8 権限モデル
この章では、Oracle AI Data Platformがアクセスの管理に使用する権限モデルについて説明します。
権限について
Oracle AI Data Platform Workbench権限は、それらを使用するすべてのオブジェクトに対して同様のモデルに従います。
各オブジェクトの権限は、その「権限」タブから管理できます。
AI Data Platform Workbenchには、IAMポリシーを使用してOCIリソースにアクセスし、Data Platformオブジェクトにアクセスする2つのセキュリティ・レイヤーがあります。ユーザーは、AI Data Platform Workbenchオブジェクトへのアクセス権を付与する前に、まずOCIリソースにアクセスできる必要があります。AI Data Platform Workbenchのユーザーは、OCIコンソールのリソースおよびコンパートメントとバケットをリストするIAM権限に移動するためのアクセス権が必要です。AI Data Platform Workbenchインスタンスにアクセスするには、少なくともUSE IAMポリシー権限が必要です。これらのIAMポリシーは、AI Data Platform WorkbenchインスタンスにAI_DATA_PLATFORM_ADMINロールがある場合でも必要です。
AIデータ・プラットフォーム・ワークベンチの権限は、親オブジェクトまたはスペースに付与された権限が、含まれているオブジェクトおよびスペースに権限を付与する階層に従います。
ワークスペースを作成する権限
ワークスペースを作成する権限は、デフォルトでAI_DATA_PLATFORM_ADMINロールに含まれます。管理者以外のユーザーがワークスペースを作成できるようにする場合は、そのユーザーにCREATE_WORKSPACE権限を付与する必要があります。「ワークスペース・リスト」画面からCREATE_WORKSPACEをユーザーに割り当てることができます。
ワークスペース権限
所有しているワークスペースに対して、そのすべてのコンテンツに適用されるロールベースのアクション・コントロールを設定できます。
ワークスペースの権限は、ワークスペースのホーム・ページの上部にある「権限」タブから管理されます。
ユーザーには、次の権限を付与できます。
- ユーザー: ルートでフォルダ/ファイルを作成し、共有フォルダに対するMANAGE権限を持ちます。
- PRIVILEGED_USER: ユーザー権限があり、コンピュートを作成することもできます。
- ADMINISTRATOR: すべてのワークスペース・オブジェクトに対するADMIN権限があり、ワークスペースを更新または削除したり、権限を管理できます。
ノート:
ワークスペースのUSER権限は、共有フォルダ内のすべてのオブジェクトに対するMANAGE権限もユーザーに付与します。共有フォルダは、削除、名前変更または移動できません。権限は、ユーザー、グループまたはロールに付与できます。AI Data Platform Workbenchユーザーのリストからユーザーを選択するか、OCIDによって使用済またはロールを追加できます。
ワークスペース権限の作成
ワークスペースへのアクセス権をユーザー、ロールまたはグループに付与できます。
- ホーム・ページで、「ワークスペース」をクリックします。
- ワークスペースの横にある
「アクション」をクリックし、「権限」をクリックします。 
「新規権限」をクリックします。- ドロップダウンから権限レベルとプリンシパル・タイプを選択します。
- ユーザーをユーザー名またはOCIDのどちらで追加するかを選択します。
- 「ユーザー名」で、「検索」をクリックしてユーザー名を入力します。リストからユーザーを選択します。
- 「OCIDの入力」に、ユーザーのOCIDを入力します。
- 「作成」をクリックします。
ワークスペース・フォルダ権限
ワークスペース内のファイルおよびフォルダを表示および変更できるユーザー、ロールおよびグループを管理できます。
- READ:ユーザーはファイルおよびフォルダを読み取り/一覧表示できます。
- USE:ユーザーはフォルダやインクルードファイルに対して読み取り/書き込みを行い、許可されるジョブタイプ(.ipynb、.py、.sql、.scalaなど)を実行できます。
