたるグループメンバーシップを確認できます。

セキュリティ監査を実施するには：

Identityを開きます
「Security」タブを選択します
ドロップダウンメニューで「Security Group Audit」をクリックします

PlaidCloudのすべてのテーブルはCSVファイル形式でエクスポートできるため、グループとメンバーの関連付けは、過去の記録のためでも、オフラインで気軽に眺めるためでも、PlaidCloudの外部で確認できます。

「Security Group Audit」フォームからエクスポートするには：

Identityを開きます
「Security」タブを選択します
ドロップダウンメニューで「Security Group Audit」をクリックします
テーブルの「Username」の右端にある小さなアイコンをクリックします
お好みに応じて、「Export CSV」または「Export XLXS」をクリックします

利用可能な権限設定の確認

ワークスペースで使用される各アプリケーションには、それぞれ利用可能な権限があります。セキュリティグループの権限は、これらのアプリケーションの権限に基づいています。

各アプリケーションで利用可能な権限の完全な一覧は、Security Binで確認できます。

Security Binにアクセスするには：

Identityを開きます
「Security」を選択します
ドロップダウンメニューで「Security Bins」をクリックします

各アプリケーションの詳細なセキュリティ設定を確認するには、左端のタグアイコンを選択します。

この利用可能なセキュリティ設定の情報は参照用です。権限の管理の詳細については、上記の「セキュリティグループの管理」セクションを参照してください。