権限管理の概要

ロール

ロールベースの権限管理では「利用者」と「データ」を直接、結びつけません。その間に「権限」という概念を導入します。

Wagbyはロールベースの権限管理機能を提供します。

パーミッションとプリンシパル

権限の基本単位を「パーミッション」と呼びます。
たとえば「顧客モデルの表示パーミッション」や「社員モデルの更新パーミッション」などがあります。

各画面には「自分を処理するためには、このモデルについてのXXX権限が必要である」というチェック機能が備わっています。 「XXX」の部分はそれぞれ、「登録」「更新」「削除」「表示」「検索」といった基本的な権限が入ります。

複数のパーミッションをグループ化したものを「プリンシパル」と呼びます。たとえば、「登録」「更新」パーミッションをグループ化して「更新系プリンシパル」を用意することもできます。Wagbyの標準は「複数パーミッション = 1プリンシパル」となっています。

標準のパーミッション

開発者がモデルを定義したとき、モデルごとに次のパーミッションが自動的に付与されます。標準では、これらすべてのパーミッションを有効とした「一般ユーザ」というプリンシパルもあわせて用意されます。

標準のプリンシパル

環境タブ内の「権限」でプリンシパルを管理しています。標準で次のプリンシパルを用意しています。

一般ユーザ

閲覧・検索・更新・登録・削除・ダウンロード・アップロード・メニュー・一覧更新・帳票出力という標準パーミッションを含んでいます。通常、ログオンアカウント(juser)には「一般ユーザ」プリンシパルを与えます。これによってすべてのモデルへの操作が可能になります。

アカウントごと、かつ、モデルごとに利用制限をかけたい場合は、一般ユーザプリンシパルを与えずに別途用意した（制限付きの）プリンシパルを与えるとよいでしょう。この方法は次ページ以降で説明します。

それ以外の特別なプリンシパル

「一般ユーザ」はシステムの利用のために用意されたものです。
それ以外に、システム管理のためのプリンシパルが用意されています。
各プリンシパルの説明は下表の通りです。

これらはDesignerの「環境 > 権限 > プリンシパル」で確認できます。

カテゴリ 8.4.0

すべてのプリンシパルは、次に示すいずれかのカテゴリに属します。開発者は自身でカテゴリを追加することもできます。

開発者が新規に作成するプリンシパルのカテゴリは、標準では "アプリケーション" を指定するとよいでしょう。プリンシパルが増えた場合は新しいカテゴリを作成し、カテゴリごとに管理することで見通しをよくすることができます。

ログオンアカウントにプリンシパルを割り当てる

Wagbyのログオンアカウントは juser モデルとして定義されています。 ログオンアカウントの設定時に、どのプリンシパルを割り当てるかを指定することができます。

通常は次のプリンシパルを付与するとよいでしょう。

• アカウント > 一般ユーザ (モデルの操作のため)
• 共通処理 > 共通処理 (プレファレンス変更のため)
• 共通処理 > パスワード変更

モデル項目単位で権限を設定する

画面単位ではなく、モデル項目単位に「パーミッション」を設定することができます。
これにより、次のような複雑な設定も行うことができます。

参照権限 - 権限を有していないユーザに対して、項目を隠す

「営業日報」モデルに「上司のコメント」項目を用意した。この項目は管理者が閲覧・更新することができるが、営業スタッフはこの項目は見えない。すなわち、この項目が存在することさえも知らない。

更新権限 - 権限を有していないユーザに対して、項目を読み込み専用にする

「販売」モデルに「注文数量」項目を用意した。この項目は「注文数量更新権限」をもっている利用者は閲覧・更新することができるが、同権限をもっていない場合、閲覧はできるが更新を行うことができない。

この詳細は、次ページ以降で説明します。

権限管理の対象範囲

機能

権限設定は「画面」「帳票」「CSV・Excelダウンロード/アップロード更新」に適用されます。

アカウント

一般利用者が対象範囲となります。システム管理者 (admin) は、すべての権限が有効になります。

システム管理者の扱い

「システム管理者」プリンシパルは、次のように動作します。

• 他のプリンシパルが持つ権限を自動的に継承します。*1
• すべてのメニューを操作できます。
• 権限管理設定の対象外となります。（すべての権限が有効になります。）
• 暗黙条件設定の対象外となります。（システム管理者には暗黙条件が適用されません。）
• すべてのデータの閲覧と更新を行うことができます。
• 代理登録を行うことができます。
• アカウントロックの対象になりません。
• 一般利用者の新しいパスワードを再設定することができます。

技術情報

インポートエクスポート画面で、システムモデルに「プリンシパル」は表示されません。これは特別なモデルで、アカウント(juser)のインポートエクスポートにあわせて処理されます。

この内部の動作の仕組みをはじめとする、プリンシパルモデルの詳細はこちらをお読みください。