- MANAGE:ユーザーには読取りおよび使用権限があり、ファイル/フォルダの名前変更およびファイルの変更が可能です。
- ADMIN:すべての権限をユーザーに付与し、他のユーザー権限を作成、変更または削除できます。
| 操作 | READ | USE | MANAGE | ADMIN |
|---|---|---|---|---|
| List | ○ | ○ | ○ | ○ |
| ビュー・オブジェクト | ○ | ○ | ○ | ○ |
| フォルダの作成 | × | ○ | ○ | ○ |
| ファイルの作成 | × | ○ | ○ | ○ |
| フォルダ名の変更 | × | × | ○ | ○ |
| フォルダの移動 | × | × | ○ | ○ |
| フォルダの削除 | × | × | × | ○ |
| ユーザー権限の管理 | × | × | × | ○ |
ワークスペース内のフォルダに付与された権限は、デフォルトで子オブジェクトにカスケードされますが、カスケードをオフにするオプションがあります。ユーザーがフォルダに対するADMIN権限を持っている場合、そのユーザーはすべての子ファイルおよびフォルダに対するADMIN権限を持ちます。ADMINがカスケードを含むフォルダに対する権限を付与すると、現在および将来のすべての子リソースに同じ権限が付与されます。ADMINがカスケードなしでフォルダに対する権限を付与した場合、権限は現在のオブジェクトにのみ適用されます。
File1.csvのみのUSER2へのUSEアクセス権を付与します。
- WORKSPACE1
- F1
- F2
- File1.csv
- F3
- File2.csv
- F2
- F1
File1.csvのUSER2にUSE権限を付与します。ユーザーがFile1.csvを操作できるようにするには、ADMINも、カスケードなしでフォルダF1およびF2に対するREAD権限を明示的に付与する必要があります。その結果、次のフォルダ構造が表示されます。
- WORKSPACE1
- F1
- F2
- File1.csv
- F2
- F1
ファイルおよびフォルダ権限の作成
ワークスペース内のファイルおよびフォルダに対して個別の権限を設定できます。
- 権限を設定するファイルまたはフォルダにナビゲートします。
- 「アクション」、「権限」をクリックします。
- 「権限の作成」をクリックします。
- ドロップダウン・メニューから権限レベル、プリンシパル・タイプおよびユーザーを選択します。
- 「保存」をクリックします
クラスタ権限の計算
コンピュート・クラスタに対する表示、読取りおよび管理者のアクセス権を持つユーザーおよびロールを制御できます。
ユーザー権限は、クラスタの「権限」タブから作成および管理します。
管理者は、少なくともユーザー・ワークスペース権限を持つすべてのプリンシパルに権限を付与できます。
| 操作 | 読取り | 使用法 | 管理者 |
|---|---|---|---|
| クラスタのリスト | ○ | ○ | ○ |
| ノートブック/ジョブへのクラスタのアタッチ | ○ | ○ | ○ |
| ドライバ・ログの表示、Spark UI | ○ | ○ | ○ |
| クラスタ・メトリックの表示 | ○ | ○ | ○ |
| クラスタの起動/再起動 | × | ○ | ○ |
| クラスタの終了 | × | ○ | ○ |
| クラスタの編集 | × | × | ○ |
| クラスタへのライブラリのアタッチ/アップロード | × | × | ○ |
| 権限の付与/取消し | × | × | ○ |
クラスタ権限の作成
クラスタを表示および変更できるユーザーおよびロールを制御できます。
- ワークスペースに移動し、「コンピュート」をクリックします。
- クラスタをクリックし、「アクセス権」タブをクリックします。
- 「新規権限」をクリックします。
- ドロップダウンから権限レベルとユーザー・タイプを選択します。
- ユーザーをユーザー名またはOCIDのどちらで追加するかを選択します。
- 「ユーザー名」で、「検索」をクリックし、ユーザー名を入力します。リストからユーザーを選択します。
- 「OCIDの入力」に、ユーザーのOCIDを入力します。
- 「作成」をクリックします。
ジョブ権限
ジョブ権限は、ジョブへのアクセス権を持つユーザーおよびロールを制御します。
