誰に何を見せるかを制御する

約20分 · セキュリティグループ、割り当て済みのメンバー、範囲を絞ったアクセス

あなたはPlaidCloudワークスペースの管理者になったばかりで、メンバーがアクセスを待っています。ただし、全員がすべてを見られるようにするべきではありません。このチュートリアルでは、一連の流れを一通り体験します。適切なメンバーをワークスペースに迎え、権限をまとめてセキュリティグループにし、メンバーを割り当て、そのグループがアクセスできる範囲をプロジェクト単位、さらに設定されている場合は個々の行単位まで絞り込みます。

組織、ワークスペース、メンバー、セキュリティグループという要素は、決まった形で組み合わさっています。このモデルに慣れていない場合は、先にID・アクセス管理（IAM）をお読みください。図も掲載されています。要点は次のとおりです。組織にはワークスペースが含まれ、ワークスペースにはメンバーが含まれます。セキュリティグループは1つのワークスペース内の権限のまとまりで、そこにメンバーを割り当てます。ワークスペース間でアクセスが漏れることはなく、それぞれが独自にアクセスを管理します。

以下の作業のほとんどは、ワークスペース左側のIDタブで行います。そこでセキュリティを管理できるだけの管理アクセス権が必要です。

付与できるのは、自分が持っている権限だけです。 グループの権限を保存する際、自分自身が持っていない権限は、PlaidCloudが何も通知せずそのまま変更しません。表示もされません。付与したい機能がマトリックスにない場合は、その権限を持つ人に依頼してください。マトリックスで編集できるのは、自分が管理できる権限だけです。

ステップ1：適切なメンバーをワークスペースに迎える

セキュリティグループを割り当てられるのは、すでにワークスペースにいるメンバーだけです。まずはそこから始めます。メンバーをワークスペースに追加するには、その人が組織に所属していて、メンバー管理フォームに表示されている必要があります。

ワークスペースに新しいメンバーを追加するには、次の手順に従います。

IDを開き、メンバータブを選択します。
ドロップダウンメニューですべてをクリックし、現在のメンバーを一覧表示します。
ワークスペースメンバーを追加をクリックし、必須項目を入力して作成をクリックします。

新しいメンバーには、サインイン用の認証情報を記載したウェルカムメールが自動的に届きます。すでに組織にいる人をこのワークスペースに追加するには、Organization Settings（右上のメニュー）→ Workspaces →メンバーアイコンの順に選択し、その人をワークスペースにドラッグして提出をクリックします。その人がまだ組織にまったく所属していない場合は、同じ画面の招待アイコンを使って招待メールを送信します。

メンバーシップは外側の関門であり、きめ細かな制御ではありません。 ワークスペースにいれば、そのワークスペースにアクセスできるというだけです。中に入ってから何ができるかは、割り当てられているセキュリティグループによって決まります。それが次の3つのステップです。

メンバーの追加、招待、削除の詳しい流れについては、ワークスペースメンバーの管理とメンバー管理をご覧ください。

ステップ2：セキュリティグループを作成する

セキュリティグループは、名前を付けた権限のまとまりです。機能を1人ずつ付与するのではなく、まとまりを一度定義して、そこに人を割り当てます。

IDを開き、セキュリティタブを選択します。
ドロップダウンメニューでセキュリティグループをクリックします。既存のグループがフォームに表示されます。
セキュリティグループを作成をクリックし、役割に基づいたわかりやすい名前を付けます（Analysts、Report Viewers、Workspace Admins など）。
グループの権限を設定するには、グループの横にある一番左のアイコンをクリックして権限マトリックスを開き、このグループに持たせる機能を選んで保存します。

マトリックスで選べる権限は、ワークスペース内のアプリケーションによって決まります。各アプリケーションが独自の権限を公開しています。グループを作る前に、各アプリケーションが提供する権限の全一覧を確認するには、セキュリティドロップダウンでSecurity Binsをクリックし、左側のタグアイコンでアプリケーションを開きます。この画面は参照用です。実際に権限を付与するのは、上記のグループのマトリックスです。

グループは増やさず、少なく保ちます。 ワークスペースで作成できるセキュリティグループの数に制限はありませんが、グループが増えるたびに、監査時に考慮すべき対象も増えます。グループは、人々が共有する実際の役割に基づいて設計し、業務に支障のない範囲で数を抑えてください。

ステップ3：グループにメンバーを割り当てる

グループを定義したら、そこに人を入れます。

ID → セキュリティ → セキュリティグループで、グループの横にあるメンバーアイコンをクリックします。
このグループの権限を持たせたい人を、未割り当てのメンバー列から割り当て済みのメンバー列にドラッグします。誰かからグループを外すには、逆方向にドラッグして戻します。
保存します。

