セキュリティの基本（ロールベースアクセス制御）

Fusion のアクセス権は「誰が（ユーザー）」「何を（ロール）」「どのデータに（セキュリティ・コンテキスト）」の 3 点で決まります。ロールを付けても、BU や元帳へのデータアクセスがなければ業務データは扱えません
ロールは「ジョブロール／抽象ロール／職務ロール／集約権限」の階層です。ユーザーに付けるのはジョブロールと抽象ロールだけです
事前定義ロールのコードは ORA_ で始まり、直接は編集できません。合わないときはコピーしてカスタムロールにします（セキュリティ設計）
ロールの付与は Security Console（手動）かロール・プロビジョニング・ルール（自動）、データアクセスの付与は Manage Data Access for Users で行います
ERP のみの導入でも、調達エージェントや購買依頼者の BU のように「人（ワーカー）レコード」を前提とする機能があります。ユーザーの作り方は最初に決めます

全体像

アクセス制御の 3 要素

Oracle は ERP のセキュリティを「誰が（who）・何を（what）・どのデータに対して（which data）できるか」の組合せで説明しています。

要素	決めるもの	主な設定場所
誰が	ユーザー・アカウント	Security Console、Manage Users タスク
何を	ロール（機能セキュリティ＋データセキュリティ・ポリシー）	Security Console
どのデータに	セキュリティ・コンテキスト（BU・データアクセスセット等）	Manage Data Access for Users タスク

例：サンプル商事株式会社の AP 担当者（架空）に Accounts Payable Specialist ロールと「JP01 営業単位」のデータアクセスを与えると、JP01 の請求書だけを入力・照会できます。ロールだけでは、どの BU の請求書も扱えません。

ロールの種類

種類	何を表すか	例（事前定義）	ユーザーへの直接付与
ジョブロール（Job role）	組織の中の仕事	General Accountant、Accounts Payable Specialist	できる
抽象ロール（Abstract role）	仕事に依存しない立場	Enterprise Resource Planning Self Service User	できる
職務ロール（Duty role）	仕事の中のタスク群	Payables Invoice Creation、Account Balance Review	できない
集約権限（Aggregate privilege）	1 つの機能権限＋関連データポリシー	Supplier Profile Viewing Using REST Service	できない

職務ロールはジョブロール・抽象ロールに継承させて使います。コピー・編集できます
集約権限は事前定義のみです。作成・編集・コピーはできず、1 つのかたまりとして階層に組み込みます
データロール（Data role）は HCM 専用の仕組みで、ERP では使いません

ロールの継承

ロールは入れ子の階層です。ユーザーは付与されたロールの配下にある権限をすべて継承します。

ユーザー → ジョブロール／抽象ロール → 職務ロール → 職務ロール・集約権限 → 機能セキュリティ権限・データセキュリティ・ポリシー

例えば Accounts Payable Specialist は、Payables Invoice Creation（請求書の作成）、Payables Invoice Inquiry（照会）、Supplier Profile Inquiry（仕入先の照会）などの職務ロールを継承しています。正確な階層は「Security Reference for Financials」の各ロールのページで確認できます。

機能セキュリティとデータセキュリティ

区分	制御するもの	例
機能セキュリティ権限（function security privilege）	どの画面・タスク・API を使えるか	Create Payables Invoice（`AP_CREATE_PAYABLES_INVOICE_PRIV`）
データセキュリティ・ポリシー（data security policy）	どの業務オブジェクトのどの行に何ができるか	「認可された BU の標準請求書に対する Manage Payables Invoice」

データセキュリティ・ポリシーは 4 つの部品でできています。

ポリシーを持つロール（例：Payables Invoice Creation）
対象の業務オブジェクト（例：Payables Standard Invoice）
行を絞る条件（例：ユーザーが認可されている BU のもの）
許可する操作＝データ権限（例：Manage Payables Invoice (Data)）

3 の「認可されている BU」を個々のユーザーに与えるのが、後述のデータアクセス付与です。ロール（ポリシー）とデータアクセスはセットで初めて効きます。

事前定義ロールと ORA_ コード

Oracle が提供する事前定義ロール（セキュリティ・リファレンス実装）は、ロールコードが ORA_ で始まります。ORA_ で始まるロールは編集できません。公式ドキュメントに記載のあるコードの例は次のとおりです。

