機能概要
ロールベースアクセス制御（RBAC）は、機能へのアクセスを制限するメカニズムを提供します（例：ポリシー、設定、SkopeITなど）とアクセスレベル（アクセスなし、表示、管理、管理＋適用）が含まれます。しかし、現時点では関数内の特定のオブジェクトへのアクセスを制限するメカニズムは提供されていません（例：（一部の宛先プロファイルのみ対象で、すべての宛先プロファイルに適用されるわけではありません）。
ラベルベースアクセス制御（LBAC）は、コアとなるRBAC機能の強力な拡張機能であり、オブジェクトレベルのアクセス制御を可能にします。これは、管理者がアクセス権限を持つ関数内のオブジェクトのサブセットにアクセスできるように、（カスタムロールを介して）アクセス権限を設定する方法を提供する。この制御は、一方では役割に、他方では構成オブジェクトにラベルを付けることによって実現されます。カスタムロールにラベルが設定されると、そのロールはすべての構成オブジェクトに対してゼロトラストアクセスという概念を持つようになります。つまり、そのようなカスタムロールを持つ管理者は、指定されたラベルを持つ構成オブジェクトにのみアクセスでき、それ以外の構成オブジェクトには一切アクセスできません。これにより、大規模企業やサービスプロバイダーにとって有益なレベルの分離と隔離が実現する。最後に、ラベルは構成オブジェクトの階層管理もサポートしており、ルートから最大4階層下の階層構造に対応しています。
ユースケース
- グローバル管理のための設定の視覚的な分離。テナント管理者は、ラベル（色もサポート）を割り当てるだけで、異なるエンティティ、ビジネスユニット、部門の構成要素を、単一のテナント内で同時に表示した場合でも容易に識別できるようにすることができます。これにより、混乱や失敗のリスクが軽減されます。
- 最小権限アクセス管理。ゼロトラストの一般原則として、攻撃対象領域を縮小するために最小権限を設定することが重要です。RBACをラベルと併せて設定することで、企業は、特定のアクセス方法に公開される設定オブジェクトを最小限に限定することができます。これはサービスアカウントに特に役立ちます 自動化の場合など Cloud Exchange 、外部APIクライアントなど
- 委任管理のための管理マルチテナント機能。大規模企業や、単一のテナント内で複数の顧客を管理する一部のサービスプロバイダーにとっては、より効率的な管理のために、構成資産を複数の管理者間で分割することが推奨されます。これは、さまざまな設定オブジェクトとさまざまなカスタムロールに適切なラベルを割り当てることで管理できます。これにより、各管理者は自分に関係する設定のみを閲覧できるため、運用速度、正確性、エラー削減が確保されます。
- 階層型構成管理。一部の大規模企業は、最上位レベルまたはグローバルな構成を作成することで構成階層を構築できます。この構成は、当該テナント内で管理されている他のすべてのエンティティ、事業部門、部署が従う必要があります。ラベルの階層を使用すると、テナント管理者は、編集する権限がなくても、委任された管理者が使用できるよくあるプロファイルとオブジェクトを定義できます。
用語
- Configuration Object: 宛先プロファイル、ネットワークロケーション、DNSプロファイル、DLPプロファイル、DLPルールなどのオブジェクト 構成情報を保存する
- Label: 任意の構成オブジェクトに付加されるテキスト識別子
- Custom Role顧客が機能とアクセスレベルを設定できる役割
ラベルは、以下の設定要素によってサポートされています。
- 目的地プロフィール
- プライベートアプリ
- 出版社
- ポリシーグループ