セキュリティ演習：カスタムロールとデータアクセスを設定する

この演習の結論

• カスタムロールは「事前定義ロールをトップロールだけコピー → 不要な職務ロールを外す」で作るのが基本です
• ロールを付けただけでは BU のデータは扱えません。ロールごとに BU のデータアクセスを付けて、初めて請求書を入力できます
• 確認は Simulate Navigator（メニュー）、Compare Roles（元ロールとの差分）、実ユーザーでのサインイン（データ）の 3 点で行います

この演習で身につくこと

• Security Console で事前定義ロールの階層を読み、コピーして職務ロールを調整できる
• ユーザーにカスタムロールを割り当て、Manage Data Access for Users で BU を付与できる
• 付与結果を、メニュー・ロール差分・実データの 3 つの観点で確認できる
• 環境がなくても、要件からロール設計シートとデータアクセス設計表を作れる

用語は セキュリティの基本、設計の考え方は セキュリティ設計 を参照してください。

前提・準備（Fusion 環境あり／なし）

シナリオ（架空）

サンプル商事株式会社では、JP01 営業単位の AP 担当者（ユーザー名 AP_TANAKA）に、請求書の入力・照会・インポートだけを任せます。分析（OTBI）は AP マネージャーが行うため、担当者には不要とします。

項目	内容
元にするロール	Accounts Payable Specialist（事前定義のジョブロール）
作るロール	SMP JP AP 請求書入力担当（コード SMP_JP_AP_INVOICE_ENTRY_JOB）
外す職務ロール	Payables Invoice Transaction Analysis、Spend Transaction Analysis
データアクセス	Business Unit = JP01 営業単位

Fusion 環境ありルート

• IT Security Manager ロールを持つユーザー（Security Console の操作）
• IT Security Manager か Application Implementation Consultant を持つユーザー（Manage Data Access for Users の操作）
• テスト用ユーザー AP_TANAKA（演習用に作成済みとする）と、JP01 営業単位（架空。自社のテスト用 BU に読み替える）
• Excel（Manage Data Access for Users のスプレッドシート用。環境準備は ADFdi を参照）
• 本番環境では行わず、テスト環境を使います

環境なしルート（机上演習）

下の「机上演習」で、要件からロール設計シートを表で作ります。Accounts Payable Specialist の階層は次の表（26D 時点の Security Reference for Financials による。リリースで変わるため実機では Role Hierarchy で確認）を使います。

直接継承している主な職務ロール	内容の目安
Payables Invoice Creation	画面・スプレッドシートでの請求書作成
Payables Invoice Inquiry	請求書の照会
Import Payable Invoice Batch	請求書のバッチ取込
Upload data for Payables Import	取込用データのアップロード
Download data for Payables Export	データのダウンロード
Supplier Profile Inquiry	仕入先情報の照会
Payables Invoice Transaction Analysis	請求書の分析（OTBI）
Spend Transaction Analysis	支出の分析（OTBI）
Financials Folder Reporting、Procurement Folder Reporting	レポートフォルダへのアクセス
Transaction Entry with Budgetary Control	予算統制付きの取引入力
Party Taxpayer Identifier PII	納税者番号などの個人情報の参照

手順

ステップ1 元のロールを確認する

1. ナビゲータ > Tools > Security Console > Roles タブ
2. 「Accounts Payable Specialist」を検索して選択します。階層は表形式で表示されます（Show Graph でグラフ表示）
3. 直接継承している職務ロールを確認します。外したい 2 つが直下にあることを確認します
4. 検索結果のメニューから Simulate Navigator を実行し、Show Access Granted で表示されるメニューを記録します（後で比較するため）

ステップ2 トップロールだけをコピーする

1. 検索結果の Accounts Payable Specialist の下矢印 > Copy Role
2. Copy Options で Copy top role を選び、Copy Role
3. Copy Role: Basic Information で次を入力します
   • Role Name：SMP JP AP 請求書入力担当
   • Role Code：SMP_JP_AP_INVOICE_ENTRY_JOB（ORA_ で始めない）
   • Description：Accounts Payable Specialist をコピーし、分析系の職務ロールを削除
4. Summary and Impact Report を確認し、Submit and Close
5. Administration タブ > Role Status サブタブで、状態が Complete になるまで待ちます

