セグメント値セキュリティ

各ビジネス機能の財務データを作成または表示するアクセスを保護します。一般会計、買掛/未払金、売掛/未収金、資産、会社間、補助元帳会計別など、ビジネス機能別のセグメント値セキュリティ・ルールを使用して、施行を選択的に使用可能にします。セキュリティ管理者は、特定のビジネス機能、データ・セキュリティ・コンテキストおよび読取り専用または読取り/書込みアクセス・レベルに基づいて、勘定科目値アクセスをユーザーに付与できます。

ビジネス上の利点

1. 一般会計、買掛/未払金、売掛/未収金、資産、会社間、補助元帳会計別など、各製品モジュールに対する各ユーザーの勘定科目へのアクセスをより正確に保護します。セキュリティ施行を、それが必要とされるモジュールに限定します。

この機能では、次のことを条件として、保護された勘定科目値に対する権限を高い精度でユーザーに付与することにより、詳細な勘定体系ベースのデータ・セキュリティ制御を提供して、幅広い財務データ・セキュリティ要件に対応します:

ビジネス機能
データ・セキュリティ・コンテキスト
読取り専用アクセス・レベルと読取り/書込みアクセス・レベル

これにより、すべてのユーザーが、作業する必要のある財務データに対する正確かつ適切なアクセス権のみを取得するようになります。

たとえば、一般会計ビジネス機能については、組織内の一部の会計担当が、地域の財務会計を管理するのみでなく、グローバルな貸倒引当金の計算も担当する場合があります。割り当てられた地域に固有の財務データを操作するときにはすべての勘定科目に対する完全な読取り/書込みアクセス権が必要ですが、グローバルな貸倒引当金の計算に関連する全世界の財務データの特定の勘定科目へのアクセス権は読取り専用にすることが適切です。このタイプのアクセス制御は、この機能で一般会計ビジネス機能のセキュリティ施行を使用可能にすることによって実現できます。そのようなユーザーには、地域外のグローバル元帳を操作するときにはそれらの一部の貸倒引当金勘定科目への読取り専用アクセス権を付与するルールが割り当てられ、その地域の元帳を操作するときにはすべての勘定科目への読取り/書込みアクセス権が付与されるようにします。

2. ルールの設定と保守に必要な時間を短縮します。 勘定科目への無制限のアクセス権を持つユーザーには、すべての勘定科目値が自動的に許可されます。アクセス制限が必要なユーザーには、明示的なセキュリティ構成が割り当てられます。

この勘定体系セキュリティ機能の合理化された構成および管理は、個別のビジネス機能に対してセキュリティ施行を選択的に使用可能にすることで実現されます。最初にすべての保護された勘定科目値へのアクセス権をすべてのユーザーにデフォルトで提供し、例外によって管理すると、オンボーディングが簡素化されます。特定の使用シナリオで特定の勘定科目のみを操作する必要があるユーザーについてのみ、アクティブに管理し、個別のルールを割り当ててアクセスを制限する必要があります。

特定のユーザーの独自のデータ・セキュリティ要件に適合するように、またはより汎用的なルール割当に適合するようになど、様々なレベルの具体性に対応して柔軟に構成できるルール割当(保護されたアカウントに対する同様のアクセス要件を持つユーザーのグループ間で共有できる)によって、設定の効率が最適化されます。

有効化のステップ

ビジネス機能によるセグメント値セキュリティは、セグメント値セキュリティを初めて使用する場合に使用できる勘定体系セキュリティの新しい方法です。このリリースでは、セキュリティに対して使用可能になっている値セットがない環境は、この新しいモデルで自動的に識別され、これがエンタープライズ・レベルで設定されます。このような環境でセキュリティに対して使用可能になっている勘定体系値セットによって、ビジネス機能によるセグメント値セキュリティが記述に従って施行されます。

勘定体系セグメントまたは他のアプリケーション・キー・フレックスフィールドに割り当てられている値を含め、セキュリティに対して使用可能になっている既存の値セットが少なくとも1つある環境では、動作は以前のリリースと同じになり、引き続きビジネス機能の区別なしのセグメント値セキュリティが施行されます。将来の値セットのうち、このような環境でセキュリティに対して使用可能になるものについても、同じ方法で施行が適用されます。このシナリオに該当し、ビジネス機能でセグメント値セキュリティに切り替える必要がある場合は、切り替え方法をオラクルがご案内できます。