ロール名	ロールコード	用途
Application Implementation Consultant	`ORA_ASM_APPLICATION_IMPLEMENTATION_CONSULTANT_JOB`	すべての設定タスク
Financial Application Administrator	`ORA_FUN_FINANCIAL_APPLICATION_ADMINISTRATOR_JOB`	財務の設定タスク（運用期の設定管理）
IT Security Manager	`ORA_FND_IT_SECURITY_MANAGER_JOB`	Security Console・ユーザー・ロール管理
Authenticated User	`ORA_FND_AUTHENTICATED_USER_ABSTRACT`	サインインした全ユーザー
Payroll Manager（HCM の例）	`ORA_PAY_PAYROLL_MANAGER_JOB`	給与管理

ジョブロールは末尾が _JOB、抽象ロールは _ABSTRACT になっています。ほかのロールのコードは Security Console のロール検索結果で確認できます。

主な ERP の事前定義ジョブロール（名前）は次のとおりです。

GL：General Accounting Manager、General Accountant、Financial Analyst
AP：Accounts Payable Specialist、Accounts Payable Manager
調達：Buyer、Category Manager、Procurement Manager、Procurement Application Administrator
購買依頼：Procurement Requester、Procurement Preparer、Advanced Procurement Requester
SCM：Warehouse Manager、Inventory Manager、Cost Accountant、Receiving Agent、Shipping Manager、Order Manager

Security Console

Security Console は、ロール・ユーザー・パスワード方針などを管理する画面です。

ナビゲーション：ナビゲータ > Tools > Security Console
必要なロール：IT Security Manager（職務ロール Security Management と Security Reporting を継承）

タブ	できること
Roles	ロールの作成・コピー・編集・比較、階層の可視化、Simulate Navigator
Users	ユーザー・アカウントの作成・編集・ロック・削除、ロール付与、パスワードのリセット
Analytics	ロールカテゴリ別の統計、データリソースごとのポリシー・ロール・ユーザー
User Categories	ユーザーのグループ化、カテゴリ別のパスワード方針・通知
Certificates	PGP・X.509 証明書の生成・インポート・エクスポート
Administration	ユーザー名の生成規則、ロールコピー時の接頭辞・接尾辞、ロールコピーの状況
Single Sign-On	SAML による SSO の設定（OCI IAM アイデンティティ・ドメインへ移行前の環境）

Security Console は裏側で LDAP（アイデンティティ・ストア）と同期しています。次の 3 つのスケジュール済プロセス（Scheduled Processes）を押さえてください。

プロセス	役割	実行タイミング
Retrieve Latest LDAP Changes	LDAP の内容をアプリケーションのセキュリティ表へ反映	導入開始前に 1 回、リリース更新後、不整合が疑われるとき
Import User and Role Application Security Data	ユーザー・ロール・権限・ポリシーを取り込む	毎日（Send Pending LDAP Requests の後）
Send Pending LDAP Requests	ユーザー作成・ロール付与の要求を LDAP へ送る	毎日のスケジュール実行（一括登録の後も）

設定・実装の手順

手順1：実装ユーザーを作成する

導入初期は、設定作業をする「実装ユーザー」を Security Console で作ります。IT Security Manager ロールでサインインして操作します。

ナビゲータ > Tools > Security Console > Users タブ > Add User Account
Associated Person Type：ワーカー（人）レコードに紐付けるなら Worker、紐付けないなら None
User Information：User Category（パスワード方針とユーザー名規則が決まる）、氏名、パスワードを入力
Roles セクションで Add Role → ロールを検索 → Add Role Membership
必要なら Add Auto-Provisioned Roles（ロール・マッピングで対象になるロールを追加）
Save and Close

実装ユーザーに付ける代表的なロールは Application Implementation Consultant（設定タスク全般）、IT Security Manager（セキュリティ）、Financial Application Administrator（財務設定）です。Application Implementation Consultant はすべての保護対象オブジェクトを参照できる強いロールなので、本番環境では担当者と期間を絞ってください。