ステップ3 職務ロールを調整する

1. Roles タブでコピーしたロールを検索し、下矢印 > Edit Role
2. Basic Information はそのまま Next（ロールコードは変更できません）
3. Function Security Policies はそのまま Next
4. Data Security Policies は変更せず Next
5. Role Hierarchy で Payables Invoice Transaction Analysis を選び、Delete アイコン > OK。Spend Transaction Analysis も同様に削除します
6. Summary and Impact Report で、削除した 2 つのロールと影響を確認し、Save and Close

ステップ4 ユーザーにロールを割り当てる

公式手順では、ロールの付与の後にデータアクセスを付与します。先にユーザーへロールを割り当てます。

1. Security Console > Users タブで AP_TANAKA を検索し、ユーザー名のリンクを開く
2. Edit > Add Role
3. 「SMP JP AP 請求書入力担当」を検索し、Add Role Membership > Done
4. Save and Close

本番運用では、手作業の割当ではなくロール・マッピング（Manage Role Provisioning Rules）で自動付与します（発展課題1）。

ステップ5 BU のデータアクセスを付与する

1. 設定および保守（Setup and Maintenance）でタスク Manage Data Access for Users を検索して開く
2. Users without Data Access を選択
3. Security Context で Business Unit を選び、Role に「SMP JP AP 請求書入力担当」を指定して Search
4. AP_TANAKA が表示されたら Authorize Data Access > OK でスプレッドシートを開く
5. AP_TANAKA の行の Security Context Value に「JP01 営業単位」を入力
6. スプレッドシートの Upload > Upload Options で OK
7. Upload 列が Successful になったことを確認し、Manage Data Access for Users で Users with Data Access を選んで結果を確認

ステップ6 結果を確認する

1. メニュー：Security Console でカスタムロールの Simulate Navigator を実行し、ステップ1 の記録と比べます
2. ロール差分：Roles タブの Compare Roles で、First Role に Accounts Payable Specialist、Second Role にカスタムロールを指定し、Filter Criteria を Inherited roles、Show を「Only in first role」にして Compare。外した 2 つの職務ロールと、その配下だけにあったロール（例：Business Intelligence Authoring）が表示されれば想定どおりです
3. データ：AP_TANAKA でサインインし、請求書の作成画面で Business Unit の選択肢に JP01 営業単位だけが表示されることを確認します
4. 記録：スケジュール済プロセス User and Role Access Audit Report を、Report Type = Role name、Role Code = カスタムロールで実行し、出力（CSV）を設計書の証跡にします

確認ポイント

• カスタムロールのコードが ORA_ で始まっていない
• Role Status が Complete になってから編集した
• Compare Roles で、元ロールとの差分が外した 2 つの職務ロール（とその配下）だけ
• AP_TANAKA にロールが付き、Business Unit = JP01 営業単位のデータアクセスがある
• AP_TANAKA の請求書作成画面で JP01 以外の BU が選べない
• 証跡（User and Role Access Audit Report の出力）を保存した

机上演習（環境なしルート）

課題

サンプル商事株式会社の AP 業務について、次の要件からロール設計シートを作ってください。

1. BU は JP01 営業単位と JP02 営業単位の 2 つ
2. 担当者 A（AP_TANAKA）：JP01 の請求書の入力・照会・取込だけ。分析は不要
3. 担当者 B（AP_KATO）：JP01 と JP02 の請求書の入力・照会・取込。分析は不要
4. AP マネージャー（AP_MGR_ITO）：両 BU の請求書・支払の管理と分析
5. 外部の OCR システムから、統合ユーザーで JP01 の請求書を一括取込する
6. 請求書を入力する人は、支払を実行しない（職務分掌）

作るもの：

• 表1 ロール設計シート（ロールコード／元ロール／コピー方式／変更内容）
• 表2 データアクセス設計表（ユーザー／ロール／セキュリティ・コンテキスト／値）
• 表3 SoD チェック（ユーザー／持つ職務／衝突の有無）