企業レベルでは単一のセグメント値セキュリティ施行の方法のみが適用可能となり、特定の環境では、保護された勘定体系セグメントの値セットに対して、その単一の方法を使用してセキュリティが施行されます。

これは、ビジネス機能別のセグメント値セキュリティ施行を構成するための主要なステップの要約です。

1. セグメント値セキュリティを施行するビジネス機能を選択します。

2. 値セットのセキュリティを使用可能にします。

3. 会計フレックスフィールドを配置し、勘定科目階層を一般会計残高キューブに公開します。

4. 「セグメント値セキュリティ・ルールの管理」スプレッドシートで、ルールとルール割当を作成します。

これらは各ステップの詳細です。

1. セグメント値セキュリティを施行するビジネス機能を選択します。

選択したビジネス機能は、値セットが使用されるすべての勘定体系のすべての保護された値セットに影響します。

「設定および保守」作業領域で、「勘定体系構成の管理」ページに移動し、「ビジネス機能によるセグメント値セキュリティの管理」をクリックします。

ノート: ボタンが表示されない場合は、ビジネス機能によるセグメント値セキュリティに対して環境が識別されませんでした。

セグメント値セキュリティを施行する必要があるビジネス機能を選択します。

次のビジネス機能から選択できます:

一般会計
買掛/未払金
売掛/未収金
会社間
資産

これらのビジネス機能を1つ以上選択すると、Oracle Subledger Accountingのセキュリティ施行が自動的に使用可能になります。これは、これがOracle General Ledgerとリストされている他の補助元帳ビジネス機能の間の統合モジュールであるためです。

2. 値セットのセキュリティを使用可能にします。

セグメント値セキュリティ施行が必要な値セットに対してセキュリティを使用可能にします。

「勘定体系構成の管理」ページで、保護する勘定体系の名前を検索します。「セグメント」セクションで、保護する対象の値セットがあるセグメント行を選択します。
「値セット」セクションの「値セット」タブで、「セキュリティ使用可能」を選択します。

アプリケーションによって、保護された値セットのデータ・セキュリティ・リソース・オブジェクトが自動的に作成されます。また、アプリケーションは、このセキュリティ・オブジェクトの「すべての値」ポリシーを「認証済ユーザー」(ORA_FND_AUTHENTICATED_USER_ABSTRACT)ロールに生成し、これが、アプリケーションに正常にサインインしたすべてのユーザーに自動的に割り当てられるようになります。デフォルトで、保護された値セットのすべての勘定科目値へのアクセス権がすべてのユーザーに最初に付与されるという、ビジネス機能によるセグメント値セキュリティの動作を使用可能にするためのキー・メカニズムがこのポリシーとなります。このデフォルト・ポリシーは、特定の勘定科目値へのアクセスを制限する個別のポリシー割当がユーザーに一致する使用シナリオでは抑制されます。

3. 会計フレックスフィールドを配置し、勘定科目階層を一般会計残高キューブに公開します。

値セットのセキュリティを使用可能にしたことを反映するには、会計フレックスフィールドを正常に配置する必要があります。「勘定体系構成の管理」ページで「すべての勘定体系の配置」をクリックし、正常に完了することを確認します。

一般会計残高キューブ・データ・セキュリティ・フィルタを更新して現在のセキュリティ施行設定が適用されるようにするには、保護された値セットの勘定科目階層を公開する必要があります。「設定および保守」作業領域で、「勘定科目階層の公開」ページを使用します。

4. 「セグメント値セキュリティ・ルールの管理」スプレッドシートで、ルールとルール割当を作成します。

変更を保存して値セットのセキュリティを使用可能にした後、「セグメント値セキュリティ・ルールの管理」スプレッドシートを開いて、「データ・セキュリティの管理」をクリックしてセキュリティ・ルールを設定できます。スプレッドシートは、保護された値セットのコンテキスト内で開きます。

常に、または特定の使用シナリオにおいて、保護された値セットの限られた勘定科目に対するアクセス権のみを持つ必要があるユーザーが存在する場合は、その保護された値セットのルールおよびユーザー・ルール割当を構成する必要があります。

これが必要になるのは、すべてのユーザーにデフォルトで付与される「すべての値」へのアクセス権(ビジネス機能によるセグメント値セキュリティ・ルールの主要機能)を抑制するためです。

