HCM のデータ権限セキュリティについて

コア セキュリティ ビュー

PeopleSoft では、個人の管理を行うコンポーネント用に、以下のコア セキュリティ ビューが提供されています。

『PeopleTools: PeopleSoft Application Designer』を参照してください

トランザクション セキュリティ データ

トランザクション データは、保護される側のデータです。トランザクション データ行の一定のトランザクション フィールドは、その行へのアクセスのセキュリティを適用するために使用されます。このようなフィールドのデータが、トランザクション セキュリティ データと呼ばれます。トランザクション セキュリティ データの値がユーザーがアクセス可能な値 (ユーザー セキュリティ データ) と一致すると、そのデータ行全体がユーザーにとって利用可能になります。

ユーザーがコンポーネント検索ページにアクセスすると、セキュリティ検索ビューによってデータ行にフィルタがかけられ、ユーザーがアクセス可能なトランザクション セキュリティ データ値を持つデータ行のみが表示されます。

次の表は、トランザクション データの入力と管理を行うコンポーネント、トランザクション データが保存されるレコード、およびトランザクション セキュリティ データとして使用可能なフィールドを示しています。

『PeopleSoft Human Resources Administer Workforce』「Adding a Person」[英語版] を参照してください。

『PeopleSoft Human Resources Administer Workforce』「Controlling Data Access for POIs Without Jobs」[英語版] を参照してください。

『PeopleSoft Human Resources Administer Workforce』「Adding Organizational Instances for Employees Contingent Workers and POIs」[英語版] を参照してください。

ユーザー セキュリティ データ

ユーザー セキュリティ データは、ユーザーのアクセス権に関するデータです。これを使用して、ユーザーがアクセス権を与えられたデータ以外にアクセスできないようにすることができます。HCM データ権限のユーザー セキュリティ データは、権限リストに割り当てるデータ権限と、権限リストを割り当てるロールとユーザーから成ります。

データ権限は、行セキュリティ (ツリーベース) の権限リスト (ROWSECCLASS) および通常の (ロール ベースの) 権限リスト (CLASSID) に付与されます。どちらの権限リストも、権限リスト コンポーネントおよび権限リストのコピー コンポーネントを使用して作成します。

権限リスト コンポーネントで権限リストを作成する場合は、アプリケーションの複数の側面に対してセキュリティを割り当てることができます。データ権限の割り当ては、別途部門ツリー セキュリティ ページおよび権限リスト別セキュリティ ページで行います。

以下の表は、データ権限が割り当てられたロール ベースの権限リストと、行セキュリティ権限リストの主な違いを示しています。

次の表は、ユーザー セキュリティ データの入力と管理を行うページと、ユーザー セキュリティ データが保存されるレコードを示しています。

「PeopleSoft のセキュリティについて」を参照してください。

「ツリー ベースのデータ権限の設定と割り当て」を参照してください。

「ロール ベース データ権限セキュリティの権限リストへの割り当て」を参照してください。

トランザクション セキュリティ結合テーブル

各トランザクション セキュリティ結合テーブルには、各データ行を保護するために必要なトランザクション データが保存されます。セキュリティ結合テーブルには、キー フィールドの異なる組み合わせごとに 1 つのデータ行が保存されます。

トランザクション セキュリティ結合テーブルには、以下の 4 つがあります。

以下はキー フィールドの説明です。

• SCRTY_TYPE_CD (セキュリティ アクセス タイプ コード)

  セキュリティ アクセス タイプは、トランザクション セキュリティ データに使用されるフィールドを示します。たとえば、セキュリティ タイプが 002 の場合は、勤務地によって個人データを保護することができます。

  セキュリティ アクセス タイプは、セキュリティ アクセス セットごとに一意です。

• SCRTY_KEY1、SCRTY_KEY2、および SCRTY_KEY3 (セキュリティ キー)

  キー セキュリティ フィールドによって、データ行を保護するセキュリティ トランザクション データが一意に識別されます。キー フィールドは、セキュリティ アクセス タイプによって決定されます。たとえば、個人データが勤務地によって保護される場合、キー セキュリティ フィールドは BUSINESS_UNIT (勤務地のプロンプト値) と LOCATION になります (この例の場合、3 番目のキー フィールドは不要です)。

