5.3.5.1. アクセス制御

5.3.5.1.1. ユーザー管理によるアクセス制御

5.3.5.1.1.1. WEBユーザー管理アクセス権限

WEBコンソールで利用するユーザーとロールの種別により、システムを利用する上での各画面のアクセス可否および制限は下記となります。

【凡例】
　　○：アクセス可能
　　×：アクセス不可
表 5.709 WEBユーザー(ロールのカテゴリ)のWEBユーザー管理権限

画面＼権限

特権ユーザー(Rootカテゴリ)

一般ユーザー(Adminカテゴリ)

一般ユーザー(Userカテゴリ)

アクセス可否

制限

アクセス可否

制限

アクセス可否

制限

参照操作/設定変更画面

○

「ユーザー管理」機能のみ利用できます。その他の参照操作/設定変更画面は利用できません。

○
全ての機能を利用できます。

※ただし、サービスポリシーによって利用できる機能が制限されている場合、その機能は利用できません。

○
「ユーザー管理」機能を除く全ての機能を利用できます。

※ただし、サービスポリシーによって利用できる機能が制限されている場合、その機能は利用できません。

ユーザー一覧画面

○

全てのユーザーを参照できます。

○

同一テナントに所属するユーザーのみ参照できます。

×

ユーザー新規作成画面

○

  • ユーザー種別が「特権」/「一般」の両方のユーザーを作成できます。

  • 特権ユーザーを作成する場合、Rootカテゴリのロール(RootRole)のみ割り当て可能です。

  • 一般ユーザーを作成する場合、Adminカテゴリのロールのみ割り当て可能です。 Adminカテゴリのロールをユーザーに割り当てた場合、自動的にテナントが作成されます。