ルールの作成

「セグメント値セキュリティ・ルールの管理」スプレッドシートの「ルール」シート

「セグメント値セキュリティ・ルールの管理」スプレッドシートの「ルール」ワークシートでは、セグメント値セキュリティ・ポリシーを定義できます。

ポリシーには1つ以上のセグメント値セキュリティ条件フィルタを含めることができ、セグメント値セキュリティ・ロールに関連付けられます。セグメント値セキュリティ・ロールは、セキュリティ・ポリシーをユーザーに受け渡すためのパイプとして機能します。

「ルール」ワークシートのキー属性の詳細は次のとおりです。

ポリシー名

セグメント値セキュリティ・ロールの関連付けに対する特定の条件を識別します。

セグメント値セキュリティ・ロール名

セグメント値セキュリティ・ポリシーを割り当てる事前定義済ロールを識別します。

演算子

保護された値セットのどの勘定科目値を許可するかを決定するために、行に指定された後続の値をどのように評価するかを示します。これは、セグメント値セキュリティ条件フィルタのキー属性です。

使用可能な演算子には、「すべての値」、「次と等しい」、「次と等しくない」、「次の間にある」、「次を含む」、「次で終わる」、「次で始まる」、「次の子孫である」、「次の末尾の子孫である」があります。

ツリー・コードおよびツリー・バージョン

条件の親勘定科目値を選択するときに参照するツリーおよびツリー・バージョンを識別します。「次の子孫である」および「次の末尾の子孫である」演算子を使用している場合、これは必須属性となります。

削除用にマーク

選択した条件フィルタ行を削除してポリシーから削除するかどうかを示します。この削除インジケータにより、特定の行に対してこの処理を明示的に指定することがユーザーに求められ、これによってユーザーがポリシーの条件フィルタ行をアプリケーションから誤って削除することが防止されます。

ルール割当の作成

「セグメント値セキュリティ・ルールの管理」スプレッドシートの「ルール割当」シート

「セグメント値セキュリティ・ルールの管理」スプレッドシートの「ルール割当」ワークシートは、ユーザーにポリシーを割り当て、そのユーザーにポリシー割当が適用されるビジネス機能とセキュリティ・コンテキストを特定し、読取り専用または読取り/書込みアクセス・レベルのいずれかを付与するためのものです。

「ルール割当」ワークシートのキー属性の詳細は次のとおりです。

ユーザー名

ルール割当の対象のユーザーを識別します。次のいずれかのオプションを選択します。

特定を選択: 特定の保護された値セットのルールまたはポリシーを割り当てるユーザーのサインイン名を指定する場合に選択します。
ポリシー・ロールに割り当てられたすべてを選択: 指定したポリシーに対してロールが割り当てられたすべてのユーザーとルール割当を共有する場合に選択します。

ポリシー名

ユーザーに割り当てるポリシーを識別します。

ロール名

ルール割当の対象として選択したポリシーに関連付けられているロールを識別するフィールドのみが表示されます。

ビジネス機能

ユーザーのルール割当が適用されるビジネス機能を識別します。このリストは、ビジネス機能によるセグメント値セキュリティをサポートする製品モジュールに対応しています。選択肢は次のとおりです。これらのビジネス機能のいずれかを選択すると、Oracle Subledger Accounting (一般会計と補助元帳の間で統合する製品モジュール)が自動的に含められます。

資産
一般会計
買掛/未払金
送り側会社間
Receivables
受け側会社間

ノート: この2つの会社間のビジネス機能を使用すると、ユーザーが会社間組織を使用して送り側または受け側のキャパシティで取引する場合、指定した会社間組織のユーザーへのルール割当が適用可能かどうかをさらに区別できます。

ユーザーへのポリシーの付与が特定のビジネス機能のみに制限されていない場合は、「すべてのビジネス機能」を選択することもできます。また、これは、会社間モジュールにおいて、会社間ユーザーへのルール割当が、指定された会社間組織が送り側と受け側のキャパシティのどちらで取引するかに関係なく適用される場合にも使用できます。

この属性の選択により、次のセキュリティ・コンテキスト属性に対して有効な選択肢も決まります。これは、セキュリティ・コンテキストが選択されるビジネス機能に対応するためです。