• EMPLID

  個人情報のページで割り当てられた、個人を一意に識別する番号です。

• SETID および DEPTID

  部門のセットID および部門 ID。

• HRS_JOB_OPENING_ID

  人材募集ページで割り当てられた、人材募集を一意に識別する番号です。

各テーブルには、使用するセキュリティのタイプに応じて追加のフィールドが保存されます。

たとえば、セキュリティ アクセス タイプに職務部門ツリー (001) を使用して職務のある個人のデータを保護する場合、セキュリティ結合テーブル SJT_PERSON のキー フィールドは以下のようになります。

たとえば勤務地 (002) と職務部門ツリーのように、2 つのセキュリティ アクセス タイプを使用した場合は、SJT_PERSON は以下のようになります。

初めてセキュリティ アクセス タイプを使用可能にするときには、SJT リフレッシュ プロセスを使用してトランザクション データをセキュリティ結合テーブルにロードします。最初のロードの後は、トランザクション コンポーネントでトランザクション セキュリティ データに変更を加えると、自動的に PeopleCode の SavePostChange を使用してテーブルが更新されます。必要に応じて SJT リフレッシュ プロセスを実行するか、夜間リフレッシュ プロセスによって、PeopleCode で更新されなかった変更を取り込むこともできます。

「夜間の SJT リフレッシュ処理ページ」を参照してください。

「トランザクション SJT テーブルのリフレッシュ ページ」を参照してください。

ユーザー セキュリティ結合テーブル

ユーザー セキュリティ結合テーブルには、ユーザーのデータ権限の決定に必要なユーザー セキュリティ データが保存されます。セキュリティ結合テーブルには、キー フィールドの異なる組み合わせごとに 1 つのデータ行が保存されます。

ユーザー セキュリティ結合テーブルには、以下の 2 つがあります。

セキュリティ アクセス タイプ フィールドとセキュリティ キー フィールドに加えて、ユーザー セキュリティ結合テーブルには以下のフィールドが保存されます。

• SCRTY_SET_CD (セキュリティ セット コード)

  セキュリティ セットは、HCM において保護されるデータのセットです。たとえば、PPLJOB は職務のある個人のデータに対するセキュリティ セットであり、DEPT は部門データに対するセキュリティ セットです。セキュリティ セットごとに、セキュリティ アクセス タイプが設定されます。

• OPRID

  ユーザーのユーザー ID です。

• CLASSID

  ロール ベースまたは行セキュリティの権限リストの ID です。

  注: セキュリティ結合テーブルでは、行セキュリティ権限リスト (ROWSECCLASS) が CLASSID 権限リストとして保存されますが、行セキュリティ フラグを使用して識別されます。

SJT_CLASS_ALL の権限リスト データは、以下の 2つのソースから取り込まれます。

• SCRTY_TBL_DEPT

  ツリー ベース データ権限を権限リストに追加するときには、部門ツリー セキュリティ ページを使用します。権限リストの情報は SCRTY_TBL_DEPT レコードに保存されます。

• SJT_CLASS

  ツリー ベース以外のデータ権限を権限リストに追加するときには、権限リスト別セキュリティ ページを使用します。権限リストの情報は SJT_CLASS レコードに保存されます。

たとえば、セキュリティ アクセス タイプに職務部門ツリー (001) を使用して職務のある個人のデータを保護する場合、SCRTY_TBL_DEPT テーブルのキー フィールドは以下のようになります。

SCRTY_TBL_DEPT テーブルからデータをロードするには、SJT_CLASS_ALL のリフレッシュ プロセスを実行する必要があります。SJT_CLASS_ALL では、SJT_CLASS_ALL のリフレッシュ プロセスによって以下の処理が行われます。

• 使用可能なツリー ベースのセキュリティ アクセス タイプ (およびそのセキュリティ セット) ごとにデータ行が作成され、部門ツリー セキュリティ ページで設定したデータ権限が与えられます。

