注: 以下の翻訳の正確性は検証されていません。AIPを利用して英語版の原文から機械的に翻訳されたものです。
マーキングの管理
マーキングは、Foundry の設定でマーキングセクションの下で管理されます。その後、マーキングはプラットフォーム全体のリソースに適用されます。
マーキングカテゴリーの作成
管理者ユーザーは、マーキングとマーキングカテゴリーを作成し、そのメタデータ、可視性、メンバーシップを制御することができます。プラットフォーム設定のマーキングセクションへのアクセスには、特別なプラットフォーム権限が必要です。
必要な権限を持つ管理者ユーザーであれば、プラットフォーム設定のマーキングセクションで 新しいマーキングカテゴリー ボタンをクリックして、マーキングカテゴリーを作成することができます。
マーキングカテゴリーを作成すると、カテゴリーの可視性を設定し、カテゴリーの権限を割り当てることができます。デフォルトでは、カテゴリーの作成者が管理者になります。カテゴリーの作成者は、自分自身を作成者から削除し、代わりに別の管理者を追加することを選択することができます。
カテゴリーの可視性
マーキングの可視性は、カテゴリーごとに割り当てられ、組織カテゴリーを除きます。個々の組織は、それぞれ自身の可視性設定を持っています。
ほとんどの場合、マーキングやカテゴリーの名前や説明は機密情報ではなく、マーキングのアクセス権を持たないユーザーにも可視化されるべきです。この動作は、デフォルトでは Visible となっているカテゴリーの可視性によって決定されます。
カテゴリーの可視性が Visible に設定されている場合、組織内のすべてのユーザーは、マーキングインターフェースでカテゴリーとそのマーキングの存在を確認することができます。ユーザーがマーキングの権限を満たさない場合、マーキングやカテゴリーの存在を確認することはできません。
マーキングカテゴリーの可視性が Hidden に設定されている場合、このカテゴリーとそのマーキングの存在は機密情報と見なされます。Hidden カテゴリーは、明示的に Category Viewer 権限が付与されていないすべてのユーザーから見えなくすることができます。
マーキングカテゴリーは、以下の可視性ルールを確保します：
- 可視性は、カテゴリーとそのすべてのマーキングの集合に対して定義され、マーキングごとに割り当てることはできません。
- マーキングへのアクセス権を持つすべてのユーザーは、カテゴリーとそのカテゴリー内のすべてのマーキングの存在を確認することができます。これらのユーザーは "カテゴリーの閲覧者" として API の結果には表示されませんが、その存在は想定されています。
- マーキングに役割（管理者、削除者）を持つすべてのユーザーは、カテゴリーとそのカテゴリー内のすべてのマーキングの存在を確認することができます。これらのユーザーは "カテゴリーの閲覧者" として API の結果には表示されませんが、その存在は想定されています。
- カテゴリーに役割（管理者、閲覧者）を持つすべてのユーザーは、カテゴリーとそのカテゴリー内のすべてのマーキングの存在を確認することができます。
カテゴリーの権限
ユーザーは、マーキングカテゴリーとどのようにやり取りするかを指定する権限を持つことができます：
- カテゴリー管理者： カテゴリーの説明と権限を変更し、カテゴリー内にマーキングを作成することができるユーザー。
- カテゴリー閲覧者： カテゴリーの存在とその内部のすべてのマーキングを確認することができるユーザー。
組織によるカテゴリーの制限
マーキングカテゴリーは、一つの組織に制限することができ、その組織外のユーザーに対しては決して可視化されません。
マーキングの作成
必要な権限を持つ管理者ユーザーであれば、プラットフォーム設定のマーキングセクションで 新しいマーキング ボタンをクリックして、新しいマーキングを作成することができます。その後、マーキングの管理者とマーキングの削除者を指定することができます。
Foundry 内からマーキングを作成すると、自動的に "権限の管理" アクセスが付与されます。新しいマーキングにこれらの権限を異なるチームメンバーに割り当てることを推奨します。そうすることで、すべてのマーキングの権限を一人の管理者に依存することを避けることができます。
マーキングの権限
新しいマーキングを作成するとき、異なるレベルのアクセス権と権限を持つユーザーとグループを追加することができます：
- 権限の管理： このマーキング、そのメンバー、そのメタデータを管理する権限を付与することができるユーザー。