セキュリティ・コンテキスト

どのタイプのセキュリティ・コンテキストで、ユーザーに対してポリシーまたはルール割当を有効とするかを識別します。選択したビジネス機能に関連するセキュリティ・コンテキストを選択する必要があります。たとえば、一般会計ビジネス機能の場合、適用可能なセキュリティ・コンテキストはデータ・アクセス・セットとなります。

選択肢は次のとおりです。

ビジネス・ユニット: 買掛/未払金と売掛/未収金のビジネス機能に適用されます。
資産台帳: 資産ビジネス機能に適用されます。
データ・アクセス・セット: 一般会計ビジネス機能に適用されます。
会社間組織: 会社間ビジネス機能に適用されます。
すべてのセキュリティ・コンテキスト: いずれのビジネス機能にも適用されます。

この属性の選択により、次のセキュリティ・コンテキスト値属性に対して適用される選択肢も決まります。これは、セキュリティ・コンテキスト値が選択されるビジネス機能に対応するためです。

セキュリティ・コンテキスト値

選択したセキュリティ・コンテキスト・タイプおよびユーザーに対してポリシーまたはルール割当が、どのビジネス機能のセキュリティ・コンテキスト値に対して有効になるかを指定します。選択肢には、ルール割当に対して選択したセキュリティ・コンテキストに応じて、システム内の有効な資産台帳、ビジネス・ユニット、データ・アクセス・セットまたは会社間組織が含められます。特定の値を指定しない場合は、「すべてのセキュリティ・コンテキスト値」を選択することもできます。これは、前の「セキュリティ・コンテキスト」列で「すべてのセキュリティ・コンテキスト」が選択されている場合に有効になる唯一の選択肢でもあります。これにより、ユーザーがどのデータ・アクセス・コンテキストで作業するかに関係なく、このポリシーが常にユーザーに適用されます。

アクセス・レベル

指定されたビジネス機能、セキュリティ・コンテキストおよびコンテキスト値のユーザー・ルールまたはポリシー割当を、読取り専用または読取り/書込みのどちらで付与するかを示します。

読取り専用に設定されているルール割当の場合、許可される勘定科目値は、照会ページやレポートなどの読取り専用機能にのみ適用可能です。製品機能に会計データの更新機能が含まれる場合、ユーザーは読取り専用アクセス権を持つこれらの勘定科目値を使用できなくなります。

読取りおよび書込みに設定されたルール割当の場合、許可される勘定科目値は読取り専用機能および会計データの更新機能を含む機能に適用可能です。

ヒントと考慮事項

http://docs.oracle.com/pls/topic/lookup?ctx=fa-latest&id=u30251546ビジネス機能別にセグメント値セキュリティを実装する際の主な考慮事項は次のとおりです:

ビジネス機能によるセグメント値セキュリティに適格な環境の識別

クラウド・アプリケーション環境の場合、ビジネス機能による、またはビジネス機能なしでのセグメント値セキュリティの施行方法の評価および指定は、それぞれのポッド名+ポッド・タイプに基づいて、各ポッドに個別に適用されます。レター名が同じでタイプが異なる2つのポッド(たとえば、Pod WXYZ ProdとPod WXYZ Test)は個別に考慮され、他の同様の名前のポッドとは関係なく、各ポッドについて、セキュリティに対して使用可能になっている値セットの有無に基づき、セグメント値セキュリティ施行方法が設定されます。関連するポッドがそれぞれ、この評価方法に基づいてセグメント値セキュリティ施行が異なる方法で設定されている状況で、変更が必要になった場合は、オラクルにお問い合せください。

製品モジュールおよび勘定体系についてビジネス機能によるセグメント値セキュリティを使用可能にする場合

ビジネス機能別の勘定体系セグメント値セキュリティの強制は、一般会計、買掛管理、売掛管理、資産、会社間および補助元帳会計にのみ適用できます。他のすべての製品モジュールでは、勘定体系セグメント値セットに対してセキュリティが有効になっている場合、強制は適用されず、これらの他のモジュールを使用するユーザーはすべての勘定科目にアクセスできます。
値セットのセキュリティを使用可能にするには、「勘定体系構成の管理」ページを使用する必要があります。「値セットの管理」、「値セットの編集」または値セット・データ・セキュリティの編集ページを使用しないでください。ビジネス機能によるセグメント値セキュリティに必要な値セットの初期化は成功せず、値セットのセキュリティ構成が正しくなりません。

