ストアの権限を管理する

Marketplace ストアは、Foundry エンロールメント内のローカルストア、またはリモートストアとして利用できます。ローカルの Marketplace ストアは、プロジェクトまたはフォルダー内に配置され、そのプロジェクトまたはフォルダーの権限を継承します。リモートストアは、ある Foundry エンロールメントで作成され、他のエンロールメントで利用可能になります。リモートストアの権限は、Control Panel で設定します。

閲覧権限

DevOps または Marketplace でローカルの Marketplace ストアを閲覧するには、marketplace:read-local-marketplace 操作権限が必要です。この操作権限は、通常 Viewer ロールで付与されます。リモートストアの Viewer 権限は、Control Panel で設定します。

製品のインストール権限

ローカルストアまたはリモートストアから製品をインストールするには、ストアを閲覧できることに加え、marketplace:install-from-local-marketplace 操作権限が必要です。この操作権限は、通常 Viewer ロールで付与されます。

このインストールの入力として選択したすべてのリソースについて、marketplace:use-resource-as-input 操作権限が必要です。この操作権限も、通常 Viewer ロールで付与されます。

また、インストール先となる場所（通常はスペースとオントロジー）に対する marketplace:install-in 操作権限も必要です。この操作権限は、通常 Editor ロールで付与されます。

インストールのたびに、Marketplace は選択したスペース内に新しいプロジェクトを作成するか、既存のプロジェクトにインストールします。これを行うには、スペース、選択したプロジェクト、またはフォルダーに対する marketplace:install-in 操作権限が必要です。この権限は、通常 Editor ロールで付与されます。

ストアに適用されている組織マーキングのうち、1つ以上へのアクセス権も必要です。ただし、ストアを含むプロジェクトへのアクセスには、すでに組織マーキングのいずれかへのアクセス権が必要です。

ストアの作成権限

ローカルストアを作成するには、プロジェクトまたはフォルダーに対する marketplace:create-local-marketplace 操作権限が必要です。この操作権限は、通常 Editor ロールで付与されます。

現在、リモートストアを作成できるのは Palantir のみです。

製品の編集権限

ローカルストアで製品を作成または編集するには、marketplace:create-block、marketplace:edit-block-set、marketplace:upload-attachment の操作権限が必要です。これらは、通常 Editor ロールに付与されます。

リモートストアは、DevOps では編集できません。

データセットのパッケージ化権限

実データを保持するリソース（最も一般的なのは、出力として追加されたデータセット）をパッケージ化する際は、インストール時に内容を再作成できるよう、そのリソースのファイルを読み取ります。これらのファイルを読み取るには、製品を作成するために必要な編集権限に加えて、リソースに対する foundry-data-proxy:get-files（ダウンロード）操作権限が必要です。この操作権限がない場合、ドラフトの他の部分は正常にパッケージ化できても、データセットを出力としてパッケージ化すると、foundry-data-proxy:get-files の権限エラーで失敗します。データセットのファイルを読み取るのは、パッケージ化オプションの 静的データに含める のみです。製品にデータセットの行を含める必要がない場合は、代わりに データセット定義のみを含める または トランスフォームまたはパイプラインとともに含める を選択してください。どちらのオプションも ダウンロード 操作権限は必要ありません。後者のオプションの名前は、データセットに関連付けられた生成元に応じて変わるため、データセットのビルド方法によっては、同期とともに含める、制限付きビューとともに含める などと表示されます。

デフォルトでは、foundry-data-proxy:get-files 操作権限は Viewer、Editor、Owner ロールに付与されているため、データセットのパッケージ化に追加の権限は必要ありません。この操作権限の確認が行われるのは、ダウンロードを制限するように設定されたエンロールメントのみです。

ダウンロードを制限するエンロールメントでは、ロールセットをカスタマイズして、foundry-data-proxy:get-files を含むダウンロード操作権限をデフォルトロールから外し、代わりに専用のロール（たとえば Exporter ロール）を通じて付与することがよくあります。このようなエンロールメントでは、Owner ロールだけではダウンロード操作権限が含まれないため、ダウンロードを許可するロールも付与されていない所有者は、データセットを出力としてパッケージ化できません。そのロールを付与するか、別の方法でデータセットに対する foundry-data-proxy:get-files を付与すると、エラーが解消されます。

製品のエクスポート権限

ローカルストアから製品をエクスポートするには、ユーザーに marketplace:export-block-set 操作権限が必要です。この操作権限は、通常 Owner ロールに付与されます。現在、リモートストアから製品をエクスポートすることはできません。

製品のインポート権限

ローカルストアに製品をインポートするには、ユーザーに marketplace:import-blockset-with-provenance 操作権限が必要です。この操作権限は、通常 Owner ロールに付与されます。現在、リモートストアに製品をインポートすることはできません。

ストアのタグの編集権限

ローカルストアのタグを編集するには、ユーザーに marketplace:edit-local-marketplace 操作権限が必要です。この操作権限は、通常 Editor ロールに付与されます。現在、リモートストアのタグを編集することはできません。