  たとえば、セキュリティ アクセス タイプ 012 (RS 部門 ID) およびセキュリティ アクセス タイプ 001 (職務部門ツリー) を使用可能にし、行セキュリティ権限リスト TRAIN に部門 123 に対するデータ権限を付与した場合、このプロセスによってセキュリティ アクセス タイプごとに行が作成され、権限リストに部門 123 の職務のある個人および部門 123 の人材募集に対するアクセス権が与えられます。

• 行セキュリティ権限リストが CLASSID 権限リストとして保存されます。

• 部門セットID が SCRTY_KEY1 として、部門 ID が SCRTY_KEY2 として保存されます。

たとえば、セキュリティ アクセス タイプに勤務地 (002) を使用して職務のある個人のデータを保護する場合、セキュリティ結合テーブル SJT_CLASS のキー フィールドは以下のようになります。

権限リスト別セキュリティ ページで行った修正を保存すると、自動的に SavePostChange PeopleCode によってセキュリティ結合テーブル SJT_CLASS_ALL のデータが更新されます。

両方のセキュリティ アクセス タイプを使用している場合、SJT_CLASS_ALL のリフレッシュ プロセスを実行し、PeopleCode によって更新が行われた後の SJT_CLASS_ALL は、次のようになります。

「SJT_CLASS_ALL のリフレッシュ ページ」を参照してください。

セキュリティ結合テーブル SJT_OPR_CLS には、ユーザー ID とデータ権限が含まれる権限リストとの関係が保存されます。SJT_OPR_CLS のデータは、以下の 3 つのソースから取り込まれます。

• PSOPRDEFN

  このレコードには、ユーザー ID と "ユーザー プロファイル - 一般" ページで割り当てられた行セキュリティ権限リストとの関係が含まれます。

• PSROLEUSER

  このレコードには、ユーザー ID と "ユーザー プロファイル - ロール" ページで割り当てられたロールとの関係が含まれます。

• PSROLECLASS

  このレコードには、ロールと "ロール - 権限リスト" ページで割り当てられた権限リストとの関係が含まれます。

SJT_OPR_CLS を PSOPRDEFN、PSROLECLASS および PSROLEUSER のデータで更新するには、データ セキュリティを含む権限リストをユーザー プロファイルに追加するたび ("ユーザー プロファイル - 一般" ページで行セキュリティ権限リストを追加するか、ロールの権限リスト ページでデータ権限を含むロール ベース権限リストをユーザー割当済ロールに追加する、"ユーザー プロファイル - ロール" ページでデータ権限のあるロールを追加する、既存のユーザー プロファイルをコピーして新規のユーザー プロファイルを作成する、のいずれかの方法で)、あるいはユーザー プロファイルから削除するたびに、SJT_OPR_CLS のリフレッシュ プロセスを実行します。

SJT_OPR_CLS のリフレッシュ プロセスでは、PSOPRDEFN から直接 SJT_OPR_CLS に OPRID および ROWSECCLASS の値がロードされ、行セキュリティ権限リストが CLASSID として保存されます。

ユーザー プロファイルとロール ベース権限リストの関係を確立するため、このプロセスでは最初に PSROLEUSER から OPRID と ROLENAME、および PSROLECLASS から ROLENAME と CLASSID が一時テーブル (ROLEUSER_ROLECLASS) にロードされ、次に OPRID と CLASSID およびその関係が SJT_OPR_CLS にロードされます。

「SJT_OPR_CLS のリフレッシュ ページ」を参照してください。

複数のセキュリティ アクセス タイプの使用可能設定と使用

複数のセキュリティ アクセス タイプを使用してセキュリティ セット内のデータへのアクセス権を権限リストに付与した場合、セキュリティ アクセスでは 2 つのタイプの結合や交差ではなく合併が作成されます。たとえば、PPLJOB セキュリティ セットで職務会社と職務ビジネス ユニットを使用可能にし、権限リストに会社 A の個人およびビジネス ユニット B の個人に対するアクセス権を付与した場合、この権限リストを割り当てられたユーザーは会社 A の個人およびビジネス ユニット B の個人にアクセスすることができ、このユーザーに与えられるアクセス権はビジネス ユニット B と会社 A の両方に属する個人に限定されません。