セキュリティ施行のためにすべてのビジネス機能選択を一度に行う必要はありません。後でビジネス機能を追加選択できます。また、以前に選択したビジネス機能を後で選択解除することもできます。
値セット・セキュリティは、その値セットを参照する勘定体系の個々のセグメントではなく、値セット・レベルで適用されます。 1つの値セットが複数の勘定体系で使用される場合、その値セットが割り当てられているすべての勘定体系セグメントがセキュリティに対して使用可能になります。また、保護されたセグメント値へのアクセスは、セキュリティに対して使用可能になっている別のセグメントからは独立して、保護されたセグメントまたは値セットごとに、定義されたセキュリティ・ルールに従って個別に評価されます。
予算策定フレックスフィールド(XCC)、原価配賦フレックスフィールド(COST)、資産キー・フレックスフィールド(KEY#)、事業所フレックスフィールド(LOC#)など、他のキー・フレックスフィールドと共有される保護された会計フレックスフィールド(GL#)値セットの場合、これらの他のタイプのキー・フレックスフィールドを使用してその保護された値セットに対してセキュリティは適用されません。
会計フレックスフィールド(GL#)と共有されていない他のタイプのキー・フレックスフィールドの値セットがセキュリティに対して有効になっている場合、GL#以外のキー・フレックスフィールドのこのような値セットでは、ビジネス機能の区別なしに、セグメント値セキュリティがモードで強制されます。そのため、このようなキー・フレックスフィールドのセグメント間で、セグメント値セキュリティ強制に違いが生じる可能性があります。
「セキュリティ使用可能」チェックボックスの選択を解除して、値セットのセグメント値セキュリティの施行を停止できます。このチェックボックスの選択を解除する場合は、セキュリティを使用可能にすることを最初に選択したときと同様に、GL#会計キー・フレックスフィールドを正常に再配置して、勘定体系に対するメタデータ変更を処理してこのことを反映する必要があります。

保護された値セットに対してシステムによって自動的に作成された「すべての値」ポリシーについては削除したり終了日を設定しないでください。このポリシーは、ビジネス機能によるセグメント値セキュリティ・ソリューションの全体的な機能に不可欠です。

ルールおよびルール割当の構成

「セグメント値セキュリティ・ルール」スプレッドシートを排他的に使用して、ビジネス機能によるセグメント値セキュリティに必要なすべての構成属性を正しく取得するためのルールおよびルール割当を設定します。セグメント値セキュリティ設定を保守するために「データ・セキュリティの編集」ページと「セグメント値セキュリティ・ルールの管理」スプレッドシート、または「高速実装」スプレッドシートを混合して使用すると、重大なデータの不整合が発生し、セグメント値セキュリティが正しく施行されなくなります。

ルールまたはポリシーは、条件フィルタと1対多関係を持つことができます。スプレッドシートで複数の行にわたって同じポリシー名を使用することでそのようにできます。これらの複数行に定義されている様々な条件フィルタは、その1つのポリシーに関連付けられているグループとして扱われます。このことは、保護された値セットに対して定義するセキュリティ・ポリシーの数を制限し、設定を管理可能にしておくというベスト・プラクティスに従うために役立ちます。
スプレッドシートを使用して作成された、同じルールまたはポリシーに関連する条件行は、様々な条件フィルタ行を接続してどの勘定科目値が関与するかを決定するときに、常に「いずれかに一致」オプションに設定されるか、または「OR」結合を使用するように設定されます。つまり、ポリシーによって許可される勘定科目値は、グループに規定されている条件行のいずれかに一致することのみが必要で、同時にすべての条件行に一致する必要はありません(もしそのことが必要であるとすると、1つの勘定科目値がこれらの条件のすべてを満たす可能性は低いため、そのグループの条件行では、一致しない、または勘定科目値がない可能性が高くなります)。
監査目的のために、セグメント値セキュリティ・ポリシーは削除されません。かわりに、ポリシーが適用されなくなったことを示すために「ポリシー終了日」属性が使用されます。
可能な場合は、ツリー演算子を使用して、ルールの効率を高めます。また、ルールでツリー演算子を使用すると、詳細値への変更がルール定義にカプセル化されるため、変更管理の複雑さも軽減されます。
階層演算子を使用する、条件に基づくセグメント値セキュリティ・ルールに関しては、このようなセキュリティ・ルールが正しく機能するように、参照されるツリーとそのバージョンが正常にフラット化されることを確認します。
勘定体系内の各セグメントには勘定体系構造の設定の「デフォルト階層」値に指定されたとおりに個別のツリー・コードが関連付けられますが、ルール・フィルタで階層演算子を使用するときには、保護された値セットに定義されている任意のツリーを参照できます。
セグメント値のスマート採番を使用すると、「次の間にある」、「次で始まる」、「次で終わる」、「次を含む」などの演算子を使用できます。値を列挙するのではなくこれらの演算子を使用すると、セグメント値セキュリティ条件の自己保守の定義により、後で作成される条件内に新しい勘定科目が自動的に含められるようにできます。

