棚卸しとは
棚卸しとは、権限セットで定義したあるべき権限と、接続先サービスにある実際の権限を突き合わせて、その差を確認する機能です。
確認する場所は「棚卸し」画面です。サイドメニューの「棚卸し」をクリックして開きます。
「棚卸し」が表示されるのは、YESODアカウントコントロールを契約していて、ロールに「アカウント棚卸機能」があるときです。ロールによる違いは権限の考え方を参照してください。
なぜ必要か
あるべき権限と実際の権限が合っているかは、接続先サービスの管理画面を1つずつ開いても確認できます。ただしサービスの数だけ作業が増え、見落としも起きます。
棚卸しでは、この突き合わせの結果を1つの画面で確認できます。権限が合っているかどうかは、割当項目ごとにステータスとして表示されます。
どの権限セットも扱っていない権限も、ステータスとして表示されます。権限セットのルールが足りていない箇所を見つける手がかりになります。
画面に出るステータス
画面に出るステータスは次の5つです。判定は割当項目の単位で行われます。
ただし、判定の結果として付くのは最初の4つだけです。 5つ目の「例外」は、担当者が印を付けたときにだけ表示されます。
| ステータス | 表している状態 |
|---|---|
| 正常 | 権限セットで期待されていて、実際に付与されている |
| 要確認 | 権限セットで期待されていないのに、付与されている（権限セットが扱っている割当項目に限ります） |
| 不足 | 権限セットで期待されているのに、付与されていない |
| ルール未設定 | どの権限セットも扱っていない割当項目が付与されている |
| 例外 | 「要確認」または「不足」に、例外の印を付けた |
判定に使われるのは、次の3つの条件だけです。
- その割当項目が、権限セットのルールから期待されているか
- その割当項目が、接続先サービスで実際に付与されているか
- その割当項目を、いずれかの権限セットが扱っているか
権限セットのルールが何を期待するかは権限セットとはを参照してください。
5つのステータスの色は、「フィルター」の「ステータス」でチップを選ぶと確かめられます。「フィルター」で絞り込むを参照してください。
違反として扱われるのは2つ
5つのステータスのうち、YESODが違反として扱うのは「要確認」と「不足」の2つです。
「正常」と「ルール未設定」は違反ではありません。とくに「ルール未設定」は、ルールの無い権限が付与されている状態を示します。違反ではありませんが、ルールを追加すべきかどうかは確認してください。
例外は違反に重ねる印
「例外」は、判定によって付くステータスではありません。「要確認」または「不足」に対して、担当者が例外の印を付けた状態です。自動では付きません。
例外の印を付けられるのは「要確認」と「不足」だけです。「正常」と「ルール未設定」には付けられません。
例外の印を付けると、表示は「例外」に変わります。元のステータスが「要確認」だったのか「不足」だったのかは、画面から見えなくなります。 印を付ける前に、どちらだったかを確認してください。
さらに、権限を直す操作のボタン（「作成」「削除」「差し替え」「付与」「剥奪」）も表示されなくなります。権限を直すには、先に例外を解除します。
違反が続いているあいだは、違反ステータスを更新しても例外の印は残ります。計算のたびに付け直す必要はありません。
ただし違反そのものが解消されると、例外の印も残りません。 そのあとで同じ違反が再び発生しても、例外の印が付いていない状態から始まります。
印を付ける手順と解除する手順は違反を例外として扱うを参照してください。
違反ステータスは更新するまで最新にならない
違反の計算は、画面を開くたびに行われるわけではありません。「違反ステータスを更新」をクリックして、計算し直します。
計算がいつ終わったかは「違反ステータス最終更新」として表示されます。一度も計算していないテナントでは「違反ステータス未取得」と表示されます。
計算には次の制約があります。
- 対象はテナント全体です。業務アセットやメンバーで範囲を選べません。
- 時点を指定できません。 実行した日の状態で評価されます。将来の異動予定は考慮されません。
- 実際の権限は、YESODに取り込み済みのアカウント情報から計算されます。接続先サービスへその場で問い合わせるわけではありません。
このため、接続先サービスで権限を変更したときは、2つの操作が要ります。まず業務アセットの同期でアカウント情報を取り込み、そのあとで「違反ステータスを更新」をクリックします。同期していなければ、更新しても接続先サービス側の変更は反映されません。
同期の位置づけはあるべき権限と実際の権限を合わせる仕組みを参照してください。
権限セットや接続先サービスの権限を変更しても、「違反ステータスを更新」をクリックするまでステータスは変わりません。画面のステータスが最新であるとは限りません。
差を直す方法
「要確認」と「不足」は、棚卸し画面から直せます。権限を付与または剥奪すると、その1回分の操作がタスクになります。
「ルール未設定」も「剥奪」で外せます。 違反ではありませんが、権限セットが扱っていない権限を残すかどうかは判断が要ります。ただし外せる割当種別は限られます。
タスクの考え方はタスクとはを参照してください。ステータスごとの操作の手順は権限のズレを直すを参照してください。
注意すべき点
- ステータスは「違反ステータスを更新」をクリックした時点の結果です。 権限を変更した直後の状態は反映されていません。
- 接続先サービス側の変更は、同期でアカウント情報を取り込むまで計算に入りません。 更新だけでは反映されません。
- 例外の印を付けると、元のステータスと、権限を直す操作のボタンが画面から見えなくなります。
- 「ルール未設定」は違反ではありません。権限セットが扱っていない権限であることを示します。