手順2：業務ユーザーを作成する

業務で使うユーザー（アプリケーション・ユーザー）は、人レコードと一緒に作るのが基本です。Security Console で作るアカウントは実装ユーザー向けと位置づけられています。

方法	用途	人レコード
Manage Users タスク（Create User）	1 件ずつ作成	作成される
HCM Data Loader（Data Exchange 作業領域の Import and Load Data）	一括登録	作成される
Hire an Employee	HCM を導入している場合	HCM 側で作成

ユーザー・アカウントを自動で作成・維持するかは、User and Role Provisioning のオプション（Manage Enterprise HCM Information タスク）で決めます
別の ID 管理製品でユーザーとロールを配布する場合は、このオプションで自動作成を止めます
一括登録の前にロール・マッピングを作っておきます。対象のマッピングがないとロールなしのアカウントになり、Send Pending LDAP Requests の完了時に停止（suspend）されます

手順3：ロール・プロビジョニング・ルールで自動付与する

ロール・マッピング（ロール・プロビジョニング・ルール）は「この条件のアサインメントを持つ人にこのロールを付ける」というルールです。

設定および保守（Setup and Maintenance）> 機能領域 Users and Security > タスク Manage Role Provisioning Rules
Manage Role Mappings ページの検索結果で Create
Conditions に条件を入力（例：Department、Job、Location、System Person Type、HR Assignment Status）
Associated Roles で Add Row → Role Name でロールを選択
付与方法を選択して Save and Close
スケジュール済プロセス Autoprovision Roles for All Users を実行（マッピングの作成・変更後と、人レコードの一括登録後）

付与方法	意味
Autoprovision	条件を満たす人に自動付与（既定で選択済み）
Requestable	条件を満たす人が、他のユーザーにこのロールを付与できる
Self-requestable	条件を満たす人が、自分用にこのロールを要求できる

設定例（架空）：

マッピング「Employee」：System Person Type = Employee、HR Assignment Status = Active → Enterprise Resource Planning Self Service User（Autoprovision）
マッピング「JP01 AP 担当」：Department = 経理部、Job = AP 担当 → AP 担当者用のカスタムロール（Autoprovision）

手順4：データアクセスを付与する

ジョブロールごとに、使ってよい BU・元帳などを付与します。

IT Security Manager か Application Implementation Consultant でサインイン
設定および保守 > タスク Manage Data Access for Users を検索して開く
Users without Data Access（未付与のユーザー）か Users with Data Access（追加付与）を選択
Security Context（例：Business Unit）を選び、Role などで検索
Authorize Data Access でスプレッドシート（Excel）を開く
行ごとに Security Context と Security Context Value（例：JP01 営業単位）を入力
スプレッドシートで Upload し、Upload 列の状態と Manage Data Access for Users ページで結果を確認

主なセキュリティ・コンテキストは製品ごとに次のとおりです。

製品	セキュリティ・コンテキスト
Financials	Business Unit、Data Access Set、Ledger、Asset Book、Control Budget、Intercompany Organization、Reference Data Set、Legal Entity
SCM	Inventory Organization、Cost Organization、Manufacturing Plant、Reference Data Set
Procurement	Business Unit
PPM	Project Organization Classification

モジュール固有の付与方法も覚えておきます。

GL：データアクセスセット（Data Access Set）で元帳・元帳セット・第一貸借一致セグメント値（会社など）へのアクセスを与えます。種類は Full Ledger と Primary Balancing Segment Value、アクセスレベルは読取専用か読取・書込です。元帳を作成すると、その元帳のデータアクセスセット（読取・書込）が自動で作られます。ユーザーへの付与は Manage Data Access Set Data Access for Users タスクです
調達：購買担当者などは Manage Procurement Agents タスクで「調達エージェント」として登録します。調達 BU、操作（Manage Purchase Orders など）、他のエージェントの文書へのアクセスレベル（None／View／Modify／Full）を設定します。エージェント登録には従業員としての登録が前提です
購買依頼：Procurement Requester は主たるアサインメントの BU に暗黙でアクセスできます。ほかの BU は Manage Business Unit Data Access for Users で明示的に付与します
SCM：在庫組織・原価組織などを、ロールごとにセキュリティ・コンテキストとして付与します