ジョブにアクセスできるユーザーおよびロールは、ジョブの「権限」タブから管理します。
- 読取り
- 使用法
- 管理
- 管理者
各権限レベルには、次に示す様々な操作セットへのアクセス権があります。
| 操作 | 読取り | 使用法 | 管理 | 管理者 |
|---|---|---|---|---|
| List | あり | あり | あり | あり |
| 詳細の表示 | あり | あり | あり | あり |
| 実行ステータス | あり | あり | あり | あり |
| コンピュートのアタッチ/デタッチ | なし | あり | あり | あり |
| 実行 | なし | あり | あり | あり |
| タスクログの表示 | なし | あり | あり | あり |
| ジョブの名前変更 | なし | なし | あり | あり |
| ジョブの編集 | なし | なし | あり | あり |
| 終了ワークフロー | なし | なし | あり | あり |
| ファイルの移動 | なし | なし | なし | あり |
| ジョブの削除 | なし | なし | なし | あり |
| 権限の付与/取消し | なし | なし | なし | あり |
ジョブ権限の作成
どのユーザーとロールが自分のジョブにアクセスできるかを制御する権限を作成できます。
- アクセス権を付与するジョブに移動します。
- 「権限」をクリックします。
- 「新規権限」をクリックします。
- ドロップダウンから権限レベルとユーザー・タイプを選択します。
- ユーザーをユーザー名またはOCIDのどちらで追加するかを選択します。
- 「ユーザー名」で、「検索」をクリックし、ユーザー名を入力します。リストからユーザーを選択します。
- 「OCIDの入力」に、ユーザーのOCIDを入力します。
- 「作成」をクリックします。
ノートブック権限
ノートブック権限によって、ノートブックを表示および変更できるユーザー、ロールおよびグループが決まります。
ノートブックの権限を表示するには、ノートブックの右上にある「アクション」をクリックし、「権限」をクリックします。「権限」ページから、ノートブックの権限を表示、作成、変更または削除できます。「検索」バーにユーザーを入力して、表示されるユーザー・リストをフィルタできます。
- 読取り
- 使用法
- 管理
- 管理者
各権限レベルには、次に示す様々な操作セットへのアクセス権があります。
| 操作 | 読取り | 使用法 | 管理 | 管理者 |
|---|---|---|---|---|
| List | あり | あり | あり | あり |
| 詳細の表示 | あり | あり | あり | あり |
| 実行ステータス | あり | あり | あり | あり |
| コンピュートのアタッチ/デタッチ | なし | あり | あり | あり |
| 実行ワークフロー | なし | あり | あり | あり |
| ログの表示 | なし | あり | あり | あり |
| ノートブックの名前の変更 | なし | なし | あり | あり |
| ノートブックの編集 | なし | なし | あり | あり |
| 終了ワークフロー | なし | なし | あり | あり |
| ファイルの移動 | なし | なし | なし | あり |
| ノートブックの削除 | なし | なし | なし | あり |
| 権限の付与/取消し | なし | なし | なし | あり |
ノートブック権限の作成
所有するノートブックに対して個別の権限を設定できます。
- 権限を設定するノートブックに移動します。
- 「処理」をクリックし、「権限」をクリックします。
- 「権限の作成」をクリックします。
- ドロップダウン・メニューから権限レベル、プリンシパル・タイプおよびユーザーを選択します。
- 「保存」をクリックします
マスター・カタログ権限
マスター・カタログ・レベルの権限によって、新規の標準カタログおよび外部カタログを作成し、他のユーザーに権限を付与できるユーザーが決まります。
マスター・カタログの権限は、「権限」タブから管理します。
- CREATE_CATALOG:ユーザーは標準カタログおよび外部カタログを作成できます。
- ADMIN:ユーザーは、すべてのカタログを表示したり、カタログとその子オブジェクトを作成、編集または削除したり、権限を付与または取り消すことができます。