解答例を表示

表1 ロール設計シート

ロールコード	元ロール	コピー方式	変更内容
SMP_JP_AP_INVOICE_ENTRY_JOB	Accounts Payable Specialist	Copy top role	分析系の 2 職務ロールを削除
SMP_JP_AP_MANAGER_JOB	Accounts Payable Manager	Copy top role	変更なし（命名の統一と将来の調整用）
SMP_JP_INT_AP_IMPORT_JOB	新規作成	—	請求書の取込に必要な権限だけ（候補：Upload data for Payables Import、Import Payable Invoice Batch。実際に必要な権限はテストで確定）

表2 データアクセス設計表

ユーザー	ロール	セキュリティ・コンテキスト	値
AP_TANAKA	SMP_JP_AP_INVOICE_ENTRY_JOB	Business Unit	JP01 営業単位
AP_KATO	SMP_JP_AP_INVOICE_ENTRY_JOB	Business Unit	JP01 営業単位
AP_KATO	SMP_JP_AP_INVOICE_ENTRY_JOB	Business Unit	JP02 営業単位
AP_MGR_ITO	SMP_JP_AP_MANAGER_JOB	Business Unit	JP01 営業単位
AP_MGR_ITO	SMP_JP_AP_MANAGER_JOB	Business Unit	JP02 営業単位
INT_AP_OCR	SMP_JP_INT_AP_IMPORT_JOB	Business Unit	JP01 営業単位

表3 SoD チェック

ユーザー	持つ職務	衝突
AP_TANAKA、AP_KATO	請求書の入力・照会・取込	なし（支払の権限を持たない）
AP_MGR_ITO	請求書・支払の管理、分析	入力と支払の両方を持つ。承認と定期点検で補完するか、支払担当を別にする
INT_AP_OCR	請求書の取込	なし（画面操作や支払の権限を持たない）

解説

• 担当者 A と B は同じロールで、違いはデータアクセス（BU）だけです。ロールを BU ごとに分けないのがポイントです
• 担当者のロールに支払関連の職務がないことは、元ロールの階層と Compare Roles で確認します
• AP マネージャーの衝突は、ロールを分けるか、統制（承認・点検）で補うかを業務側と決めて設計書に残します
• 統合ユーザーは人と分け、専用のユーザー・カテゴリでパスワード方針を管理します

よくあるエラーと対処

症状	原因と対処
コピーしたロールを編集できない	コピー処理が未完了。Administration タブ > Role Status で Complete を待つ
職務ロールを削除できない	間接的に継承しているロール。直接継承している親のロールを外すか、親を編集する
権限を追加するとエラーになる	その権限は集約権限に含まれている。Role Hierarchy で集約権限ごと追加する
Manage Data Access for Users でユーザーが出ない	ユーザーにロールが付いていない、または同期前。ロール付与を確認し、Retrieve Latest LDAP Changes を実行する
アップロードが Failed になる	スプレッドシートの値を直して再アップロード。ログでエラー内容を確認する
BU の選択肢が空	データアクセスが別のロールに付いている。View Data Access でロールと BU の組合せを確認する

発展課題

1. ロール・マッピング「JP01 AP 担当」（例：Department = 経理部、Job = AP 担当）を Manage Role Provisioning Rules で作り、Autoprovision Roles for All Users を実行して自動付与を確認する
2. User and Role Access Audit Report を Data Security Policies 付きで実行し、カスタムロールのデータセキュリティ・ポリシー（BU 条件）を読み解く
3. 四半期アップデートを想定し、Compare Roles で元ロールとの差分を確認する手順書を作る（セキュリティ設計 の「四半期アップデートで事前定義ロールが変わる影響」）
4. 特定の部門の費用勘定を読取専用にしたい要件を、セグメント値セキュリティで設計する（規則用ロール・業務機能・セキュリティ・コンテキスト・アクセスレベル）
5. AP 請求書の承認ルートを 承認ワークフロー の考え方で設計する

公式ドキュメント

• Copy Job Role and Abstract Role
• Edit Job Role and Abstract Role
• Assign Data Access to Users
• Compare Roles
• Accounts Payable Specialist (Job Role)
• Payables Security（Securing ERP）

関連ページ

• セキュリティの基本（ロールベースアクセス制御）
• セキュリティ設計（カスタムロール・データアクセス・監査）
• 請求書（取込・照合・検証・保留・承認）
• FBDI 演習：AP 請求書を一括取込する
• ハンズオン演習の進め方と環境準備