オブジェクトタイプとオブジェクトインスタンスのセキュリティ管理

**オントロジーデータ（オブジェクトタイプ）**のアクセス制御とパーミッションには、主に2つの形式があります。オブジェクト入力データソースと粒度の細かいアクセス制御です。

オブジェクト入力データソース

Foundry オントロジーの オブジェクトインスタンスのデータパーミッションは、入力データソースに適用されたパーミッションによって制御されます。Foundry オントロジーのオブジェクトタイプは、その入力データソースとして3つのタイプのリソースを持つことができます：Foundry データセット、Foundry 制限付きビュー、Foundry ストリームです。オントロジーで追加のデータソースタイプをサポートするための開発が進行中です。

• Foundry データセット: Foundry データセットは、Foundry オントロジーでオブジェクトインスタンスを作成するための最も一般的な入力データソースです。データセットの各行は、Foundry オントロジーの完全なオブジェクトインスタンスに対応し、データセットに対して少なくとも Viewer パーミッションを持つユーザーは、そのデータセットから作成されたすべてのオブジェクトインスタンスにアクセスできます。
• Foundry 制限付きビュー (RVs): Foundry 制限付きビューは、Foundryで行レベルのパーミッションを付与するためのリソースです。制限付きビューは、また、Foundry オントロジーでオブジェクトインスタンスレベルのアクセス制御を付与するためにも使用されます。ポリシーの制限を満たすことで特定の行へのアクセスを許可されているユーザーは、その行から作成されたオブジェクトインスタンスにもアクセスできます。
• Foundry ストリーム: Foundry ストリームは、Foundry オントロジーで低レイテンシのストリーミングデータを使用するための入力データソースです。非ストリーミング用のバッチインフラストラクチャから離れて、ストリームはデータを秒単位または分単位のオーダーでFoundry オントロジーにインデックス化することを可能にします。ストリームデータソースに対して少なくとも Viewer パーミッションを持つユーザーは、そのストリームデータソースから作成されたすべてのオブジェクトインスタンスにアクセスできます。

Foundry オントロジーの粒度の細かいアクセス制御

最も一般的なオントロジー入力データソースは Foundry データセットであり、これらのデータセットに対してユーザーは、データセットの行と行の全てまたはなしを、同様に対応するオブジェクトインスタンスとそのプロパティの全てまたはなしをアクセスできます。ただし、一部のユースケースやワークフローでは、データソースまたはその対応するオブジェクトに対してすべてか何もかのより粒度の細かいオブジェクトインスタンスのアクセス制御が必要となる場合があります。

このため、Foundry 制限付きビュー (RVs)は行レベルのアクセス制御を提供し、複数データソースオブジェクトタイプ (MDOs)は列またはプロパティレベルのアクセス制御の解決策を提供します。

Foundry 制限付きビュー (RVs)

Foundry 制限付きビュー (RVs)は、データセットの特定の行と、それらの行から作成された対応するオブジェクトインスタンスへの行レベルのアクセス制御を可能にします。特定のプライマリキーを持つオブジェクトインスタンスへのアクセスは、誰が入力制限付きビューデータソースのその特定の行にアクセスできるかによって決定されます。

例えば、ヘルスケアの従業員は、自分のケアセンターを訪れる患者のPHIを含むデータセットの行とオブジェクトインスタンスを表示することが許可されているかもしれませんが、他のケアセンターを訪れる患者のデータの表示は制限されているかもしれません。これは、同じデータセットとオブジェクトタイプに両方のタイプのデータが存在していてもです。

オントロジーマネージャーを使用して、制限付きビューをオブジェクトタイプの入力データソースとして選択できます。これは、Foundry データセットと同様の方法です。

RVsの設定とオブジェクトインスタンスの行レベルのパーミッションの制御について詳しく学ぶ

複数データソースオブジェクトタイプ (MDOs)

Foundry オントロジーは、複数の入力データソースを単一のオブジェクトタイプにマッピングするサポートを提供します。このようなオブジェクトタイプは、複数データソースオブジェクトタイプ (MDOs)と呼ばれます。

MDOsは、異なるデータソースからの列をオブジェクトタイプのさまざまなプロパティにマッピングすることを可能にします。これにより、単一のオブジェクトタイプに対して複数のアクセス制御（別々の入力データソースに対応する）を適用することができます。これらの入力データソースは、Foundry データセットまたは Foundry 制限付きビューの任意の組み合わせであることができます。

例えば、特定のケアイベントオブジェクトタイプに対して、一部のヘルスケア従業員は個人の健康情報 (PHI) を含むオブジェクトプロパティへのアクセスを必要とするかもしれませんが、他の従業員はこのアクセスを持つべきではありません。このアクセス制御は、Care Event オブジェクトタイプを2つの別々の入力データソースでバックアップし、それぞれの入力データソースに異なるアクセス制御とパーミッションを適用することでサポートできます。これらの異なるパーミッションは、オブジェクトインスタンスに対して尊重され、適用されます。つまり、ユーザーが入力データソースにアクセスできない場合、そのユーザーは入力データソースからマッピングされたプロパティにアクセスできないということです。