ワークフローリネージでAction送信権限をグラフ上から診断

Palantir Foundryは、ワークフローリネージのグラフから利用者のAction送信権限を診断し、オブジェクト間のセキュリティポリシー一致を確認できる機能を追加しました。

要点

• Ontology permissionsのカラーモード、またはActionのSelection detailsからDebug permissionsを開けます。
• 対象利用者がAction Typeを閲覧できるか、送信条件を満たすか、何が不足するかを同じパネルで確認できます。
• 選択したオブジェクトと同一または一部一致する細粒度ポリシーを持つオブジェクトをグラフ上で強調できます。
• 診断結果は問題の説明を助けますが、権限変更の妥当性や最小権限の承認は別途必要です。

今回の更新で変わること

ワークフローリネージは、データやOntologyの関係をグラフで追うだけでなく、「特定の利用者がなぜActionを送信できないのか」を同じ画面で調べられるようになりました。Ontology permissionsのカラーモードでDebug permissionsを選ぶか、対象ActionのSelection detailsから左側パネルを開きます。Check action submissionで利用者を指定すると、その人がAction Type自体を閲覧できるか、設定された送信条件を満たすか、どの条件が不足しているかを表示します。

従来、権限問題では、利用者の所属、ロール、オブジェクト権限、Actionの送信条件を複数画面や担当者間で確認する必要がありました。グラフ上の対象と利用者を固定して不足条件を示せることで、「見えるが送信できない」「一部のオブジェクトだけ失敗する」といった問い合わせを切り分けやすくなります。運用担当は権限を広く追加する前に、どの条件だけが欠けているかを説明できます。

さらにSelection detailsのセキュリティポリシーから、選択オブジェクトの細粒度ポリシーを確認し、Highlight matching actionsで同じまたは一部一致するポリシーを持つオブジェクトを強調できます。似た資産で挙動が違う理由や、ポリシーの適用範囲を視覚的に調べる用途に向きます。ただし、一部一致は同じアクセス結果を意味しません。診断画面を根拠に権限を追加する際は、対象Actionが変更するデータ、送信条件の業務上の意味、監査ログ、期限付きアクセスを確認する必要があります。見える化は最小権限の判断を支援しますが、自動的に安全な修正を選ぶ機能ではありません。

対象になりそうなユーザー・チーム

Foundryのプラットフォーム管理者、OntologyとActionのビルダー、権限問い合わせを受けるサポート、セキュリティと監査担当に関係します。

今すぐ対応が必要か

既存の権限を変える更新ではありません。Action送信失敗の調査手順へ新しいパネルを組み込み、診断結果をチケットへ記録する方法を決めると効果があります。

結局、この更新をどう見るべきか

複雑な権限問題をグラフの文脈内で説明しやすくする運用改善です。最小権限を崩さず問い合わせを解決するための診断手段として使うのが適切です。