- マーキングの適用： このマーキングをプロジェクトとリソースに適用することができるユーザー。この権限はマーキングの適用能力のみを付与し、マーキングのメンバーシップは付与しません。
- マーキングの削除： このマーキングをプロジェクトとリソースから削除することができるユーザー。マーキングを削除するには、ユーザーはマーキングを適用する能力も持っている必要があります。
- メンバー： このマーキングによって保護されたリソースとプロジェクトを確認することができるユーザー。
上記のすべての権限は独立しており、ユーザーに自動的にメンバーシップ権限を提供しません。たとえば、ユーザーがマーキングに "マーキングの適用" と "権限の管理" のアクセスを持っていても、そのマーキングのメンバーであるとは限りません。その場合、ユーザーはプラットフォーム内のファイル、フォルダー、プロジェクトにマーキングを適用し、マーキングを管理することができますが、そのマーキングでマークされたデータを見ることはできません。
ユーザーへのマーキングの付与
マーキングはユーザーに全体的に付与されます。ユーザーにマーキングが付与されると、そのユーザーはそのマーキングによって制限された種類のコンテンツを閲覧する権限が全体的に付与されます。しかし、マーキングへのアクセスがあるということは、そのユーザーがそのマーキングのすべてのコンテンツを閲覧できるという意味ではありません。ユーザーはそれでもその役割を通じて権限を持つ必要があります。ユーザーは、マーキングに追加の管理権限を持っていない限り、他のユーザーにマーキングへのアクセスを付与することはできません。
マーキングの権限がグループに付与されると、そのグループの新しいユーザーはその権限を継承します。
マーキングの適用
次の2つの条件を満たす場合、リソース、フォルダー、またはプロジェクトにマーキングを適用することができます：
- マーキングに "マーキングの適用" の権限を持っていること。
- "リソースのマーキングを更新する" の権限を持っていること。これはデフォルトで所有者の役割に含まれています。
マーキングの適用は重要な操作であり、ダウンストリームのユーザーを制限する可能性があります。既存のパイプラインにマーキングを適用する前に、以下の手順を踏むことを推奨します：
- マーキングの存在を確認する： 適用したいマーキングが作成されていることを確認するか、またはマーキングを作成する。
- パイプラインのブランチを作成する： これらの手順を続けるための新しいブランチを作成します。既存のパイプラインにマーキングを適用するとき、パイプラインのある点でマーキングの伝播を停止する必要があります（例えば、個人情報をクリーニングしたデータセットがエンドユーザーに開放できるようにするため）。
stop_propagating構文は保護されたブランチでのみ効果を発揮します。新しいブランチが保護されたブランチにマージされるまで、継承したマーキングをstop_propagatingすることはできません。 - データフローを確認する： データフローグラフ上のノードの完全なセットを持っていることを確認し、潜在的な変更のダウンストリームへの影響を理解します。
- パイプライン内のトランザクションタイプを確認する： マーキングはトランザクションレベルでデータ依存関係に沿って伝播します。インクリメンタルに構築されたデータセット（タイプ APPEND または UPDATE）は特別な対応が必要です。具体的には、APPEND トランザクションで構築されたデータセットの最新のビューは、古い上流のトランザクションからの依存性を含む一方、SNAPSHOT トランザクション（Foundry のデフォルト）で構築されたデータセットの最新のビューは、上流のデータセットからの最新のトランザクションにのみ依存します。SNAPSHOT トランザクションだけを扱っている場合は、これらの手順を続けることができます。そうでない場合は、APPEND と UPDATE トランザクション および マーキングの伝播方法 に関するドキュメンテーションを参照してください。
- マーキングの継承を停止するタイミングを決定する： パイプラインのデータフローのノードを探索し、行とデータプレビューを確認して、マーキングを適用したい場合にマーキングの継承を停止するポイントを決定します。たとえば、パイプラインで DOB（生年月日）行が削除された後に、PII マーキングの伝播を停止したいかもしれません。この手順中にシミュレーションモードを有効にして、マーキングがどこにどのように伝播するかを確認することができます。
- 予防的に必要な変換の変更を行う： ブランチ内で、特定した変換に
