メインコンテンツへスキップ

行列ベースのセキュリティ設定手順

  • 更新

    TDVにて公開されたデータサービスに対して行列ベースのセキュリティを設定する手順について説明します。

     

    行列ベースのセキュリティ とは？

      行ベースのセキュリティ 列ベースのセキュリティ
    利用目的 データを利用するグループ・ユーザによっては、閲覧可能なレコードを制限させたい場合に利用します。 データを利用するグループ・ユーザによっては、特定カラム値の閲覧を制限させたい場合に利用します。
    設定I/F TDV Manager（ウェブブラウザ） TDV Manager（ウェブブラウザ）
    設定内容

    行ベースのセキュリティはポリシーという単位で定義されます。
    ポリシー内にルール（複数可）を追加します。
    ルールには以下を設定します。

    • ルールを適用するグループもしくはユーザ情報（ドメインとグループ/ユーザ名）
    • フィルタ種別
    • フィルタ条件（例："部署" = '人事部'

    列ベースのセキュリティはポリシーという単位で定義されます。
    どのような型のデータに対するポリシーなのかをData Type として設定します。（例：string）
    ポリシー内にルール（複数可）を追加します。
    ルールには以下を設定します。

    • ルールを適用するグループもしくはユーザ情報（ドメインとグループ/ユーザ名）
    • Rule Type（ルール種別）
    • Rule Type に応じた各種設定内容（例：Rule Type として Statistic Value を指定した場合、Value として alwaysthesame を設定）
    割り当て先

    リソース（データソース、ビュー など）

    リソース内の列（カラム）

     

     

    検証環境

    製品 バージョン
    TIBCO Data Virtualization 8.5.1

     

     

    本手順で行うこと

    本手順では、例として既に公開済みのordersテーブルに対し、行列ベースのセキュリティポリシーを適用します。

    このordersテーブルは、東京23区内のいくつかの区の情報を「区ID」「区名」として含み、個人情報に相当する顧客名等の情報も含みます。

    ordersテーブルに対し、以下の図のように、「特定のグループに対して行列レベルでデータの閲覧を制限する」行・列ベースのセキュリティポリシーを定義して適用します。

    rbscbs_020.png

     

    行列ベースのセキュリティポリシーを適用した状態のordersテーブルのデータリネージュは以下のようになります。

    rbscbs_000.png

    図中のリソースツリー上のrbsフォルダに格納されているものが行ベースのセキュリティポリシーで、cbsフォルダに格納されているものが列ベースのセキュリティポリシーです。

     

    参考）行列ベースのセキュリティポリシーの実体と設定方法

    行列ベースのセキュリティポリシーの実体は以下のようなSQLスクリプトですが、TDVではこのようなSQLスクリプトを自分で記述することなく、TDV Managerにて提供される専用のGUIから設定することができます。

    PROCEDURE "行ベースセキュリティ" (IN alias VARCHAR, IN resource VARCHAR(16384), OUT result VARCHAR(16384))
    BEGIN
      DECLARE temp VARCHAR;
      DECLARE test BOOLEAN;
      SET result = '';
      CALL /lib/users/TestUserIdentity('GROUP','demo_minato','intad.tibcoms.com',test);
      IF(test) THEN 
        SET temp = '(' || alias || '.区ID = 9)';
        IF (result = '') THEN
          SET result = temp;
        ELSE
          SET result = result || ' OR ' || temp;
        END IF;
      END IF;
      IF ( result = '') THEN
        SET result = 'FALSE';
      END IF;
    END

    注意：行ベースのセキュリティポリシーは保存場所を指定できますが、列ベースのセキュリティポリシーは保存場所を指定できません。

     

     

    行ベースのセキュリティ

    行ベースのセキュリティポリシーを適用する手順について説明します。

     

    ポリシー追加

    TDV Managerにて、「セキュリティ」 > 「行レベルセキュリティ」をクリックします。

    rbscbs_002.png

     

    「行ベースセキュリティ」にて「ポリシーの追加」ボタンをクリックします。
    このとき、行ベースのセキュリティが無効となっている場合は「有効化の変更」ボタンをクリックして有効化しておきます。

    rbscbs_003.png

     

    以下の項目を設定し、「ルールを追加」ボタンをクリックします。

    項目 内容
    名前 この行ベースのセキュリティポリシーに付ける任意の名前
    フォルダ この行ベースのセキュリティポリシーを保存するフォルダパス
    有効化 この行ベースのセキュリティポリシーの有効/無効フラグ
    仕様