製品作成時に適用される組織マーキング

Marketplace 製品にパッケージ化されるすべてのリソースには、1 個または複数の組織マーキングがついており、通常はリソースが格納されているプロジェクトから継承されます。 同様に、Marketplace ストアにも、そのストアが格納されているプロジェクトの組織マーキングがついています。

リソースが属するすべての組織を閲覧する権限がない場合があります。

製品のリソースと Marketplace ストアに同じ組織マーキングがついていない場合は、それらの組織マーキングに対する Expand access 権限を取得する必要があります。 たとえば、Workshop アプリケーションが 組織 A に属し、ストアが 組織 A と 組織 B の両方に属しているとします。この Workshop アプリケーションを Marketplace ストアで正常にパッケージ化するには、組織 A に対する Expand access 権限が必要です。これは、コンテンツのアクセス範囲を 組織 A から 組織 B に拡大するためです。

製品のリソースに、Marketplace ストアにはない組織マーキングがついている場合は、それらの組織マーキングに対する Remove 権限を取得する必要があります。 たとえば、Workshop アプリケーションが 組織 A と 組織 B の両方に属し、ストアが 組織 A のみに属しているとします。この Workshop アプリケーションを Marketplace ストアで正常にパッケージ化するには、組織 B に対する Remove 権限が必要です。これは、組織 B のマーキングを外す（つまり、マーキングを解除する）ためです。

製品インストール時に適用される組織マーキング

通常、Marketplace ストアには、インストール先のスペースに関連するすべての組織マーキングが含まれている必要があります。つまり、ローカルの Marketplace ストアは、インストール先のスペースに関連するすべての組織マーキングがついたプロジェクト内に配置する必要があります。

たとえば、Marketplace ストアに 組織 A のマーキングのみがついており、そのストアの製品を 組織 A と 組織 B の両方を含むスペースにインストールしたい場合、インストール時に 組織 A に対する Expand access 権限を取得する必要があります。これは、コンテンツのアクセス範囲を 組織 A から 組織 B に拡大するためです。

インストール時に、製品のインストールに 組織 A のマーキングのみを適用することもできます。この場合、アクセスを拡大する権限は不要になります。

また、組織 B のマーキングをストアに適用することもできます。これにより、より多くのユーザーがストアから製品をインストールできるようになります。たとえば、Marketplace ストアに組織 A と B の両方のマーキングがついており、そのストアの製品を組織 A のみを含むスペースにインストールしたい場合、追加の権限は必要ありません。ただし、組織 B のみにアクセスできるユーザーも、このストアから製品をインストールできるようになります。

新しい製品バージョンに承認を必須にする

Marketplace ストアでは、新しい製品バージョンを公開する前に承認を必須にする設定ができます。有効にすると、新しいリリースを確定する前に、承認者が各ドラフトをレビューして承認する必要があります。

承認するユーザーは、ドラフトの作成者とは別のユーザーである必要があり、ストアに対する marketplace:finalize-block-set 操作権限を持っている必要があります。この操作権限は、デフォルトでストアの所有者と編集者に付与されます。承認を許可するユーザーの一覧をカスタマイズするには、カスタムロールセットを使用してください。

製品の作成とインストールの権限

複数組織のシナリオ

Foundry でリソースをあるプロジェクトから別のプロジェクトに移動するには、そのリソースの Owner として十分な権限を持っている必要があります。ただし、移動後にリソースにアクセスできる組織の範囲が拡大する場合は、関係するマーキングに対する追加の権限も必要です。

たとえば、あるリソースが 組織 A に属する プロジェクト A 内にあり、そのリソースを 組織 A と 組織 B の両方に属する プロジェクト B に移動したいとします。この場合、組織 A のマーキングに対する Expand access 権限が必要です。Expand access は、リソース（この例では 組織 A に属するリソース）へのアクセスを、他の組織（組織 B など）に拡大できる上位の権限です。

リソースに PII またはその他の機密データを示すマーキングがついている場合、そのマーキングを外すには Remove Marking 権限が必要です。

プロジェクト A 内のリソースを、プロジェクト B に格納される製品にパッケージ化し、その製品を プロジェクト C にインストールする場合は、組織マーキングに対する Expand と、追加のマーキングが存在する場合はその Remove の両方を行うための十分な権限が必要です。これらのマーキングは製品の移動中に外されるためです。

権限構造に関するガイダンス

製品の作成、インストール、その後の作業を円滑に進めるため、次の構成を推奨します。

• リソースは、パッケージ化するリソース専用の単一の組織に属するプロジェクトに、追加のマーキングなしで最初に配置してください。
  • リソースを製品にパッケージ化するユーザーは、この単一の組織に対して、上記の十分な権限を持っている必要があります。この権限は、より幅広いユーザーに付与できます。
• ストアから製品をインストールすることが期待されるすべての組織には、Marketplace ストアのプロジェクトが配置されているスペースへのアクセス権を付与してください。この目的のために専用のスペースを作成し、ストアへのアクセス権を持つべき各組織を含めることができます。
  • 製品をインストールするユーザーは、インストールを実行するために組織マーキングに対する追加の権限を必要としません。

この権限構造では、権限に関する問題をパッケージ化の段階で把握できるため、インストールプロセスを開始する前に必要な変更を行えます。