ユーザーアカウントと権限管理
ダウンロード
フォーカスモード
フォントサイズ
概要
WeDataはTencent Cloud CAMユーザー管理体系に基づき、ユーザーがメインアカウントまたはサブアカウントを使用してTencent Cloud公式コンソールからログインすることをサポートし、SAML 2.0およびOIDCに基づくSSO（Single Sign On）シングルサインオンもサポートします。WeData製品内部には、RBACに基づく独立したユーザーロールと権限制御体系があり、Tencent CloudアカウントにはCAMポリシーとWeDataメンバーロールの両方を付与する必要があります。
WeDataユーザー管理は全体として3つの層に分かれています：Tencent Cloudアカウント、WeDataプロジェクトレベルメンバー、WeDataプラットフォームレベルメンバーです。それぞれTencent Cloud CAMポリシー、プロジェクトレベルロール、プラットフォームレベルロールを通じてユーザーアクセス権限制御を行います。以下の表に示す通りです：
アカウントタイプ | 権限管理 | 権限制御範囲 | ポリシー/ロール名 | 権限説明 |
Tencentアカウント | Tencent Cloud CAMポリシー | WeData コンソールメニューには、プロジェクト管理、実行リソースグループ管理、ユーザー管理などが含まれます。 | QcloudWeDataFullAccess | WeData コンソールメニューに対する全読み書きアクセス権限を持ちます。 |
| | | QcloudWeDataReadOnlyAccess | WeData コンソールメニューに対する読み取り専用アクセス権限を持ちます。 |
| | | カスタムポリシー | ポリシー詳細に基づいてインターフェースレベルのアクセス制御を行います。 |
WeDataプロジェクト内メンバー | WeDataプロジェクトレベルロール | WeData プロジェクトレベルのメニューには、Data Integration、オフライン開発などが含まれます。 | プロジェクト管理者 | 所属プロジェクトへのフルアクセス権限を持ち、プロジェクトの共通設定、プロジェクトメンバー管理などの操作を担当します。 |
| | | データエンジニア | 所属プロジェクトのデータ開発関連権限を持ちます。 |
| | | 運用保守エンジニア | 所属プロジェクトのデータ運用保守関連権限を持ちます。 |
| | | 一般メンバー | 所属プロジェクトへの読み取り専用アクセス権限を持ちます。 |
| | | カスタムロール | カスタム権限リストに基づいてアクセス制御を行います。 |
WeDataプラットフォームレベルのメンバー | WeDataプラットフォームレベルロール | WeData グローバルメニューには、データ資産、データセキュリティなどが含まれます。 | 資産管理者 | データ資産モジュールへのフルアクセス権限、およびその他のグローバルメニューへの読み取り専用アクセス権限を持ちます。 |
| | | セキュリティ管理者 | プラットフォームのデータセキュリティ管理を担当します。 |
Tencent Cloudアカウント
WeDataを使用する前に、CAMアクセス管理またはTCOを通じて組織メンバーを管理する必要があります。
メインアカウント：CAMでは、メインアカウントはデフォルトですべてのクラウドリソースの帰属および利用計量課金の基本主体として機能し、組織内のサブアカウントの作成、認可、管理などの操作を担当し、デフォルトでアカウント配下のTencent Cloudのすべてのリソースを所有します。
サブアカウント：メインアカウントによって作成、統一管理、および支払いが行われます。CAMでは、サブアカウントはデフォルトでリソースを所有せず、所属するメインアカウントによる認可が必要です。認可後、サブアカウントは付与された権限範囲内でメインアカウント配下のリソースを管理します。
ロール：CAMのロールは一種の仮想ユーザーとして理解できます。サブユーザー、コラボレーター、またはメッセージ受信者といったエンティティユーザーとは異なります。ロールには同様にポリシーを付与できます。ロールは任意のTencent Cloudアカウントによって引き受けられ、特定のアカウントに一意にバインドされるものではありません。ロールには関連付けられた永続的な証明書（パスワードまたはアクセスキー）がありません。メインアカウントはロールを申請する際にのみ永続的な証明書を使用する必要があります。ユーザーがロールを引き受ける際、メインアカウントは一時的な証明書を動的に作成し、ユーザーが対応するアクセスを行う際にその一時的な証明書を提供します。ユーザーはコンソールとAPIの2つの方法でロールを使用できます。
ユーザーはTencent Cloudコンソールからログインできます。また、SSOによるシングルサインオンも可能です。
