PATと権限

概要

cdm コマンドでは、内部的に API 呼び出しを伴う処理を実行する際に、PAT(パーソナルアクセストークン) を利用します。PATは、Codatum のWebサービス上で、ワークスペース・アカウント単位で発行され、発行者の権限を使って API にアクセスします。

PATには付与する権限を制限する機能があり、用途に応じて必要最低限の権限を付与することで、意図しない操作やセキュリティリスクを低減することができます。

PATは profile として登録して管理します。profile の登録・切替・削除などの操作は cdm auth を参照してください。

PATの形式

PATは cdm_pat_ で始まる57文字の文字列です。

profile として登録された PAT は、cdm auth list や cdm auth whoami では cdm_pat_TR0v*** のようにマスクした形式で表示されます。このマスク表示により、CLI 側の profile と、Webサービス側で管理している PAT の対応を確認できます。

PATの発行と管理

PATは次のいずれかの方法で発行できます。

• cdm auth login のブラウザでの承認から発行（CLI に自動で取り込まれます）
• Codatum のWebサービスの 「アカウント設定」 → 「パーソナルアクセストークン」 から発行

いずれの方法で発行した PAT も、Webサービスの 「アカウント設定」 → 「パーソナルアクセストークン」 で一元管理されます。権限の変更や失効はこの画面から行います。

PATの指定方法

PATを cdm コマンドで利用する方法は次のとおりです。実際のコマンド操作の詳細は cdm auth を参照してください。

• profile として登録: cdm auth login で PAT を profile として登録します
• 環境変数で直接指定: CI 環境などでは CDM_PAT 環境変数 で PAT を直接指定できます
• 有効性の確認: cdm auth whoami で、利用中の PAT が現在も有効かを確認できます

権限の制限ルール

デフォルトでは、PAT は発行者の権限をそのまま引き継ぎます。そのうえで、PAT の発行時・編集時に「トークンの権限を制限する」を有効にすると、制限ルールを定義できます。

制限ルールは、発行者が本来持っている権限の範囲内で、利用できる操作を絞り込むための仕組みです。新たな権限を付与するものではなく、あくまで発行者の権限の一部のみを許可（実質的には拒否によって削る）する用途で利用します。

各ルールは、次の 3 要素で構成されます。

項目	説明
効果	許可 または 拒否
対象	対象リソース（コネクション・ノートブック・タグ）
操作	対象操作（閲覧・編集・削除 など）

ある操作に対して、対象リソースと対象操作が一致するルールの効果が適用されます。評価ルールは次のとおりです。

• いずれのルールにも一致しない場合は 許可されません
• 「許可」と「拒否」の両方が一致する場合は 拒否が優先 されます
• 制限ルールで許可された操作であっても、発行者本人がその権限を持っていない場合は実行できません

コネクションの操作権限

アクション	説明
閲覧	実行済み SQL のステータスや実行結果を取得できます
実行	SQL を実行できます。実行結果の取得には閲覧権限が必要です
アノテーション編集	カタログのアノテーション（説明・タグ）の編集ができます

※ アノテーションの編集には、Codatum Webサービスの「コネクション利用者」の権限が必要です。

ノートブックの操作権限

ノートブック単体の操作権限

ノートブック単体を対象とする操作権限です。

アクション	説明
閲覧	ノートブックを閲覧できます
編集	ノートブックを編集できます
削除	ノートブックを削除できます

フォルダの操作権限

フォルダを対象とする操作権限です。フォルダ直下のノートブックに対する操作をまとめて許可します。対象となるのは指定したフォルダに直接所属するノートブックのみで、サブフォルダおよびその配下のノートブックは含まれません。

アクション	説明
閲覧	フォルダ直下のノートブックを一覧・閲覧できます
編集	フォルダ直下のノートブックの新規作成・編集ができます
削除	フォルダ直下のノートブックを削除できます

フォルダの操作権限は、あくまでフォルダ直下のノートブックに対する操作を許可するものです。フォルダ自体（リネーム・移動・削除など）を操作する権限ではありません。

ノートブック単体権限とフォルダ権限の関係

あるノートブックに対する操作は、ノートブック単体の権限 と そのノートブックが所属するフォルダの権限 の いずれかを満たせば 許可されます（OR 条件）。

たとえば、ノートブックの閲覧は「そのノートブック単体の閲覧権限」または「所属フォルダの閲覧権限」のどちらかがあれば可能です。各コマンドが要求する具体的な権限は、cdm notebook の各サブコマンドの説明を参照してください。

ただし、いずれの場合も評価ルールに従い、拒否が優先されます。たとえばフォルダ単位で許可しつつ、ノートブック単位で拒否した場合、そのノートブックへの操作は拒否されます。

タグの操作権限

タグの閲覧権限は、タグが付与されているリソースの権限に従います。制限ルールでは、編集権限 と 削除権限 を設定できます。

種別	説明
*	すべてのタグ
table	カタログのテーブル用タグ
column	カタログのカラム用タグ

アクション	説明
編集	タグ定義の作成・更新ができます
削除	タグ定義の削除ができます

※ タグの編集・削除には、Codatum Webサービスのワークスペースエディタまたはワークスペースオーナーの権限が必要です。