アプリケーション・セキュリティ

トランザクションまたは明示的なサービスへのアクセスは、アプリケーション・サービスを使用して制限されます。保護の対象を次に示します。

• システムの個々のレコードの表示および変更に関連するセキュリティは、次のようになります。

  • すべてのメンテナンス・オブジェクトでは、使用可能な基本的な処理が含まれるアプリケーション・サービス(一般的には「追加」、「変更」、「削除」および「照会」)を定義します。基本製品は、すべてのメンテナンス・オブジェクトに対してアプリケーション・サービスを提供します。メンテナンス・オブジェクトに対するアプリケーション・サービスは、関連するサービス・プログラムで定義されることに注意してください。

  • ユーザー・インタフェース・ページがポータル・ベースでないメンテナンス・オブジェクトの場合は、アプリケーション・サービスがメニュー・エントリの表示も制御します。メンテナンス・オブジェクトのアプリケーション・サービスへのアクセス権がないユーザーには、そのアプリケーション・サービスに対応するメニュー項目は表示されません。

  • ポータル・ベースのユーザー・インタフェースの場合は、各メイン(スタンドアロン)ポータルが「照会」アクセス・モードの明示的なアプリケーション・サービスを定義するため、基礎となるオブジェクト・セキュリティとは関係なくユーザー・インタフェースを保護できるようになります。ポータルのアプリケーション・サービスへのアクセス権がないユーザーには、そのアプリケーション・サービスに対応するメニュー項目は表示されません。基本製品は、メニューからアクセス可能なすべてのポータルに対してアプリケーション・サービスを提供します。ポータルのアプリケーション・サービスは、ナビゲーション・オプションおよびナビゲーション・キーを介して導出された、関連するサービス・プログラムで定義されることに注意してください。

  • メニュー項目では、アプリケーション・サービス/アクセス・モードを定義できます。通常、ポータルおよびメンテナンス・オブジェクトに提供されるセキュリティには、ユーザーがアクセスできないメニュー項目を抑制するのに十分な粒度が用意されています。明示的なアプリケーション・サービス/アクセス・モードをリンクすると、次のいずれかのシナリオでメニュー項目がさらに抑制されます。

    • トランザクションの基礎となるアプリケーション・セキュリティに十分なファイングレイン制御が提供されない場合は、メニュー項目を非表示にします。たとえば、特別なビジネス・プロセス・アシスタント・スクリプトを作成して「作業予定登録」を追加し、「作業予定登録」に対して基本的に提供される「追加」ダイアログではなく、特別なビジネス・プロセス・アシスタントをユーザーが使用するようにすると仮定します。作業予定登録の基礎となるセキュリティ設定では、特別なビジネス・プロセス・アシスタントでレコードを引き続き追加することを前提として、「追加」アクセス権をそのユーザーに付与する必要があります。基本の「追加」ダイアログを非表示にするには、作業予定登録の追加用に基本的に提供されるメニュー項目に対して、特別なアプリケーション・サービスとアクセス・モードをリンクします。次に、新しい特別なビジネス・プロセス・アシスタントの追加用のメニュー項目を定義します。

    • オブジェクトを追加するセキュリティ権限がユーザーに付与されていない場合は、追加オプションを非表示にします。デフォルトでは、オブジェクトに対する追加アクセス権がユーザーにない場合、追加機能は非表示にされません。かわりに、ユーザーはバックエンドでレコードを追加しないように防止されます。実装でメニュー・オプションを非表示にする場合は、オブジェクトのアプリケーション・サービスと「追加」アクセス・モードを「追加」メニュー項目にリンクします。

    注意: 通常、基本製品ではアプリケーション・サービスが構成されているメニュー項目は提供しません。前述のいずれかのシナリオが存在する場合は、実装によってこの構成を追加できます。

  • ゾーンでは、アプリケーション・サービスを定義します。

    • ポータルにリンクされたゾーンの場合は、ゾーンのアプリケーション・サービスへのアクセス権がユーザーに付与されていないと、そのゾーンはポータルに表示されません。ほとんどの場合、ゾーンはそのポータルと同じアプリケーション・サービスに付属しています。ダッシュボード上にゾーンがあるなどの特別な場合は、各ゾーンに個別のアプリケーション・サービスが提供され、実装でどのユーザーがどのゾーンに対してアクセス権があるかを詳細レベルで判断できるようにします。

    • マルチ問合せゾーンに構成された問合せゾーンの場合は、ゾーンのアプリケーション・サービスへのアクセス権がユーザーに付与されていないと、そのゾーンはマルチ問合せゾーンのドロップダウンに表示されません。ほとんどの場合、マルチ問合せゾーンのすべてのゾーンでは、そのマルチ問合せゾーンと同じアプリケーション・サービスを定義します。機能が特定の市場または管轄区域に特有で、すべての実装に適用できるとはかぎらない場合は、マルチ問合せゾーンの1つ以上のゾーンに対して特別なアプリケーション・サービスを提供できます。