マスター・カタログ権限継承
マスター・カタログに対するADMIN権限は、マスター・カタログ内のすべての子オブジェクトに対するADMIN権限を提供します。CREATE_CATALOG権限を持つユーザーがカタログを作成すると、新しく作成されたカタログおよびそのすべての子オブジェクトに対するADMIN権限が自動的に付与されます。
マスター・カタログ権限の作成
カタログを作成、編集および削除できるユーザーを管理し、他のユーザーに権限を付与する権限を設定できます。
- ホーム・ページで、「マスター・カタログ」をクリックします。
- 「アクセス権」タブをクリックします。
- 「新規権限」をクリックします。
- ドロップダウンから権限レベルとユーザー・タイプを選択します。
- ユーザーをユーザー名またはOCIDのどちらで追加するかを選択します。
- 「ユーザー名」で、「検索」をクリックし、ユーザー名を入力します。リストからユーザーを選択します。
- 「OCIDの入力」に、ユーザーのOCIDを入力します。
- 「作成」をクリックします。
標準カタログ権限
標準カタログの権限を管理して、カタログを表示および変更できるユーザー、ロールおよびグループを決定できます。
標準カタログの権限は、カタログの「権限」タブから設定できます。「検索」バーに名前を入力して、カタログにアクセスできるユーザーおよびロールのリストをフィルタできます。
カタログ・レベルで設定された権限は、カタログのすべての子にカスケード・ダウンされます。スキーマ・レベルで設定された権限は、スキーマのすべての子オブジェクトに適用されます。
- SELECT:ユーザーはカタログ、スキーマおよびボリュームを読み取り/一覧表示できます。ユーザーは、ビューおよび表に対して選択問合せを実行できます。
- MANAGE:ユーザーは、標準カタログ・レベルですべての選択権限を持ち、スキーマ、表およびビューを変更したり、ボリュームに書き込むことができます。ユーザーは、表のデータを挿入、更新および削除することもできます。
- CREATE_SCHEMA:ユーザーは、標準カタログ・レベルのすべての管理権限を持ち、カタログに新しいスキーマを作成できます。
- ADMIN: ユーザーは、標準カタログ・レベルですべてのCreate_Schema権限を持ち、スキーマを削除したり、他のユーザー権限を管理できます。
| 操作 | SELECT | MANAGE | CREATE_SCHEMA | ADMIN |
|---|---|---|---|---|
| 既読/リスト | ○ | ○ | ○ | ○ |
| 問合せの実行 | ○ | ○ | ○ | ○ |
| スキーマ/表/ボリューム/ビューの編集 | × | ○ | ○ | ○ |
| スキーマの作成 | × | × | ○ | ○ |
| スキーマの削除 | × | × | × | ○ |
| 権限の管理 | × | × | × | ○ |
マスター・カタログ権限継承
- SELECT
- MANAGE
- スキーマを作成(_S)
- ADMIN
外部カタログ権限
外部カタログの権限を管理して、カタログを表示および変更できるユーザー、ロールおよびグループを決定できます。
- 任意のIAMユーザー・プリンシパルまたはIAMグループ。ユーザーは、次の順序でロードされます。
- AIデータ・プラットフォーム・インスタンスを少なくとも1回オープンした選択したドメインのすべてのユーザー
- 選択したドメイン内の残りのすべてのユーザーをアルファベット順で表示
- ADMINユーザーが表示できるロール。
外部カタログ権限により、次のアクションが付与されます。
| 操作 | MANAGE | ADMIN |
|---|---|---|
|
DML操作の読取り/リストおよび実行* DDL (近日提供) |
○ | ○ |
| カタログ名の編集 | × | ○ |
| カタログ・プロパティ(パスワードなど)の編集 | × | ○ |
| カタログの削除 | × | ○ |
| 権限の管理 | × | ○ |
| *外部カタログの権限は、外部ソースへの接続に使用されたユーザーの権限に制限されます。外部カタログの作成に使用される外部ソースのユーザーに読取り専用権限がある場合、外部カタログのMANAGE権限も読取り専用権限に制限されます。 | ||