    この行ベースのセキュリティポリシーの仕様

    • タブ形式
      • TDVによりSQLスクリプトが自動生成されます。
    • 自由形式
      • SQLスクリプトを自分で記述します。
    • グループ
      • 複数の行ベースのセキュリティポリシーを含むコンテナを作成する場合に選択します。

    rbscbs_004.png

     

    以下の項目を設定し、「OK」ボタンをクリックします。

    項目 内容
    ユーザ/グループ このルールを付与する単位（ユーザまたはグループ）
    ドメイン このルールを付与するユーザまたはグループの所属するドメイン
    名前 このルールを付与するユーザまたはグループの名前
    ルール

    この行ベースのセキュリティ設定の仕様

    • すべての行
      • すべての行を返すことを許可します。
    • 行なし
      •  どの行も返すことを許しません。
    • 述語
      • 明示的なSQL述語を満たす行のみを返します。
      • 述語は、WHERE句の一部です。
    • プロシージャ
      • SQLスクリプトによって返された述語を満たす行のみを返します。
    データ/パス

    「ルール」において、述語またはプロシージャを選択した場合に、データのフィルタリングに使用する文字列を指定します。
    例）Region='EUR'

    rbscbs_005.png

     

    ルールが追加されたことを確認し、「デフォルトのルール」を設定後、「OK」ボタンをクリックします。
    ルールの適用対象となっていないユーザ/グループにはこの「デフォルトのルール」が適用されます。

    rbscbs_006.png

     

     

    リソースへの割り当て

    行ベースのセキュリティポリシーをリソースに割り当てます。

     

    作成された行ベースのセキュリティポリシーを選択し、「割り当て」をクリックします。

    rbscbs_007.png

     

    「割り当ての編集」画面で「追加」ボタンをクリックします。

    rbscbs_008.png

     

    行ベースのセキュリティポリシーを割り当てたいリソースに✓を入れ、「OK」をクリックします。

    rbscbs_009.png

     

    行ベースのセキュリティポリシーの「割り当て数」にポリシーを割り当てたリソース数が表示されていることを確認します。

    rbscbs_010.png

     

    行ベースのセキュリティポリシーが割り当てられたリソースをTDV Studioのリソースツリーで確認すると、以下のように行ベースのセキュリティポリシーが割り当てられたことを示すアイコンがリソースのアイコンの右上に表示されます。

    rbscbs_011_2.png

     

    列ベースのセキュリティ

    列ベースのセキュリティポリシーを適用する手順について説明します。

     

    ポリシー追加

    TDV Managerにて、「セキュリティ」 > 「列ベースのセキュリティ」をクリックします。

    rbscbs_011.png

     

    「列ベースのセキュリティ」の「Policy」タブにて「Add Policy」ボタンをクリックします。
    このとき、列ベースのセキュリティが無効となっている場合は「有効化の変更」ボタンをクリックして有効化しておきます。

    rbscbs_012.png

     

    以下の項目を設定し、「Add Rule」ボタンをクリックします。

    項目 内容
    Policy Name この列ベースのセキュリティポリシーに付ける任意の名前
    Data Type この列ベースのセキュリティポリシーを適用するカラムのデータ型
    Enabling

    この列ベースのセキュリティポリシーの有効/無効フラグ

    • Enable：有効
    • Disable：無効

    rbscbs_013.png

     

    以下の項目を設定し、「Apply」ボタンをクリックします。
    また、このときにデフォルトのルールも変更することが可能です。

     

    項目 内容
    Domain このルールを付与する単位（ユーザまたはグループ）
    Apply To このルールを付与するユーザまたはグループの所属するドメイン
    Name

    このルールを付与するユーザまたはグループの名前
    Rule Type

    このルールの種別

    • Original Value（元の値）
    • Null
    • Static Value（特定の値）
    • Partial String Mask（部分的な文字列マスキング）
    • Custom Function（カスタム関数）
    • Expression（式）

    Partial String Maskは、Data TypeとしてStringを選択した場合のみ利用可能です。
    Value

    Rule Type として Statistic Value を指定した場合に入力する特定の値
    例）alwaysthesame
    Custom Function

    Rule Type として Custom Function を指定した場合に、リストからカスタム関数を選択します。
    事前にTDV Studioで定義されたカスタム関数が存在する必要があり、少なくとも1つの入力と1つの出力を持つものである必要があります。
    テキストフィールド
    （Expression）

    Rule Type として Expression を指定した場合に、式を入力します。

    rbscbs_014.png

     

    ルールが作成されたことを確認し、「SAVE」ボタンをクリックします。

    rbscbs_014_2.png

     

    「列ベースのセキュリティ」にて「Edit Assignment」タブをクリックします。

    rbscbs_015.png

     

    作成された列ベースのセキュリティポリシーを対象となるリソースのカラムに割り当てます。

    rbscbs_016.png

     