stop_propagating構文を追加します。stop_propagating構文が有効になるように、ブランチを保護されたブランチにマージします。 - 本番パイプラインを構築する： 下流のすべての変換を構築します。これには、
stop_propagatingを設定したノードを含みます。stop_propagating構文を持つデータセットと、stop_propagating変換の下流のすべてのデータセットを再構築する必要があります。下流にAPPENDまたはUPDATEデータセットがある場合は、このガイド を確認してください。 - シミュレートされた変更を確認する： パイプラインの最終的なシミュレートされたデータフローを確認します。新しいマーキングの適用によって、
stop_propagating変換の下流のデータセットが影響を受けないことを確認します。伝播されたマーキングを受け取らないデータセットに機密行が表示されないことを確認します。 - マーキングを適用する： 上記の手順により、マーキングの適用によって機密データを含むデータセットが保護され、マーキングが必要以上に伝播しないことが確認されます。この時点で、マーキングを適用することができます。
マーキングを適用した後でミスを発見した場合（例えば、大量のユーザーが閲覧できるはずのデータを見ることができないなど）、マーキングを削除すれば即座に伝播が停止します。その後、問題の原因を特定するために、再度シミュレートされた変更を確認する必要があります。
以下の例では、DOB行が削除され、オントロジー passengers データセットに stop_propagating 構文が適用されました。PIIマーキングは原始的な passenger データセットに適用され、クリーンな passenger データセットにのみ伝播しました。
マーキングの削除
より多くのユーザーにアクセスを許可したり、変換したデータを再分類したり、派生したリソースを継承したマーキングから分離したりするために、マーキングを削除することができます。
例えば、データセットAにはPIIが含まれており、マーキングがデータセットAから派生したデータセットを保護しているとします。データセットBがデータセットAから派生しているが、PIIが削除されている場合、データのより広範な利用を可能にするために、データセットBからマーキングを削除したいと思うかもしれません。
マーキングを削除するには、特定のマーキングを適用し、削除する権限が必要です。また、マーキングを変更できる役割を通じて、対象となるリソースへのアクセスが必要です。デフォルトの役割を使用している場合、このアクセスは Owner 役割で利用できます。
直接適用されたマーキングの削除
ファイル、フォルダー、またはプロジェクトから直接マーキングを削除すると、マーキングを継承した依存関係からすぐにマーキングが削除されます。マーキングを直接削除した後に、下流のデータセットを再構築する必要はありません。マーキングはすぐに下流で削除されます。以下の概念的な例では、直接適用された PII マーキングを示しています。
継承されたマーキングの削除
制限付きビューとデータセットから継承されたマーキングのみを削除することができます。依存ファイルを派生させる際に制限付きのコンテンツが削除または難読化された場合、派生したファイルからマーキングを削除することができます。継承されたマーキングが削除されると、下流のデータセットはマーキングによる保護がなくなり、より多くのユーザーがデータセットにアクセスできるようになるかもしれません。ユーザーは、上流のデータを見るためにマーキングへのアクセスが依然として必要です。
制限付きビューから継承されたマーキングを削除するには、制限付きビューを編集し、適切なマーキングの隣にある Stop Propagating をクリックします。
データセットから継承されたマーキングを削除するには、変換コードに stop_propagating 構文を使用します。継承されたマーキングを安全に削除するには、以下の手順を守ってください：
- 機密データを削除する場所を決定する: パイプライン全体をレビューし、機密データを削除する場所を決定します。
- ブランチを作成する:
stop_propagating構文は、保護されていて、Require security approvals before merging設定が有効になっているブランチでのみ効果を発揮します。ブランチが保護されたブランチにマージされるまで、継承されたマーキングをstop_propagatingすることはできません。 - 必要な変換の変更を行う: 選択したデータセットで、機密データを削除し、変換に