マスター・カタログ権限継承
- MANAGE
- ADMIN
カタログ権限の作成
カタログ、スキーマ、表およびボリュームを表示および変更する権限を付与できます。
- ホーム・ページで、「マスター・カタログ」をクリックします。
- 新しい権限を作成するカタログに移動し、「権限」タブをクリックします。
- 「新規権限」をクリックします。
- ドロップダウンから権限レベルとユーザー・タイプを選択します。
- ユーザーをユーザー名またはOCIDのどちらで追加するかを選択します。
- 「ユーザー名」で、「検索」をクリックし、ユーザー名を入力します。リストからユーザーを選択します。
- 「OCIDの入力」に、ユーザーのOCIDを入力します。
- 「作成」をクリックします。
スキーマ権限
スキーマ権限によって、スキーマとその子オブジェクトを表示および変更できるユーザー、ロールおよびグループが決まります。
スキーマにアクセスできるユーザーおよびロールは、スキーマの「権限」タブから制御します。
スキーマ・レベルで設定された権限は、スキーマのすべての子オブジェクトに適用されます。
- SELECT:ユーザーは、スキーマ内の表、ビューおよびボリュームを読み取り/一覧表示できます。ユーザーは、ビューおよび表に対して選択問合せを実行できます。
- WRITE:ユーザーには選択権限があり、表内の表またはデータの変更、ボリュームへの書込みおよびビューの変更が可能です。
- CREATE_MODEL:ユーザーはスキーマにモデルを作成できます。
- CREATE_TABLE:ユーザーはスキーマに表を作成できます。
- CREATE_VIEW:ユーザーはスキーマ内にビューを作成できます。
- CREATE_VOLUME:ユーザーはスキーマにボリュームを作成できます。
- ADMIN:ユーザーには選択権限、書込み権限およびすべての作成権限があり、他のユーザー権限を作成、変更または削除できます。
| 操作 | SELECT | 書込み | モデルの作成 | 作成テーブル(_T) | 作成ビュー(_V) | ボリュームを作成(_V) | ADMIN |
|---|---|---|---|---|---|---|---|
| 既読/リスト | ○ | ○ | ○ | ○ | ○ | ○ | ○ |
| 問合せ/読取りボリュームの実行 | ○ | ○ | ○ | ○ | ○ | ○ | ○ |
| 表/ボリューム/ビューの編集 | × | ○ | ○ | ○ | ○ | ○ | ○ |
| モデルの作成 | × | × | ○ | × | × | × | ○ |
| 表の作成 | × | × | × | ○ | × | × | ○ |
| ビューを作成する | × | × | × | × | ○ | × | ○ |
| ボリュームの作成 | × | × | × | × | × | ○ | ○ |
| スキーマの削除 | × | × | × | × | × | × | ○ |
| 権限の管理 | × | × | × | × | × | × | ○ |
スキーマ権限の継承
| スキーマ権限 | カタログ・レベルの権限 | ||
|---|---|---|---|
| SELECT | SELECT | MANAGE | ADMIN |
| 書込み | X | ||
| 作成ビュー(_V) | X | X | |
| ボリュームを作成(_V) | X | X | |
| 作成テーブル(_T) | X | X | |
| ADMIN | X | X | |
スキーマ権限の作成
所有するスキーマへのアクセス権を持つユーザーおよびロールを制御できます。
- ホームページで、「マスター・カタログ」をクリックします。
- スキーマに移動し、「権限」タブをクリックします。
- 「新規権限」をクリックします。
- ドロップダウンから権限レベルとユーザー・タイプを選択します。
- ユーザーをユーザー名またはOCIDのどちらで追加するかを選択します。
- 「ユーザー名」で、「検索」をクリックし、ユーザー名を入力します。リストからユーザーを選択します。
- 「OCIDの入力」に、ユーザーのOCIDを入力します。
- 「作成」をクリックします。
表権限
表の権限によって、表を表示および変更できるユーザー、ロールおよびグループが決まります。
- SELECT:ユーザーは表を読み取り/一覧表示できます。ユーザーは、テーブルに対して選択クエリーを実行できます。
