ClickStackにおけるロールベースアクセス制御の提供開始

ClickStack のリリース以来、最も多くの要望をいただいていた機能の一つである、Managed ClickStack 向けのロールベースアクセス制御(RBAC)をリリースしました。ClickStack RBAC により、チームはロールに基づいて権限を定義し、ダッシュボード、保存済み検索、ノートブックなどの特定リソースにアクセスできるユーザーを制御できるようになります。アクセス権は広範なレベルで付与することも、個々のリソースにスコープを絞ることも可能で、プラットフォーム全体の主要機能を作成、変更、管理できる権限も併せて制御できます。

これによりプラットフォームがエンタープライズ対応となるだけでなく、今後のアップデートで予定されている行レベルアクセス制御をはじめとする RBAC 機能の拡張に向けた基盤も整います。

RBAC の基礎 #

RBAC の導入前は、ClickStack のすべてのユーザーが同じグループに属し、アプリケーション全体で同じ権限を共有していたため、単一のインスタンス内でユーザーやチームごとにアクセス権を分ける手段がありませんでした。

何らかの分離を導入するには、個別の HyperDX インスタンスを利用する必要がありました。各インスタンスに独自の接続認証情報とデータソースを設定し、プロダクト内ではなく環境レベルでアクセスを事実上分離していたのです。これにより基盤となるデータへのアクセスを制限する回避策にはなったものの、環境設定の重複や運用負荷の増大というコストが伴いました。

このモデルは実際のチーム環境ではスケールしませんでした。特定のダッシュボードへのアクセス制御や、読み取り専用権限の適用、ダッシュボード作成やノートブックなどの機能へのアクセス制限を行う手段がなかったためです。より柔軟で一元化されたアクセス制御のアプローチが必要であることは明白でした。

グループベースのアクセス制御モデル #

ユーザーからのフィードバックに基づき、ClickStack にはより柔軟なグループベースのアクセス制御アプローチが必要であることが明らかになりました。RBAC の中核となるのは、ロールを定義してユーザーに割り当てる機能であり、各ロールがプラットフォーム全体の主要リソースへのアクセスを制御します。対象となるリソースには、ダッシュボード、保存済み検索、ソース、アラート、Webhook、ノートブックが含まれます。

各リソースタイプに対し、ロールには「アクセスなし(no access)」、「読み取り(read)」、「管理(manage)」の 3 つのアクセスレベルのいずれかを割り当てられます。このモデルは大半のユースケースをカバーしており、誰がデータを閲覧できるか、誰が変更を加えられるか、誰が完全な制御権限限を持つかをチームで制御できます。「管理」アクセスではリソースの作成、編集、削除が可能になり、「読み取り」アクセスでは変更のリスクなく可視性を確保できます。

リソースへのアクセスにとどまらず、RBAC はロールレベルでの管理統制機能も導入します。チームメンバーや割り当てられたロールを閲覧できるロールを定義できる一方で、ユーザーや権限の管理といった機微な操作は管理者のみに制限できます。これにより、データを活用するユーザーとアクセスの統制を担当するユーザーとの間で明確な職務分掌が確保されます。