stop_propagating構文を追加します。 - ブランチをビルドする: ブランチをビルドし、出力データセットで機密データが削除されていることを確認します。
stop_propagating構文は、保護されていないブランチにいるため、この時点ではマーキングが継承されるのを防ぐことはできません。 - ブランチをマージする: 機密データが削除されたことを確認した後、安全に変換の変更をメインブランチにマージすることができます。ブランチをマージすると、
stop_propagating構文が適用されます。 - メインブランチと下流の依存関係をビルドする:
stop-propagatingの変更は、パイプライン内の最新のトランザクションに沿って伝播する必要があります。これには、stop_propagating構文があるデータセットと、stop_propagating変換の下流にあるすべてのデータセットを再構築する必要があります。すべてのデータセットがビルドされたら、継承されたマーキングが削除されたことを確認します。下流にAPPENDまたはUPDATEトランザクションがある場合は、追加のドキュメンテーションを確認してください。
以下の概念的な例では、DOB行が削除され、オントロジーのpassengers データセットに stop_propagating 構文が適用され、PIIマーキングがこれ以上下流に伝播しないようにしました。
マーキングの継承を調査する
マーキングは、ファイルの階層構造とデータの依存関係の両方に沿って継承されます。これは、ファイル自体がマーキングによって保護されているか、またはデータ自体がマーキングによって保護されていることを意味します。マーキングがどこから来ているのかを調査する必要があることがあります。マーキングがどのように継承されるかを概念的に理解することは重要です。
ファイルのマーキングは、それを選択して右側の詳細ペインを開き、Access requirements > Markings セクションを見ることで確認できます。
ファイル階層の調査
ファイルのマーキングを確認するには、それを選択して右側の詳細ペインを開きます。Access requirements > Markings セクションを見てください。
ファイル階層に沿って継承されるマーキングは、フォルダーサイドカーのアイコンで示されます。
マーキングがファイル階層のどの点で発生するかを確認するために、Foundryワークスペース内のファイル階層をたどってください。以下の概念的な例では、元のファイルからファイル階層をたどり、flight data フォルダーがPIIマーキングを持っていることを確認し、ファイルの詳細ペインにフォルダーサイドカーのアイコンが表示されていることが確認できます。
データ依存関係の調査
マーキングがどのデータ依存関係から発生するかを確認するために、Data Lineageアプリケーションを使用するか、データセットファイルを開いた後にCompareタブを使用することができます。
マーキングはファイルレベルで適用されますが、トランザクションに沿って伝播するため、データセットにマーキングが導入された時期を確認するのは難しいことがあります。まず、Data Lineageアプリケーションを確認して、マーキングがどこから発生したかを確認することをお勧めします。
Data Lineageアプリケーションを使用して、Legend > Permissions type: Data access in datasets をクリックします。次に、データフローのすべての上流ノードを展開し、データフローをたどってマーキングがどこから発生したかを確認します。データ依存関係に沿って継承されるマーキングは、データフローサイドカーのアイコンで示されます。
以下の例のスクリーンショットでは、employee_sensitive データセットがPIIマーキングの起源となっています：
マーキングが具体的にいつ導入されたかについて完全に把握するためには、関心のあるファイルのトランザクションを見る必要があります。特定のファイルを開き、Compare タブに移動して、ブランチとタイムスタンプの異なるトランザクションを比較し、時間経過とともにどのようなセキュリティとロジックの変更があったかを学びます。
トランザクション比較ツールの下部には、ロジックとセキュリティの変更が両方表示されており、マーキングが具体的にいつ導入されたか、または削除されたかを確認するのに役立ちます。以下の例では、新たな入力が追加され、PIIマーキングが導入されたことが示されています：
以下の例では、ロジックから入力がドロップされたため、PIIマーキングが削除されています：