- INSERT:ユーザーは、表の読取り/リストおよび表への書込みを実行できます。
- 更新:ユーザーは表の読取り/リストが可能で、表データの更新を実行できます。
- DELETE:ユーザーは表の読取り/リストが可能で、表からデータを削除できます。
- ALTER:ユーザーは表の読取り/リストおよび表名や説明の変更が可能です。
- ADMIN:ユーザーにはすべての権限があり、他のユーザー権限を作成、変更または削除できます。
| 操作 | SELECT | INSERT | UPDATE | DELETE | ALTER | ADMIN |
|---|---|---|---|---|---|---|
| リスト表 | ○ | ○ | ○ | ○ | ○ | ○ |
| 表データの読取り | ○ | × | × | × | × | ○ |
| 表へのデータの書込み | × | ○ | × | × | × | ○ |
| 表内のデータの更新 | × | × | ○ | × | × | ○ |
| 表からのデータの削除 | × | × | × | ○ | × | ○ |
| 表メタデータの変更 | × | × | × | × | ○ | ○ |
| 表の削除 | × | × | × | × | × | ○ |
| ユーザー権限の管理 | × | × | × | × | × | ○ |
表権限の継承
| 表権限 | スキーマ・レベルの権限 | ||
|---|---|---|---|
| SELECT | SELECT | MANAGE | ADMIN |
| INSERT | X | ||
| UPDATE | X | ||
| DELETE | X | ||
| ALTER | X | ||
| ADMIN | X | X | |
表権限の作成
所有する表へのアクセス権を持つユーザーおよびロールを制御できます。
- ホームページで、「マスター・カタログ」をクリックします。
- 表に移動し、「権限」タブをクリックします。
- 「新規権限」をクリックします。
- ドロップダウンから権限レベルとユーザー・タイプを選択します。
- ユーザーをユーザー名またはOCIDのどちらで追加するかを選択します。
- 「ユーザー名」で、「検索」をクリックし、ユーザー名を入力します。リストからユーザーを選択します。
- 「OCIDの入力」に、ユーザーのOCIDを入力します。
- 「作成」をクリックします。
ボリューム権限
ボリューム権限によって、ボリュームを表示および変更できるユーザー、ロールおよびグループが決まります。
- READ:ユーザーはフォルダ/ファイルをリストし、ボリュームからファイルを読み取ることができます。
- WRITE:ユーザーは、フォルダ/ファイルのリスト、ファイルの読取り、フォルダとファイルの作成、およびボリューム内のファイルへの書込みを実行できます。
- ADMIN:ユーザーには、ボリュームに対するREAD/WRITE権限、ボリュームの削除/作成権限があり、ボリュームに対する権限の付与/取消しが可能になります。
| 操作 | READ | 書込み | ADMIN |
|---|---|---|---|
| ボリュームのリスト | ○ | ○ | ○ |
| ボリューム・データの読取り | ○ | ○ | ○ |
| ボリュームへのデータの書込み | × | ○ | ○ |
| ボリュームからのデータの削除 | × | ○ | ○ |
| フォルダの作成 | × | ○ | ○ |
| ボリュームの削除 | × | × | ○ |
| ボリュームの作成 | × | × | ○ |
| ユーザー権限の管理 | × | × | ○ |
ボリューム権限の作成
所有するボリュームにアクセスできるユーザーおよびロールを制御できます。
- ホームページで、「マスター・カタログ」をクリックします。
- ボリュームに移動し、「権限」タブをクリックします。
- 「新規権限」をクリックします。
- ドロップダウンから権限レベルとユーザー・タイプを選択します。
- ユーザーをユーザー名またはOCIDのどちらで追加するかを選択します。
- 「ユーザー名」で、「検索」をクリックし、ユーザー名を入力します。リストからユーザーを選択します。
- 「OCIDの入力」に、ユーザーのOCIDを入力します。
- 「作成」をクリックします。