データ API ビルダーでのロールの継承

ロールの継承を使用すると、より広範なロールに対してアクセス許可を 1 回定義し、より具体的なロールでそのアクセスを自動的に継承できます。 ロールの継承がない場合は、すべてのエンティティのすべてのロールに対して同じアクセス許可ブロックを繰り返す必要があります。 ロールの継承では、 anonymous に対するアクセスを 1 回定義し、より広範なロールごとに同じアクセス権を取得します。

継承チェーン

継承チェーンは、最小特権から最も特権の高い順に継承されます。

named-role → authenticated → anonymous

チェーンは次のことを意味します。

• 名前付きロールにアクセス許可ブロックがない場合、DAB は authenticated ブロックを検索します。 存在しない場合は、 anonymousにフォールバックします。
• authenticatedにアクセス許可ブロックがない場合、DAB は anonymous ブロックを使用します。
• anonymousにアクセス許可ブロックがない場合、要求は403 Forbiddenで拒否されます。

継承の解決方法

DAB は要求を評価するとき、有効なロールを決定し、その後、継承チェーンを辿ってアクセス許可ブロックを見つけます。

1. DAB は、( X-MS-API-ROLE ヘッダー、トークン要求、または既定値を使用して) 要求から有効なロールを識別します。
2. DAB は、有効なロールと一致する明示的なアクセス許可ブロックを entities.<name>.permissions で検索します。
3. 一致するブロックが存在しない場合、DAB はチェーン ( authenticated → anonymous) をウォークアップします。
4. 最初に見つかった一致するブロックは、要求のアクセス許可を提供します。
5. チェーン内のロールに一致するブロックがない場合、DAB は 403 Forbiddenを返します。

例示

最小構成: すべてのロールに対する単一のアクセス許可

readに対するanonymous権限を定義します。 すべてのロール (authenticated および任意の名前付きロール) は、そのアクセス権を継承します。

{
  "entities": {
    "Book": {
      "source": "dbo.books",
      "permissions": [
        { "role": "anonymous", "actions": [ "read" ] }
      ]
    }
  }
}

この構成に対する有効なアクセス許可:

Entity: Book
    Role: anonymous        | Actions: Read
    Role: authenticated    | Actions: Read (inherited from: anonymous)
    Unconfigured roles     | Inherit from: anonymous

階層化された構成: ロールごとに異なるアクセス

ロールごとに異なるアクセス レベルが必要な場合は、それぞれを明示的に定義します。 あなたが構成していないロールは継承によって補完されます。

{
  "entities": {
    "Order": {
      "source": "dbo.orders",
      "permissions": [
        { "role": "anonymous",      "actions": [ "read" ] },
        { "role": "authenticated",  "actions": [ "read", "create" ] },
        { "role": "admin",          "actions": [ "*" ] }
      ]
    }
  }
}

この構成に対する有効なアクセス許可:

Entity: Order
    Role: anonymous        | Actions: Read
    Role: authenticated    | Actions: Read, Create
    Role: admin            | Actions: Create, Read, Update, Delete
    Unconfigured roles     | Inherit from: authenticated

admin以外の名前付きロール (viewerやsupportなど) は、authenticatedから継承され、readおよびcreateアクセスを取得します。

継承なし: 完全にブロック

anonymousにアクセス許可ブロックがなく、チェーン内の他のロールに 1 つもない場合、そのエンティティに対するすべての要求は拒否されます。

{
  "entities": {
    "AuditLog": {
      "source": "dbo.audit_log",
      "permissions": [
        { "role": "admin", "actions": [ "read" ] }
      ]
    }
  }
}

この構成では、 admin のみが AuditLogにアクセスできます。 authenticated anonymous継承するブロックがないため、DAB は、403 Forbiddenを持つこれらのロールからの要求を拒否します。

有効なアクセス許可を表示する

dab configure --show-effective-permissions を使用して、各エンティティの解決済みのアクセス許可を表示します。これには、どのロールがどのロールから継承されたかも含まれます。 このコマンドは、エンジンを実行せずに継承が期待どおりに動作していることを確認する最速の方法です。

dab configure --show-effective-permissions

特定の構成ファイルを対象にすることもできます。

dab configure --show-effective-permissions --config my-config.json

出力例:

Entity: Book
    Role: anonymous        | Actions: Read
    Role: authenticated    | Actions: Read (inherited from: anonymous)
    Unconfigured roles inherit from: anonymous

Entity: Order
    Role: admin            | Actions: Create, Read, Update, Delete
    Role: anonymous        | Actions: Read
    Role: authenticated    | Actions: Read (inherited from: anonymous)
    Unconfigured roles inherit from: authenticated

完全なオプションについては、 --show-effective-permissionsを参照してください。

継承と明示的なアクセス許可

関連するコンテンツ

• 承認の概要
• データベース ポリシーを構成する
• 認証されていないプロバイダーを構成する
• --show-effective-permissions 参照
• バージョン 2.0 の新機能