セキュリティラベルの設定を開始する前に
サイトでセキュリティラベルの設定を開始する前に、次の作業を行います。
• サイトに設定するセキュリティラベルとそれらがカスタムセキュリティラベルか、標準セキュリティラベルかを決定します。各セキュリティラベルの値のリストを作成します。
さまざまな目的に合わせて、複数のセキュリティラベルを定義できます。オブジェクトを表示するには、ユーザーにはそのオブジェクトに設定されているすべてのセキュリティラベル値 (要件) を満たしていなければなりません。
• 各カスタムセキュリティラベルまたは標準セキュリティラベルの値の承認された参加者、つまりそのセキュリティラベル値が適用された場合にオブジェクトへのアクセス権が付与される参加者を決定します。承認された参加者が Unique Federation Identifier (UFID) (プリンシパルが LDAP に含まれている場合) または WTPrincipalReference (プリンシパルがデータベースに存在する場合) を使用して指定できるか、または各カスタム/標準ラベル値で承認する参加者を決定するためのカスタムエバリュエータクラスを記述する必要があるかどうかも検討します。
承認された参加者を UFID で指定する場合、UFID ではユーザー、ユーザー定義グループ、または組織を指定できますが、ユーザー定義グループを指定するのが最も一般的です。承認された参加者としてグループを使用した場合、参加者管理ユーティリティ、 > ページ、またはサードパーティの LDAP ツールを使用してグループのメンバーシップを容易に追加または変更することで、LDAP ディレクトリサービス内のグループを管理できます。
カスタムエバリュエータクラスを使用して承認された参加者を指定する場合、現在のユーザーの承認方法はカスタムエバリュエータの実装方法によって異なります。たとえば、カスタムエバリュエータでユーザーが特定のグループのメンバーかどうかをチェックできます。これは、UFID を使用した場合と同様です。または、カスタムエバリュエータで、特定のラベルの値のアクセス権が付与されている参加者をリストする Windchill の外部のシステムに照会することもできます。
識別用にラベル値を使用する場合、承認された参加者の設定を省略することで、すべてのユーザーに値のアクセス権が付与されます。
• オプションで、承認された参加者として使用するグループを作成します。
| ユーザー定義グループを作成する場合、設定時に入力する必要があるので、各グループの識別名および各グループの保存先のディレクトリサービスを必ずメモしておいてください。 |
• サイトで免除承諾を有効にするかどうかを決定します。免除承諾を有効にする場合、次の作業も行う必要があります。
◦ サイトコンテキストで、承諾マネージャのグループを作成するか、既存のグループを指定します。サンプルコンフィギュレーションでは、このグループとして Agreement Managers グループが使用されています。設定時に入力する必要があるので、各グループの識別名および各グループの保存先のディレクトリサービスを必ずメモしておいてください。承諾マネージャグループのメンバーにアクセス許可も設定します。アクセス許可の設定については、
承諾マネージャへのアクセス許可の設定を参照してください。
◦ 複数のタイプの免除承諾を有効にするには、承諾タイプのサブタイプを作成します。カスタムセキュリティラベルまたは標準セキュリティラベル値のそれぞれは、オプションで 1 つのタイプの免除承諾に関連付けることができます。設定時に必要になるので、各承諾サブタイプの内部名をメモしておいてください。
| コンテキストベースの免除承諾を使用する場合は、コンテキストベースの免除承諾と標準の免除承諾の両方に対してサブタイプを作成することをお勧めします。そうすると、デフォルトではどちらも承諾タイプから継承するため、各タイプのポリシーアクセス制御規則の保守が容易になります。 |
• ユーザーがオブジェクトコンテンツをダウンロードしようとしたときにダウンロードの確認メッセージを表示するかどうかを決定します。
• 特定のオブジェクトのセキュリティラベルを非表示にして Null 以外のセキュリティラベル値を設定できないようにするかどうかを決定します。セキュリティラベルを設定したオブジェクトタイプのリストについては、<Windchill>/conf/exposedSecurityLabelObjects.xml ファイルにアクセスしてください。<Windchill> は Windchill ソリューションがインストールされている場所です。
• セキュリティラベルの変更を、指定したバージョンのオブジェクトに適用するか、すべてのバージョンのオブジェクトに適用するかを指定します。たとえば、部品の最新バージョンが B.1 であり、この部品に対して「セキュリティラベルを編集」操作を実行した場合、デフォルトでは、ユーザーが選択したセキュリティラベルの設定はその部品のバージョン B.1 だけに適用されます。ただし、次のオプションで「オブジェクトバージョンでのセキュリティラベルの変更」プリファレンスを使用してデフォルトを変更できます。
◦ 「常にすべてのバージョンに適用」
◦ 「常に編集されたバージョンに適用」
◦ 「セキュリティラベルを編集」ページにチェックボックスを表示して、すべてのバージョンのオブジェクトにセキュリティラベルの変更を適用可能にする。「すべてのバージョンに適用するオプションを選択」を選択してこのチェックボックスを事前にオンにするか、「すべてのバージョンに適用するオプションを選択しない」を選択してオフにするかを選択できます。このチェックボックスがオンになっている場合、セキュリティラベルの変更はすべてのバージョンに適用されます。オフになっている場合、変更は編集されたバージョンに適用されます。
セキュリティラベルの変更をすべてのバージョンのオブジェクトに適用するには、ポリシーアクセス制御規則を変更する必要が生じることがあります。たとえば、リリース済み状態のオブジェクトの修正を防止するポリシー規則がある場合、このプロパティを有効にすると、リリース済み状態のバージョンのオブジェクトは更新されません。
• 「セキュリティラベルを修正」アクセス許可を更新可能にするか、読み取り専用にするか、Windchill 全体のアクセス許可リストで非表示にするかを決定します。これは「アクセス許可のコンフィギュレーション」(「プログラム」、「プロジェクト」、「組織」、「サイト」コンテキストの場合) または「アクセス許可のコンフィギュレーション (PDM)」(「ライブラリ」および「製品」コンテキストの場合) プリファレンスによって制御されます。これらのプリファレンスは > ユーティリティで管理します。デフォルトでは、「セキュリティラベルを修正」アクセス許可は両方のプリファレンスによって非表示になっています。
> ページ、またはサードパーティの LDAP ツールを使用してグループのメンバーシップを容易に追加または変更することで、LDAP ディレクトリサービス内のグループを管理できます。