作業割当の属性からデータアクセスを自動付与するデータ・プロビジョニング・ルールもあります。対象のコンテキストや設定方法はリリースにより異なるため、公式ドキュメントで確認してください。

手順5：付与結果を確認する

Security Console の Roles または Users で対象を選び、メニューから Simulate Navigator を実行します。Show Access Granted で、実際に表示されるメニューだけを確認できます
メニュー項目を選んで View Roles That Grant Access を使うと、その画面に必要なロールを逆引きできます
スケジュール済プロセス User Role Membership Report で、ユーザーごとのロール付与を CSV で一覧にできます

ERP のみ導入時のユーザー管理の考え方

HCM を導入しない場合でも、次の点を先に決めておくと手戻りが減ります。

人レコードを作るか：Manage Users や HCM Data Loader で作ると人レコードが作られます。調達エージェントの登録、購買依頼者の BU（主たるアサインメントで決まる）、条件付きのロール・マッピングは人レコードを前提にしています
自己サービスのロール：HCM の Employee・Contingent Worker・Line Manager の代わりに、ERP 用の抽象ロール Enterprise Resource Planning Self Service User を使えます。スケジュール済プロセスの管理、経費精算書の作成などが含まれます。手順3の「Employee」マッピングで自動付与するのが基本形です
ユーザーの供給元：社内の Microsoft Active Directory と同期するなら Bridge for Microsoft Active Directory（AD グループとロールの対応付けが可能）、別の ID 管理製品から配布するなら自動作成を止める、と方式を 1 つに決めます
SSO：社内 IdP と SAML で連携する場合の考え方はセキュリティ設計を参照してください

コード例

Manage Data Access for Users のスプレッドシートには、ユーザー名・ロール・セキュリティ・コンテキスト・コンテキスト値の 4 つが必要です。設計段階で同じ列の表を作っておくと、そのまま転記できます。

User Name,Role,Security Context,Security Context Value
AP_TANAKA,Accounts Payable Specialist,Business Unit,JP01 営業単位
AP_TANAKA,Accounts Payable Specialist,Business Unit,JP02 営業単位
GL_SUZUKI,General Accountant,Data Access Set,サンプル商事 JP 元帳
INV_SATO,Warehouse Manager,Inventory Organization,JP1 東京倉庫

ロール・マッピングも、移行前に表で設計してレビューします。

Mapping Name,Condition,Role,Autoprovision
Employee,System Person Type=Employee; HR Assignment Status=Active,Enterprise Resource Planning Self Service User,Y
JP01 AP 担当,Department=経理部; Job=AP 担当,JP AP 担当者（カスタム）,Y

落とし穴とベストプラクティス

業務ユーザーへのロール付与は、手作業よりロール・マッピングを基本にします。異動時の付け外しが自動になり、監査でもルールで説明できます
必要な権限だけを付けます。不要な権限の付与は、サブスクリプションの利用（ライセンス）にも影響します
Import User and Role Application Security Data は毎日動かします。Security Console の分析画面や監査レポートはこのデータを使います
データアクセスは「ロール × コンテキスト」の組合せで付与されます。同じユーザーでもロールごとに付与が必要です

試験対策ポイント

GL 模擬テスト：データアクセスセット（Full Ledger／Primary Balancing Segment Value、読取専用／読取・書込）、元帳作成時の自動作成、セグメント値セキュリティとの組合せ
AP 模擬テスト：請求書・支払が BU 単位で保護され、Manage Data Access for Users での明示的な付与が必要なこと
調達模擬テスト：調達エージェント（Manage Procurement Agents）の操作とアクセスレベル、購買依頼者の BU が主たるアサインメントで決まること、Procurement Preparer
在庫模擬テスト：在庫組織などのセキュリティ・コンテキスト
覚える用語：4 つのロール種類、集約権限はコピー不可、ORA_ は編集不可、Manage Role Provisioning Rules、Autoprovision Roles for All Users、Manage Data Access for Users、Retrieve Latest LDAP Changes