裁量アクセスと非裁量アクセスを分離します。非裁量アクセスにはロール固有のポリシー割当を使用し、ユーザー固有のポリシー割当は裁量アクセスにのみ使用します。これにより、必要な割当の数が減り、変更管理の複雑さが軽減されます。
「次と等しくない」演算子は濫用を避け慎重に使用してください。同じポリシーの複数の条件行、または同じ保護された値セットの異なるポリシーでは使用しないでください。様々な条件が相互に取り消され、保護する勘定科目値に意図しないアクセス権が付与される可能性があります。
完全なユーザー・ルール割当を形成するには、ポリシーの割当先とするユーザーに、ポリシーのセグメント値セキュリティ・ロールを割り当てる必要があります。
ポリシーまたはルール割当が、割当先のユーザーにとっての関連性と効果を備えたものにするには、そのルール割当に対して選択された資産台帳、ビジネス・ユニット、データ・アクセス・セットまたは会社間組織が、「ユーザーのデータ・アクセスの管理」ページでユーザーに割り当てられ、かつそれに対するデータ・アクセス権がユーザーに付与されていることを確認します。

ビジネス機能によるセグメント値セキュリティ構成でのエクスポートおよびインポート・サービスの使用

このようなエクスポート/インポート・プロセスに関与するソース環境とターゲット環境が、セグメント値セキュリティと互換性があることを確認する必要があります。これらはビジネス機能によるセグメント値セキュリティまたはビジネス機能の区別なしのセグメント値セキュリティの同じセグメント値セキュリティ方法に基づいている必要があります。このようなエクスポートおよびインポート・プロセスに対して、異なるセグメント値セキュリティ方式で識別されるソース環境とターゲット環境の混在と照合によって、ターゲット環境の設定構成でデータが破損します。

セグメント値セキュリティ・ルールおよびソース環境からターゲット環境へのルール割当にエクスポートおよびインポート・サービスを使用する場合、このような設定レコードの作成方法が両方の環境で同じであることを確認する必要があります。セグメント値セキュリティ設定を保守するために「データ・セキュリティの編集」ページと「セグメント値セキュリティ・ルールの管理」スプレッドシート、または「高速実装」スプレッドシートを混合して使用すると、重大なデータの不整合が発生し、セグメント値セキュリティが正しく施行されなくなります。

主なリソース

セグメント値セキュリティの概要
この機能は、Cloud Customer ConnectのIdea Labsから提供されました: アイデア938513

アクセス要件

「アプリケーション実装コンサルタント」(ORA_ASM_APPLICATION_IMPLEMENTATION_CONSULTANT_JOB)または「財務アプリケーション管理者」(ORA_FUN_FINANCIAL_APPLICATION_ADMINISTRATOR_JOB)のいずれかに基づくロールと、ITセキュリティ管理者(ORA_FND_IT_SECURITY_MANAGER_JOB)ジョブ・ロールが、システム内のユーザーのビジネス機能によるセグメント値セキュリティの構成に関連するすべての要素の設定に必要なすべての機能にアクセスできるようにする必要があります。

新しい「拡張勘定体系セグメント値セキュリティの管理」/ FUN_MANAGE_ADVANCED_CHART_OF_ACCOUNTS_SEGMENT_VALUE_SECURITY_PRIV権限は、「セグメント値セキュリティ・ルールおよびルール割当の管理」スプレッドシートへのアクセスを制御します。また、スプレッドシートにアクセスするには、この権限が割り当てられているカスタム・ロールも必要です。