ワークスペース権限（読み取り/変更）とスクリプト編集・ジョブ実行・DBアクセスの挙動について – HULFT Square

質問

HULFT Squareのワークスペース権限（読み取り/変更）について、以下の3点を確認したいです。

1. 「読み取り」権限のユーザーはスクリプトの作成・編集・保存・実行ができますか？

2. スケジュールジョブの「実行者」に必要なワークスペース権限およびポリシー権限は何ですか？権限が不足している場合、ジョブは成功しますか？

3. ジョブやスクリプトからDB（Amazon Aurora MySQL）に読み書きする際、その可否はコネクションに設定したDBユーザーの権限のみで決まりますか？実行者のHULFT Square上の権限によってDBへのアクセス可否が変わることはありますか？

## 1. 「読み取り」権限のユーザーによるスクリプトの作成・編集・保存・実行について

ワークスペースの「読み取り」権限を付与されたユーザーは、そのワークスペースの該当プロジェクトを編集できないため、スクリプトの新規作成・編集・保存は行えません。

また、スクリプトの実行（デバッグ実行を含む）も、該当プロジェクトを開くことができないため不可となります。

UI上では、[HULFT Integrate]＞[プロジェクト]の画面で「プロジェクトを開く」という選択肢を選ぶことができなくなります。

## 2. ジョブの実行者の権限について

ジョブ実行時には、実行者のワークスペース権限および実行者が所属するグループに付与されたポリシーが参照されます。

ワークスペースに対する権限が不足している場合、該当ワークスペースに所属するリソースを参照できなくなるためエラーが発生し、ジョブが失敗します。

ジョブ内でAmazon Aurora MySQLのコネクションを使用する場合、ワークスペースに対する権限として「読み取り」権限を設定してください。

スケジュールジョブを実行するために、実行者が所属するグループのポリシーに以下の権限が必要であることをサポートが検証で確認しています。

- `ExecuteScheduleJob`：スケジュールジョブを実行する権限（有効化/無効化を含む）

- `ViewConnectionResource`：コネクションリソースの詳細情報への読み取り専用アクセス

- `ViewIntegrateService`：割り当てられたHULFT Integrateサービスの詳細情報への読み取り専用アクセス

- `ViewProfile`：プロファイルの詳細情報への読み取り専用アクセス

- `ViewWorkspace`：ワークスペースの詳細情報への読み取り専用アクセス

上記ポリシー権限の付与に加え、以下の対応も必要です。

- プロファイルにワークスペースと同様に「読み取り」権限を実行者に付与してください。

- ジョブの実行に使用するIntegrateサービスに、実行者の所属するグループを結びつける必要があります。

## 3. DBへのアクセスについて

ジョブやスクリプトからDB（Amazon Aurora MySQL）に読み書きする際の可否は、コネクションに設定したDBユーザーの権限のみで決まります。

実行者がコネクションにアクセスしたうえで、DBユーザーの権限で読み書きを行うため、実行者のHULFT Square上の権限によってDBへの読み取り・書き込みの可否が変わることはありません。

ワークスペース、プロファイル、Integrateサービスなどは、「所属グループのポリシー（権限）」と「ワークスペースの権限（読み取り／変更）」の両方を満たす場合に操作が可能です（Admin権限は除く）。

権限の詳細については、以下のマニュアルを参照してください。