これで付与は完了です。割り当て済みのメンバー列にいるメンバーは、グループにまとめられたすべての権限を持ちます。そうでないメンバーは持ちません。

割り当てが空の場合は何も起こりません。これは意図的な動作です。 割り当て済みのメンバー列を空にしたままグループを保存しても、何も変更されず、その旨が通知されます。全員からグループの権限を取り上げるには、グループの権限を削除するか、グループ自体を削除してください。メンバーの一覧を空にして取り消そうとしないでください。

任意：グループを新規メンバーのデフォルトにする

すべての新規メンバーに共通の基本権限（たとえば共有レポートの読み取りアクセス）を持たせたい場合は、そのグループをデフォルトに設定します。新規メンバーは自動的にそのグループに割り当てられるため、手動で割り当てる手間がなくなります。グループの作成時または編集時に、セキュリティグループウィンドウの下部にある新規ユーザーにデフォルトで割り当てをオンにします。

ステップ4：グループがアクセスできる範囲を絞り込む

これで、定義済みの権限を持つメンバーがそろいました。PlaidCloudは、組織 → ワークスペース → プロジェクトという段階的なレイヤーでアクセスを絞り込みます。外側から内側へ順に制限していくことができます。

レイヤー	制御する対象	設定する場所
ワークスペース	メンバーがそもそもワークスペースにアクセスできるかどうか	ワークスペースのメンバーシップ（ステップ1）
セキュリティグループ	ワークスペース内で持つ機能	グループの権限（ステップ2）
プロジェクト	アーキテクトなどのプロジェクトレベルの権限	プロジェクトごとのセキュリティグループの権限
行（任意）	グループに表示される、管理対象テーブルの行	行アクセス（後述）

ほとんどのチームでは、最初の3つのレイヤーで十分です。人をワークスペースに入れ、各グループにはその役割に必要な権限だけを与え、プロジェクトレベルの権限（プロジェクトのアーキテクトなど）はグループの権限を通じて絞り込みます。プロジェクトに対する権限を持たないグループは、そのプロジェクトに対して操作できません。

行単位の制御が必要な場合

2人が同じテーブルを見る必要があるものの、見られる行は異なる場合（たとえば、各地域のマネージャーが自分の地域だけを見る場合）は、行アクセスを使います。プロジェクト内の列（たとえば region）を、セキュリティグループが見られる行を決める列として指定し、特定の値（East、Central）を特定のグループに付与します。これは最も細かいレイヤーで、任意です。設定しなければ、グループは他の権限で許可されているすべての行を見られます。

プロジェクトのアーキテクトは、テーブルエクスプローラーのテーブルから、列のファセットメニューから、またはプロジェクトのセキュリティタブから行アクセスを開きます。保存すると、すぐに有効になります。ダッシュボードには約1分で反映され、追加の適用操作は不要です。列の制限、値の付与、ダッシュボードへの変更の反映といった仕組みの詳細は、行アクセスの管理で説明しています。このチュートリアルでは、あえてそこへの案内にとどめます。

行アクセスは、データを読み取る場所を問わず、その人に付いて回ります。 保存すると、グループの行の付与は、ダッシュボードや、閲覧者として読み取るアプリでメンバーに表示される内容を絞り込みます。これは、Panelアプリがサインイン中のユーザーとして認証する際に使う、閲覧者ごとのモデルと同じです。その経路については、データの読み取りとサインイン中のユーザーをご覧ください。

行を制限すると、プロジェクトを変更できる人も絞られます。 プロジェクトが列を制限すると、そのワークフロー、ステップ、ユーザー定義関数、スケジュール、変数を変更できるのは、アーキテクトとテナント管理者だけになります。それ以外の人は、引き続きそれらを実行できます。詳しくは行を制限するプロジェクトを変更できるのは誰かをご覧ください。

ステップ5：作業内容を確認する

完了とする前に、割り当てが想定どおりになっているかを確認します。

ID → セキュリティを開き、ドロップダウンメニューでセキュリティグループ監査をクリックします。
すべてのメンバーとグループにわたるグループのメンバーシップを、1か所でまとめて確認します。
記録を残すには、テーブルのユーザー名の右端にあるアイコンをクリックし、CSVのエクスポートまたはExport XLSXを選択します。

役割が変わるたびに、この監査をやり直してください。誰がどのグループに入っているかの全体像がわかる画面は、ここだけです。

これで設定は完了です。 セキュリティグループができ、メンバーが割り当てられ、ワークスペースからプロジェクトまで、そして必要に応じて個々の行まで、アクセスの範囲が絞り込まれました。

次のステップ

セキュリティグループと割り当ての管理 — グループ、行アクセス、デフォルトグループ、セキュリティ監査の詳細なリファレンス
ID・アクセス管理（IAM） — アクセスモデル、図、各アクセスガイドの所在
組織とワークスペースの解説 — ステップ4で絞り込んだレイヤー間の境界
ワークスペースメンバーの管理 — メンバーの招待、追加、削除
データの読み取りとサインイン中のユーザー — 閲覧者ごとの同じアクセスモデルが、画面を見ている本人としてデータを読み取るアプリにどのように引き継がれるか