    列ベースのセキュリティポリシーの「Assignment Count」にポリシーを割り当てたカラム数が表示されていることを確認します。

    rbscbs_017.png

     

    列ベースのセキュリティポリシーが割り当てられたリソースをTDV Studioのリソースツリーで確認すると、以下のように列ベースのセキュリティポリシーが割り当てられたことを示すアイコンがリソースのアイコンの右上に表示されます。

    rbscbs_018.png

     

     

    動作確認

    行列ベースのセキュリティポリシーが適用されたグループに所属するユーザでTDVに接続し、ordersテーブルからデータを取得します。
    行ベースのセキュリティにより、レコードが区ID=9（区名 = 港）に制限され、列ベースのセキュリティにより、個人情報を含むカラム（姓 など）の値が****に置換されていることが確認できます。

    rbscbs_019.png

     

     

    参考）行列ベースセキュリティ設定の一覧表示

    TDV Server内全体を通して、行列ベースのセキュリティポリシーが

    • どのような内容か
    • どのリソースにアサインされているか

    といった情報は、TDVの内部データベース（リポジトリ）やビルトインのSOAP / REST API を活用してTDV Studio上でビューやプロシージャを作成することで一覧表示することができます。

     

    以下にいくつかのビュー・プロシージャの例を示します。
    ただし、本記事に添付されているcarファイルに含まれるビューやプロシージャはあくまでのサンプルである点はご留意ください。

     

    行ベースセキュリティポリシーが付与されているリソース一覧 ビュー

    ビュー名：rbsAssignedResources

    rbsAssignedResources.png

     

    列ベースセキュリティポリシーが付与されているリソース一覧 ビュー

    ビュー名：cbsAssignedResources

    cbsAssignedResources.png

     

    行ベースセキュリティポリシー内に定義されているルールとその内容の一覧 ビュー

    ビュー名：rbsFilterPolicyDetails

    rbsFilterPolicyDetails.png

     

    列ベースセキュリティポリシー内に定義されているルールとその内容の一覧 ビュー

    ビュー名：cbsPolicyDetails

    cbsPolicyDetails.png

     

    特定のリソースとその依存するリソースに対して付与されている行ベースセキュリティポリシーとその内容の一覧 を取得するためのプロシージャ

    プロシージャ名：rbsFilterPolicyDetailsProc

    rbsFilterPolicyDetailsProc01.png

    rbsFilterPolicyDetailsProc02.png

    特定のリソースとその依存するリソースに対して付与されている行ベースセキュリティポリシーとその内容の一覧 を取得するためのプロシージャ

    プロシージャ名：cbsPolicyDetailsProc

    cbsPolicyDetailsProc01.png

    cbsPolicyDetailsProc02.png

     

    インポート手順

    1. TDV Studio のリソースツリーにて、「shared（共有）」を右クリックし、「インポート...」をクリックします。

    2. 添付のアーカイブファイル（security_utils.car）を指定し、暗号化パスワードを入力後、「インポート」をクリックします。
    security_utils.carは TDV 8.5.2 環境で作成したものです。

    ※

    security_utils_import01.png

    暗号化パスワードはtibco123です。

     

    3. 「/shared/security_utils/ physical/metadata/tdv_repo」 を開き、TDVリポジトリ接続のためのパスワードをインポート先TDV環境のものに変更 します。

    security_utils_import02.png

     

    4. 「/shared/security_utils/physical/metadata/tdv_rest/cbs」を開き、TDV管理用REST API接続のためのパスワードをインポート先TDV環境のもの（adminユーザなどのもの）に変更します。

    security_utils_import03.png

     

    5. /shared/security_utils/application配下のビュー・プロシージャが実行できるか確認します。
    ビュー名先頭がrbs：行ベースセキュリティ関連のビュー・プロシージャ
    ビュー名先頭がcbs：列ベースセキュリティ関連のビュー・プロシージャ

     

    BIツールなどからの利用

    作成したビューをデータベースとして公開し、BIツールやSQLクライアントからクエリを実行しビジュアライズすることで現在の行列ベースセキュリティの設定状況を把握しやすくなります。

    以下は、TDVで公開したビューをTIBCO社のBIツールであるSpotfireでビジュアライズした例です。

     

    行ベースセキュリティポリシー

    rbscbs_spotfire01.png

     

    列ベースセキュリティポリシー

    rbscbs_spotfire02.png

     

    上記のダッシュボードを実現するdxpファイル（行列ベースセキュリティ設定.dxp）を添付しています。
    行列ベースセキュリティ設定.dxpは Spotfire 11.4.2 環境で作成されたものです。