○

  • ユーザー種別が「一般」のユーザーのみ作成できます。

  • Userカテゴリのロールをユーザーに割り当てた場合、自動的にテナントが引き継がれます。

×

ユーザー変更画面

○

  • 特権ユーザーを作成する場合、Rootカテゴリのロール(RootRole)のみ割り当て可能です。

  • 一般ユーザーを作成する場合、Adminカテゴリのロールのみ割り当て可能です。また、ロールを変更する際は別テナントのロールを割り当てることはできません。

○

一般ユーザーを作成する場合、AdminカテゴリのロールおよびUserカテゴリのロールを割り当て可能です

×

ユーザー削除画面

○

ビルドインユーザー(root)および自分自身は削除できません。その他のユーザーは削除できます。

×

×

ロール一覧画面

○

自分自身のロールがオーナーのロールのみ参照できます。

○

自分自身のロールがオーナーのロールのみ参照できます。

×

ロール新規作成画面

○

Adminカテゴリのロールのみ作成できます。

○

Userカテゴリのロールのみ作成できます。

×

ロール変更画面

○

自分自身のロールがオーナーのロールのみ変更できます。

○

自分自身のロールがオーナーのロールのみ変更できます。

×

ロール削除画面

○

  • 自分自身のロールがオーナーのロールのみ削除できます。

  • ビルドインロールは削除できません。

○

自分自身のロールがオーナーのロールのみ削除できます。

×

ドメインリスト一覧画面

○

自分自身のロールがオーナーのドメインリストのみ参照できます。

○

自分自身のロールがオーナーのドメインリストのみ参照できます。

×

ドメインリスト新規作成画面

○

ビルドインドメインリストの"ALL"に定義されているドメインを使って新規にドメインリストを作成することができます。

○

自身のAdminカテゴリロールに割り当てられたドメインリストに定義されているドメインを使って新規にドメインリストを作成することができます。

×

ドメインリスト変更画面

○

自分自身のロールがオーナーのドメインリストのみ変更できます。

○

自分自身のロールがオーナーのドメインリストのみ変更できます。

×

ドメインリスト削除画面

○

自分自身のロールがオーナーのドメインリストのみ削除できます。

○

自分自身のロールがオーナーのドメインリストのみ削除できます。

×

サービスポリシー一覧画面

○

自分自身のロールがオーナーのサービスポリシーのみ参照できます。

○

自分自身のロールがオーナーのサービスポリシーのみ参照できます。

×

サービスポリシー新規作成画面

○

ビルドインドメインリストの"ALL"で許可されている範囲内で新規にサービスポリシーを作成することができます。

○

自身のAdminカテゴリロールに割り当てられたサービスポリシーで許可されている範囲内で新規にサービスポリシーを作成することができます。

×

サービスポリシー変更画面

○

自分自身のロールがオーナーのサービスポリシーのみ変更できます。

○

自分自身のロールがオーナーのサービスポリシーのみ変更できます。

×

サービスポリシー削除画面

○

自分自身のロールがオーナーのサービスポリシーのみ削除できます。

○

自分自身のロールがオーナーのサービスポリシーのみ削除できます。

×

5.3.5.1.1.2. 千手ユーザーグループに対応する千手システムの権限

ドメインリストではドメインに接続するための千手ユーザーを設定することができます。

WEBコンソールでは、設定された千手ユーザーの権限に基いて各画面の参照・操作を制御します。

また、千手ユーザーの権限は所属する千手ユーザーグループにより決定されます。

サービスポリシーと千手ユーザーグループ権限パターンに応じた各機能の参照可否および操作可否を、サービスポリシーの種別毎に示します。

注釈

一般ユーザー(AdminロールおよびUserロール)は、利用しているサービスポリシーとドメインポリシーによって利用できる機能が制限されます。

5.3.5.1.1.2.1. 参照操作

参照操作の参照可否および操作可否を示します。

【凡例】
　　○：参照・操作ともに可能
　　△：参照可能
　　×：利用不可
表 5.710 サービスポリシー権限参照

サービスポリシー名

Administrators

Managers

Operators

OpeEditors

Users

Viewers

操作内容

ダッシュボード

△

△

△

△

△

△

-

グローバルノードモニタ

○

○

○

△

△

△

  • 千手システムプロセス起動・停止

  • リブート

  • 特別監視対象外設定・解除

ノードモニタ

○

○

○

△

△

△

  • ノードモニタ[プロセス]->千手プロセス起動、千手プロセス停止

  • ノードモニタ[全監視タスク]->一時停止、再開

  • ノードモニタ[ログ監視]->一時停止、再開

グラフモニタ

○

○

○

○

○

○

  • リストダウンロード

  • グラフ表示

モニタリング履歴検索

△

△

△

△

△

△

-

ジョブモニタ

○

○

○

△

△

△

  • ジョブモニタ->再ラン、強制停止、初期化、一時停止、スキップ、強制起動、強制分岐、設定、消去

  • 実行システムモニタ->投入、初期化

  • フレームモニタ->投入、テストラン、再ラン、強制停止、初期化、一時停止指定、スキップ指定、特別初期化、サスペンド、レジューム

  • トリガモニタ->設定、消去

ジョブサービスモニタ

○

○

○

△

△

△

  • チェック項目の確認

  • チェック項目の結果の変更

ジョブ稼働履歴検索

△

△

△

△

△

△

-

メッセージ履歴検索

△

△

△

△

△

△

-

ランブックモニタ

○

○

○

×

×

×

-

ランブック稼働履歴検索

△

△

△

△

△

△

-

構成管理モニタ

△

△

△

△

△

△

-

構成管理情報検索

△

△

△

△

△

△

-

ソフトウェア／パッチ情報検索

△

△

△

△

△

△

-

オペレーション情報検索

△

△

△

△

△

△

-

千手統計情報検索

△

△

△

△

△

△

-

ファイル参照

○

○

○

○

○

○

ファイル内容の参照

5.3.5.1.1.2.2. 設定変更

設定変更の参照可否および操作可否を示します。

【凡例】
　　○：参照・操作ともに可能
　　△：参照可能
　　×：利用不可
表 5.711 サービスポリシー権限参照

サービスポリシー名

Administrators

Managers

Operators

OpeEditors

Users

Viewers

操作内容

モニタリング

△

△

△

△

△

△

-

ジョブスケジュール

△

△

△

△

△

△

-

イベント

△

△

△

△

△

△

-

営業日カレンダー

△

△

△

△

△

△

-

週間スケジュール

△

△

△

△

△

△

-

コマンド

○

○

○

△

△

△

コマンド実行

5.3.5.1.2. 千手のユーザースコープ機能によるアクセス制御

ドメインリストを利用した際に各ドメインの履歴検索機能のユーザースコープ設定について説明します。

ドメインリストの各ドメインに設定された千手ユーザーのスコープ情報に基づいて検索できる対象を決定します。

以下に、ドメインA、B、Cのそれぞれで該当のユーザーが存在し、ユーザースコープ設定がある場合、該当のユーザーが存在し、ユーザースコープ設定がない場合、および該当ユーザーが存在しない場合のユーザースコープの動作について例を示します。

表 5.712 履歴検索画面での検索対象

パターン

ドメインA

ドメインB

ドメインC

検索対象

1

○

○

○

各ドメインでスコープ表示する設定になっている情報

2

△

△

△

全ての情報

3

×

△

○

各ドメインに対し、○：スコープ情報 ×/△：全ての情報

4

×

×

×

履歴検索機能利用不可
【凡例】
　　○：該当ユーザーが存在し、ユーザースコープ設定あり
　　△：該当ユーザーが存在し、ユーザースコープ設定なし
　　×：該当ユーザーが存在しない

警告

  • ドメインリストについて全てのドメインで存在しない千手ユーザーを設定している場合、履歴検索機能は利用不可になります。

  • １つでも有効な千手ユーザーを設定している場合に、存在しない千手ユーザーを設定しているドメインは全ての情報を検索できるようになります。

  • ドメインリストの設定時には、不要な千手ドメインが設定されていないか、正しい千手ユーザーが登録されているかを必ず確認して下さい。