メタデータアクセスコントロール

概要

メタデータアクセスコントロール機能は、COMETA内のデータベース系アセットを、指定したチームだけが閲覧できるように設定する機能です。
この機能を利用することで、「特定のチームには機密情報を含むテーブルのメタデータを非表示にする」「部署ごとに関連するテーブルの情報だけを表示する」といった、柔軟な権限管理が可能になります。これにより、データガバナンスを強化し、ユーザーが必要な情報へより簡単にアクセスできるようになります。

チームとは

各アセットへのアクセスルールは、ユーザー単位ではなくユーザーが所属するチーム単位で設定します。

チームに所属するユーザーのロール

チームの編集・削除などの操作はチームロールによって制限されます。

• チーム管理者：チームの編集・削除・チームへのユーザー追加といったチームの管理が可能です
• チームメンバー：所属するチームのユーザー一覧を閲覧できます

チームの管理

新しいチームを作成する

チーム一覧画面で「チームの新規作成」をクリックし、チームを新規作成できます。

基本情報

所属ユーザー

「追加」をクリックし、所属ユーザーを追加します。

データストアアクセス管理者とは

特定のデータストアに紐づき、そのデータストア内のアセット（データベース、スキーマ、テーブル）に対して、どのチームがアクセスできるかを設定する責任者です。
データストアを新規に連携したユーザーが、自動的にそのデータストアの「データストアアクセス管理者」になります。

データストアアクセス管理者は、以下の操作権限を持ちます。

• アクセス許可・拒否ルールの作成と削除
• データストア内のすべてのアセットへのアクセス
• 自身が持つ「データストアアクセス管理者」の役割を他のユーザーに委譲

アクセスルールの仕組み

アセットがユーザーに表示されるかどうかは、以下のルールに基づいて決まります。

1. 「拒否」は「許可」より強い
2. 親アセットのルールは子アセットに継承される
3. データストアにルールが何も設定されていない場合は非表示となる

基本ルール1：「拒否」は「許可」より強い

許可されたアセットのうち、拒否として指定されたアセットを除いたものが閲覧・操作可能になります。

基本ルール2：親アセットのルールは子アセットに継承される

親アセット（データベースなど）へのアクセスが許可されている場合、その子アセット（テーブル、カラムなど）へのアクセスもすべて許可されます。
ただし、明示的に拒否が設定された子アセットへのアクセスは、基本ルール1により拒否されます。

親アセット（データベースなど）へのアクセスが拒否されている場合、その子アセット（テーブル、カラムなど）へのアクセスもすべて拒否されます。
子アセットに明示的に許可が設定されていても、基本ルール1により拒否されます。

基本ルール3：データストアにルールが何も設定されていない場合は非表示となる

データストアにアクセスルールが何も設定されていない場合、アセットを閲覧・操作できるのは「データストアアクセス管理者」と「アカウント特権管理者」のみです。
他のすべてのユーザーにはアセットが表示されません。

具体例

例1：スキーマ全体を許可し、一部のテーブルを拒否する

• ルールA：営業チームにスキーマXを許可
• ルールB：営業チームにスキーマX内のテーブルYを拒否
• 結果：営業チームは、スキーマX内のアセットを閲覧できますが、テーブルYだけは表示されません

例2：スキーマ全体を拒否し、一部のテーブルを許可しようとする

• ルールA：営業チームにスキーマXを拒否
• ルールB：営業チームにスキーマX内のテーブルYを許可
• 結果：営業チームは、スキーマX全体が拒否されているため、テーブルYを含むすべての関連アセットを閲覧できません

アクセスルールの管理

データストア連携管理からデータストア詳細画面を開き、アクセスルール設定からルールを管理します。

新しいルールを追加する

アクセスルール一覧ページで、「ルールを作成」ボタンをクリックし、ルールを作成します。

ルールを削除する

アクセスルール一覧の、削除したいルールの行にあるゴミ箱マークのボタンから削除できます。

データストアアクセス管理者を委譲する

データストア詳細画面の「アセットアクセス管理者」にある「委譲する」をクリックし、委譲先のユーザーを選択します。