アドホックスキーマの属性ベースのアクセス制御のサポート
Adobe Experience Platformに取り込まれるデータは、Experience Data Model （XDM）スキーマによってカプセル化され、組織または法的規制によって定義された使用制限の対象となる場合があります。
スキーマが指定されていない場合に、クエリサービスを通じてCTAS クエリを実行すると、アドホックスキーマが自動的に生成されます。 多くの場合、機密性の高い個人データと個人を特定できる情報の両方へのアクセスを制御するために、アドホックスキーマの特定のフィールドまたはデータセットの使用を制限する必要があります。 Adobe Experience Platformでは、属性ベースのアクセス制御機能を使用して、Experience Platform UIを通じてスキーマフィールドにラベルを付けることができるため、このアクセス制御が容易になります。
ラベルはいつでも適用でき、データの管理方法を柔軟に選択できます。 ただし、データがExperience Platformに取り込まれたらすぐに、またはデータがExperience Platformで使用可能になるとすぐに、ラベル付けすることをお勧めします。
スキーマベースのラベル付けは、ユーザーまたはユーザーグループに与えられたアクセスをより適切に管理するための、属性ベースのアクセス制御の重要な要素です。 Adobe Experience Platformでは、ラベルを作成して適用することで、アドホックスキーマの任意のフィールドへのアクセスを制限できます。
このドキュメントでは、クエリサービスを通じて生成されたアドホックスキーマのデータフィールドにラベルを適用して、機密データへのアクセスを管理する方法について説明します。
はじめに
このガイドは、Adobe Experience Platform の次のコンポーネントを実際に利用および理解しているユーザーを対象としています。
- エクスペリエンスデータモデルl（XDM）システム：Experience Platform が顧客体験データを整理するための標準化されたフレームワークです。
- Schema Editor: Experience Platform UIでスキーマやその他のリソースを作成および管理する方法について説明します。
- Data Governance: Data Governanceで顧客データを管理し、データ使用に適用される規制、制限、ポリシーへの準拠を確保する方法について説明します。
- 属性ベースのアクセス制御：属性ベースのアクセス制御は、管理者が属性に基づいて特定のオブジェクトや機能へのアクセスを制御できるようにするAdobe Experience Platformの機能です。 属性は、アドホックフィールドや通常のスキーマフィールドに追加されたラベルなど、オブジェクトにメタデータを追加できます。 管理者は、ユーザーアクセス権限を管理する属性を含めた、アクセスポリシーを定義します。
アドホックスキーマの作成
クエリが実行され、結果が生成されると、アドホックスキーマが自動的に生成され、スキーマインベントリに追加されます。
データラベルを追加するには、Experience Platform UIの左側のパネルで「 スキーマ 」を選択して、「 スキーマ 」ダッシュボードの「参照」タブに移動します。 スキーマインベントリが表示されます。
Experience Platform UIのスキーマインベントリでアドホックスキーマを見つける discover-ad-hoc-schemas
Experience Platform UIでのアドホックスキーマの表示を有効にするには、フィルターアイコン（
使用可能なリストから、最近作成したアドホックスキーマの名前を選択します。 アドホックスキーマ構造のビジュアライゼーションが表示されます。
ガバナンスラベルの編集
アドホックスキーマのデータラベルを編集するには、「 ラベル 」タブを選択します。 ラベルワークスペースを使用すると、アドホックスキーマフィールドにラベルを適用、作成、編集したり、UIを通じてアクセス権限を制御したりできます。 アドホックスキーマ内のすべてのフィールドがここに表示されます。
スキーマまたはフィールドのラベルの編集
スキーマ全体のラベルを編集するには、鉛筆アイコン（
既存のフィールドにラベルを適用するには、リストから1つ以上のフィールドを選択し、右側のサイドバーで ガバナンスラベルを編集します。
ラベルを編集ポップオーバー
「 ラベルを編集」ポップオーバーが表示されます。 このビューから、UIを使用して既存のガバナンスラベルを作成または編集できます。
選択したスキーマまたはフィールドのラベルを作成または編集する方法に関するガイダンスについては、ドキュメントを参照してください。
ラベルは、権限ワークスペースを使用して作成することもできます。 手順については、権限ワークスペース 🔗でのラベルの作成に関する ガイドを参照してください。
適切なレベルの属性ベースのアクセス制御が適用されると、ユーザーがアクセスできないデータにアクセスしようとすると、クエリサービスを介して実行されるクエリに次のシステム動作が適用されます。
-
ユーザーがスキーマ内のいずれかのフィールドへのアクセスを拒否された場合、ユーザーは制限されたフィールドの読み取りまたは書き込みができなくなります。 これは、次の一般的なシナリオに当てはまります。
- ユーザーが制限付き列のみを含むクエリを実行しようとすると、その列が存在しないというエラーがスローされます。
- ユーザーが制限付き列を含む複数の列を含むクエリを実行しようとすると、システムはすべての制限付き列に対してのみ出力を返します。
-
ユーザーが計算フィールドへのアクセスを要求した場合、ユーザーはコンポジションで使用されるすべてのフィールドにアクセスする必要があります。そうしないと、システムは計算フィールドへのアクセスを拒否します。
IDまたはプライマリ IDがアドホックスキーマで設定されている場合、システムは関連するデータハイジーン要求を自動的に受け入れ、ID列に関連付けられたデータセット内のデータをクリーニングします。
次の手順
このドキュメントでは、クエリサービス CTAS クエリを介して作成されたアドホックスキーマにデータ使用ラベルを追加する方法について詳しく説明します。 まだ行っていない場合は、次のドキュメントを参照して、クエリサービスのデータガバナンスに関する理解を深めることができます。