属性ベースのアクセス制御（ABAC）セキュリティーモデル

ABACを使用して、ロールベースではなく、ユーザーに関する他の属性に基づいて、クラスの特定のインスタンスへのアクセスを制限します。 たとえば、各ユーザーに「Security Classification」があり、それ自体でユーザーがアクセスできるデータに制限が適用される場合があります。

許可されたアクセスの種類を指定するアクセス制御ポリシーにより、ABACに制限が適用されます。 各ポリシーに対して、1つまたは複数のアクセス制御ポリシー条件が、アクセスを許可するかどうかを決定します。

使用する予定の属性を設定した後、Access Control Policy Conditionルール画面（Rule-Access-PolicyCondition）を設定します。 Access Control Policy Conditionルール画面では、フィルターのセットを定義し、アクセス制御ポリシーの条件を組み合わせるロジックを追加します。 ルール画面では、保護されたオブジェクトにアクセスタイプが付与される条件を記述します。 Access Control Policy Conditionルール画面の条件が満たされると、ユーザーはアクセス制御ポリシーで定義されたアクションを実行できます。 たとえば、Access Control Policy Conditionルール画面で定義された条件により、サポートエージェントの特定のチームのマネージャーのみが、そのチームのメンバーが処理したサービスクレジットを承認できるようにすることができます。

Access Control Policy Conditionルール画面では、フィルターロジック値を持つ複数の条件セットを入力できます。 各フィルターロジックの仕様は、Access Whenルールに関連付けられています。 各フィルターセットは、ケースの属性（プロパティ値）と、任意のクリップボードのプロパティ値を、実行時に比較します。 この比較値は、通常、保護されたオブジェクトにアクセスしようとするユーザーの情報を表しています。 

次の図の中央付近にある垂直線を左右に動かして、RBACとABACの違いを確認してください。

Access Control Policy Condition rule画面を設定した後、Access Control Policy rule画面を設定します（Rule-Access-Policy）。 Policy画面では、オブジェクトへのアクセス時にユーザーに許可される事項を制限するアクションを次のいずれかから選択します。

• Read：ユーザーは、ポリシー条件を満たすケースを開くか、リスト、レポート、検索などでケース用のデータを表示できます。
• Update：ユーザーは、ポリシー条件を満たすケースを作成するか、ポリシー条件を満たすケースのデータを更新できます。
• Discover：ユーザーは、「Discovery」ポリシー条件を満たすが「Read」ポリシー条件を満たさないケースについて（開発者が定義する）限定的な情報を表示できます。
• Delete：ユーザーは、ポリシー条件を満たすケースを削除できます。
• PropertyRead：読み取りおよび更新アクセス権を伴うプロパティ値を含み、プロパティ値のユーザーへの表示が制限されます。
• PropertyEncrypt：プロパティはデータベース、クリップボード、ログ、検索インデックスで暗号化されます。 「PropertyRead」ポリシーがプロパティの表示を制限しない場合、暗号化が解除されたプロパティ値がUIコントロールでユーザーに表示されます。

Pega PlatformデータベースのAssign-、Data-、Index-、Work-クラスのみにアクセス制御ポリシーを定義することができ、アクセス制御ポリシーは複数のクラスを継承することができます。 ポリシー条件は関連するすべてのポリシーから組み合わされ、すべてのポリシー条件が満たされたときにのみアクセスを許可します。 RBACとは異なり、ABACポリシーはPega Platformに内蔵されている継承機能を利用します。

ABACポリシーがアクセスを許可する場合、RBACも適用され、アクセスを許可しなければなりません。  

属性ベースのアクセス制御をアプリケーションで設定するには、使用するユーザーとオブジェクトの属性を定義します。 ユーザー属性はさまざまな方法で定義できます。 たとえば、ユーザーの認証に外部身分証明プロバイダー（IDP）を使用している場合、IDPに保存されている情報の中からユーザーに属性を割り当てることができます。 次に、それらの属性をPega Platformアプリケーションのユーザーのオペレーターレコードまたはリクエスターレベルのデータページにマッピングします。 オプションとして、オブジェクトクラスのプロパティフィールドに属性値を追加することで、オブジェクトの属性を追加することができます。

属性の表現には、単一文字列値、文字列値リスト、数値の3つのデータタイプを使用できます。 暗号化されたフィールドは使用できません。

単一文字列値

文字列型のプロパティを使用して、ユーザーにアクセスを許可する前に一致しなければならない特定の属性を定義することができます。 以下の例では、Security ClearanceがTop Secretのユーザーにアクセスが許可されています。 

Operator.SecurityClearance = “Top Secret”

文字列値リスト

特殊な比較演算子であるAll ofおよびOne ofを使用して、コンマ区切りの文字列値リストを評価することができます。 たとえば、セキュリティーポリシーでSecurity ClearanceレベルがTop SecretまたはSecretであることが要求されている場合、One of演算子はどちらの属性のユーザーにもアクセスを許可します。 All of演算子は、文字列値のリストに含まれるすべての属性を評価し、すべての属性が存在する場合にのみアクセスを許可します。

数値

属性を数値データタイプで表すことができます。 属性の値は、オブジェクト（ケース）とサブジェクト（オペレーター）の両方で、トップレベルの数値プロパティにマッピングされなければなりません。 これは、セキュリティー仕様でアクセス階層が必要な場合に役立ちます。 たとえば、Top Secret、Secret、Unclassifiedの各属性を使って、以下のような数値マッピングを作成することができます。

そして、アクセスレベルを決定するために、数値比較を伴う単一の条件を使用することができます。

Operator.SecurityClearance >= .SecurityClearance

次の問題に答えて、理解度をチェックしましょう。