[質問1]
ユーザーが実行できる操作は、「所属グループのポリシー（権限）」と「ワークスペースの権限（読み取り／変更）」の両方を満たす場合に限られる（共通部分になる）という理解は正しいですか？また、WorkspaceAdminAccess権限を持つ場合はどうなりますか？
[回答1]
その理解は正しいです。ユーザーが実行できる操作は、所属グループのポリシーとワークスペースの権限の両方を満たす場合に限られます。
ただし例外として、WorkspaceAdminAccess権限またはそれを保持するAdminグループの場合は、ワークスペースの権限に限定されません。
---
[質問2]
ワークスペースに「読み取り」で登録されているユーザーが、グループのポリシーに実行権限（ExecuteScheduleJob、ExecuteFileEventJob、ExecuteRESTAPIJob）を持っている場合、そのワークスペースのジョブを実行（有効化・無効化を含む）できますか？スケジュールジョブ、ファイルイベントジョブ、REST APIジョブのそれぞれについて教えてください。
[回答2]
操作の種類によって必要な権限が異なります。
- **ジョブの実行**：ワークスペースへの「読み取り」権限があれば実行可能です。ただし、ジョブで実行されるスクリプトの処理においてワークスペースへの「変更」権限が必要な処理は実行できません。
- **ジョブの有効／無効のステータス変更**：対象ジョブが存在するワークスペースの「変更」権限が必要です。「読み取り」のみでは操作できません。
スクリプトの実行者については、ジョブの種類によって異なります。
- **スケジュールジョブ・ファイルイベントジョブ**：ジョブの作成者または所有者がスクリプトの実行者となります。
- **REST APIジョブ**：ジョブを最後に更新した「最終更新者」がスクリプトの実行者となります。
---
[質問3]
同じユーザーが、次のように複数の方法でワークスペースに登録されている場合、実際に有効になる権限はどれですか？
（a）ユーザー個人では「読み取り」、所属グループでは「変更」
（b）複数のグループに所属し、グループごとに「読み取り」と「変更」が異なる
（c）ユーザー個人では「変更」、所属グループでは「読み取り」
[回答3]
グループとユーザーで対象のワークスペースの権限を異なるものに設定した場合、「変更」権限が有効となります。そのため、（a）（b）（c）のいずれも「変更」権限がある状態となります。
---
[質問4]
ワークスペースにユーザーやグループを追加し、権限（読み取り／変更）を変更するために必要なポリシー（権限）は何ですか？EditWorkspaceだけで足りるか、他の権限も必要かを教えてください。
[回答4]
いずれの操作も、対象ワークスペースへの「変更」権限が前提として必要です。操作の種類によって必要なポリシーが異なります。
- **ワークスペースにユーザーやグループを追加する操作**：Developerグループが保持している権限に加え、ListUser・ListGroup権限が必要です。
- **ワークスペースの権限（読み取り／変更）を変更する操作**：EditWorkspace権限が必要です。
---
[質問5]
「組織内のすべての○○への管理アクセス」にあたる権限（例：IntegrateProjectAdminAccess、ScheduleJobAdminAccess、ConnectionResourceAdminAccess）を持つユーザーを、ワークスペースの権限「読み取り」で登録した場合、そのワークスペースのリソースを編集できますか？
[回答5]
ワークスペースを指定するリソースについては、ワークスペースに付与するポリシーや権限で操作できる内容が管理されます。そのため、IntegrateProjectAdminAccess・ScheduleJobAdminAccess・ConnectionResourceAdminAccessなどのAdminAccess権限を持っていても、AdminAccessの有無でワークスペースの権限範囲は変わりません。リソースを編集するには、別途ワークスペースへのアクセス権限を「変更」に設定する必要があります。
---
[参考リンク]
- ジョブ
コメント
0件のコメント
記事コメントは受け付けていません。