アクセス権制御を理解する

概念図

AlbumDatabaseへのアクセス権はAlbum, Application Access Key, Document Access Key, UserGroup, UserAccountによって制御されます。

UserAccountは、Roleを持ちます。RoleはUserAccount生成時に設定し、変更することはできません。

Role	説明
Administrator	Power Viewer上の全ての操作が許可されるユーザー
GroupPolicy Editor	GroupPolicyの編集が可能なViewer
Viewer	アルバムデータベースの編集権限を持たない一般ユーザー自身のUserAccountのDisplayNameとパスワードのみ編集可能

Administratorは、Power Viewer上のあらゆる操作が可能です。AccessKeyやUserGroupを気にする必要はありません。それら全ての概念を無視して、Administratorであるというその一点で全ての操作が許可されます。

GroupPolicy Editorは、GroupPolicyの編集が可能である以外はViewerと同じです。

UserAccountはUserGroupへ加入できます。複数のUserGroupへ加入できます。

自分が加入しているUserGroupはMyAcountで確認できます。

UserGroupは、任意の数のAccessKeyを持つことができます。

UserGroupがAccessKeyを持っているとき、そのUserGroupに加入しているUserAccountは同じAccessKeyを持っているものとして扱われます。UserGroupから脱退した時点でAccessKeyも剥奪されます。

自分が持っている（UserGroupから継承している）AccessKeyはMyAccountで確認できます。

Albumが生成されるとき、Application Access Keyが1つ、Document Access Keyが複数生成され、そのAlbumに紐づけられます。

Application Access KeyはAlbumにつき1つで、追加や削除はできません。

Document Access KeyはAlbumが複数持つことができ、自動生成されるKey以外にも、自作して追加することが可能です。自作したKeyは削除可能です。

ユーザーがApplicationやDocumentへのアクセスを試みたとき、そのユーザーの持つAccessKeyによってアクセスの可否が決まります。

UserGroupが持つAccessKey、Albumが持つAccessKey、どちらも同じ名前ですが、よりイメージしやすく表現すると、UserGroupが持つのは鍵(Key)、Albumが持つのは鍵穴(Key Hole)であるといえます。

Application Access Keyは、Applicationへのアクセスを制御します。

対応するAlbumのApplication Access Keyを持っていれば、そのAlbumに所属する全てのApplicationへのアクセスが可能となります。

Document Access KeyにはType, DisplayName, Allow/Deny, 設定文字列があります。

	説明	例
Type	KeyのTypeを選択します。	パスに指定した文字列を含むファイルへのアクセス権を制御
DisplayName	表示名を設定します。	Substanceデータへのアクセス拒絶
Allow/Deny	許可する方向のKeyか、拒絶する方向のKeyかを指定します。	Deny
設定文字列	Typeごとに異なる意味合いを持つ文字列を指定します。複数指定する場合は、\|（パイプ）を区切り文字として使用します。	m3/32-sub

AllowとDenyは、DenyのKeyが優先されます。
例えば、Full Access（Allow）とSubstanceデータへのアクセス拒絶(Deny)のKeyを持つ場合、Substanceデータ以外のファイルへのアクセスが可能となります。

原則、UserGroupには手動で設定したUserAccountが加入します。設定していないUserAccountがUserGroupに勝手に入ることはなく、UserAccountを使わずにログインしているTrialユーザーはUserGroupへ加入できません。

しかし例外があります。以下2つのUserGroupです。

UserGroup ID	UserGroup Name	概要	加入条件	登録済ユーザー	Trial ユーザー
1	All User	ログインしている全てのユーザーが入っているUserGroup	なし
2	All Registered User	ユーザー登録を済ませた全てのユーザーが入っているUserGroup	ユーザー登録を済ませていること

All UserとAll Registered Userは特殊なUserGroupで、UserAccountの手動加入を受け付けません。代わりに、上記の加入条件に従って自動でユーザーを取り込みます。

このような特殊な仕様を持つ2つのUserGroupですが、UserGroupであることには変わりなく、他のUserGroupと同様にAccessKeyを持つことができます。

即ち、All UserあるいはAll Registered UserにAccessKeyを持たせることで、UserAccountのUserGroupへの加入を省略してAlbumを公開することが可能となります。