    • SQL問合せを実行するためにビジネス・サービスによって使用されるゾーンの場合は、デフォルトのアプリケーション・サービスが提供されます。これらのゾーンのセキュリティは内部的な目的に使用されるため、製品によってチェックされることはありません。

  • ポータル・ベースのページの場合は、oraHasSecurity関数をUIマップのHTMLで、またはスキーマのUIヒントで使用して、個々の要素をセキュリティに基づいて表示または非表示にできます。詳細は、「ユーザーのセキュリティ・アクセス権のチェック」を参照してください。

  • ビジネス・オブジェクトでは、アプリケーション・サービスを定義します。ビジネス・オブジェクトでライフサイクルを定義する場合は、各状態に対応するアクセス・モードがアプリケーション・サービスに含まれている必要があります。さらに、標準メンテナンス・オブジェクトのアクセス・モードである「追加」、「変更」、「削除」および「照会」が含まれます。基本製品のビジネス・オブジェクトは適切なアプリケーション・サービスとともに提供されます。さらに、実装では、構成されているアプリケーション・サービスを必要に応じて上書きできます。

  • バッチ管理では、個々のバッチ・プロセスの発行を保護する機能を提供するアプリケーション・サービスを定義します。アプリケーション・サービスには「実行」のアクセス・モードが含まれている必要があります。基本製品のバッチ管理は適切なアプリケーション・サービスとともに提供されます。通常、これらのサービスにはバッチ管理IDと一致するIDがあります。

  • レポート定義レコードでは、アプリケーション・サービスを定義します。アプリケーション・サービスには「レポートの発行/表示」のアクセス・モードが含まれている必要があります。

• 次のオブジェクトは保護可能ですが、通常は内部プロセスを介して実行されます。外部ソースからのオブジェクトへのアクセスが確実に保護されるように、セキュリティが提供されます。

  • ビジネス・プロセス・アシスタント・スクリプトでは、アプリケーション・サービスを「実行」アクセス・モードで定義できます。基本ビジネス・プロセス・アシスタント・スクリプトには通常、アプリケーション・サービスは構成されません。実装において定義できます。前述のとおり、メニュー項目にもアプリケーション・サービスおよびアクセス・モードを構成できます。これにより、メニュー項目経由で呼び出されるビジネス・プロセス・アシスタントを複数の方法で保護できます。

  • ビジネス・サービスおよびサービス・スクリプトでは、アプリケーション・サービスを「実行」アクセス・モードで定義します。これは、外部システム(インバウンドWebサービス経由など)から実行される可能性があるサービスに必要です。インバウンドWebサービスにリンクされている基本のビジネス・サービスおよびサービス・スクリプトは、特別なアプリケーション・サービスを使用して構成されます。その他すべてのビジネス・サービスおよびサービス・スクリプトは、デフォルトのアプリケーション・サービスに付属していますが、実装によって上書きされる場合があります。

  • スクリプトでは、実行する必要があるかどうかがユーザーのセキュリティ・アクセスに基づいて決まる機能がある場合に「データの編集」ステップ・タイプ内でセキュリティをチェックすることもできます。「データの編集」ステップには、ビジネス・サービスF1-CheckApplicationSecurityへのコールが含まれます

  • サービス・プログラムでは、アプリケーション・サービスを定義します。前述のように、ポータルおよびメンテナンス・オブジェクトの場合、そのアプリケーション・サービスは、関連するサービス・プログラムから取得されます。基本では、これらのタイプのサービス・プログラムごとに特定のアプリケーション・サービスがリリースされます。その他すべてのサービス・プログラムは、通常、デフォルトのアプリケーション・サービスに付属していますが、実装によって上書きされる場合があります。ビジネス・サービスにリンクされているサービス・プログラムでは、ビジネス・サービスを起動する際にビジネス・サービスのアプリケーション・サービスが優先されることに注意してください。

アプリケーション・サービスへのアクセス権は、ユーザー・グループを介してユーザーに付与されます。たとえば、上級管理職というユーザー・グループを作成して、上級管理職向けのページとポータルへのアクセス権を付与します。

• 複数のアクセス・モードがあるアプリケーション・サービスにユーザー・グループ・アクセス権を付与する場合は、許可するアクセス・モードも定義する必要があります。多くの場合、アクセス・モードはユーザー・インタフェースの処理に対応します。たとえば、指定したユーザー・グループには、アプリケーション・サービスに対して「照会」のアクセス権のみがある一方で、別のユーザー・グループには、同じサービスに対して「追加」、「変更」、「取消」および「完了」のアクセス権があることを指定できます。詳細は、「処理レベル・セキュリティ」を参照してください。

• アプリケーション・サービスがフィールド・レベル・セキュリティに対応している場合は、トランザクションの保護された各フィールドに対するユーザー・グループのセキュリティ・レベルも定義する必要があります。

• 最後に、個々のユーザーを、そのユーザーが属しているユーザー・グループにリンクします。ユーザー・グループにリンクしたユーザーは、そのユーザー・グループのすべてのアクセス権限を継承します。