WeDataのアクセス権限を付与する場合は、CAM上でサブアカウントまたはロールにQcloudWeDataFullAccessまたはQcloudWeDataReadOnlyAccessポリシーを関連付ける必要があります。
WeData ユーザー
WeDataユーザーはプロジェクトレベルメンバーとプラットフォームレベルメンバーに分けられます。どちらのタイプのメンバーも、Tencent Cloudコンソールからログインするメインアカウント、サブアカウント、およびサブアカウントが引き受けるロールをサポートします。また、ロールSSOでログインするアカウントもサポートします（ユーザーSSOログインシナリオにはまだ対応していません）。
1. CAMの通常のメインアカウントまたはサブアカウントでログインすると、WeDataページに具体的なメインアカウントとサブアカウントが表示されます。
2. CAMのロール引き受けでログインすると、WeDataページに具体的なロール名が表示されます。
3. ロールSSOでログインすると、WeDataページに具体的なロール名が表示されます。
4. Microsoft EntraIDロールSSOでログインすると、WeDataページにロール名が正常に表示され、具体的なEntraIDも表示できます（許可リストの設定が必要です）。詳細についてはEntraIDでのログイン方法を参照してください。
上記のシナリオは混合ログインをサポートします。例えば、EntraIDロールSSOでログインし、コンソールからWeDataを使用します。同時に、CAMサブアカウントを通じてOpenAPIおよびTerraformインターフェースを呼び出します。
説明：
1. サブアカウントのロール引き受け、ロールSSOログインのシナリオでは、メール、電話、SMS情報を取得できないため、これらのアラート方法はサポートされません。
2. メインアカウントでEntraID許可リストを有効にしている場合、現在はDLCストレージコンピューティングエンジンのみバインドできます。
WeData プロジェクトレベルメンバー
Tencent CloudアカウントでWeDataプロジェクトにアクセスするには、そのアカウントをWeDataのプロジェクトレベルユーザーとして追加し、プロジェクトレベルロールを関連付ける必要があります。
Tencent Cloudメインアカウントは、デフォルトでWeDataの全プロジェクトのプロジェクト管理者となり、ユーザーによる手動操作は不要です。
Tencent Cloudサブアカウントは、デフォルトではWeDataのプロジェクト内メンバーではありません。プロジェクトを作成するか、プロジェクト管理者が手動で既存のプロジェクトに追加する必要があります。
WeData プラットフォームレベルメンバー
ユーザーがプロジェクトを作成するか、既存のプロジェクトに参加すると、自動的にWeDataのプラットフォームレベルユーザーになり、デフォルトのロールは「なし」になります。
プラットフォームレベルのメニューへのアクセス権限を付与する場合は、手動でロールを「資産管理者」などに追加できます。
ユーザーと権限管理の操作フロー
Tencent Cloudアカウントを登録する
Tencent Cloudメインアカウントを作成する
登録：Tencent Cloudメインアカウントをまだ登録したことがない場合は、Tencent Cloud公式サイトのトップページにアクセスし、ページ右上の無料登録をクリックします。詳細については登録ガイドを参照してください。
実名認証：Tencent Cloudメインアカウントは実名認証を完了した後にのみ、Tencent Cloudの製品を購入および使用できます。詳細については認証ガイドを参照してください。
Tencent Cloudサブアカウントを作成する
1. メインアカウントを使用してTencent CloudCAMコンソールにログインし、左側のナビゲーションでユーザー > ユーザーリストを選択します。
2. 「ユーザーリスト」ページでユーザー作成をクリックすると、サブアカウントを作成できます。サブアカウントにはサブユーザーとコラボレーターが含まれます。
3. 作成が成功すると、CAMはそのサブアカウントにログイン情報を生成します。ユーザー詳細を表示をクリックした後、セキュリティを選択してパスワードをリセットできます。
説明：
複数人での共同開発が必要な場合は、他のコラボレーションメンバーにCAMサブアカウントを作成してください。
サブアカウントにWeData製品へのアクセス権限を付与する
1. メインアカウントを使用してTencent CloudCAMコンソールにログインし、左側のナビゲーションでユーザー > ユーザーリストを選択します。
2. 「ユーザーリスト」ページでサブアカウントを選択し、操作列の権限付与をクリックします。QcloudWeDataFullAccessポリシーまたはQcloudWeDataReadOnlyAccessポリシーを検索して選択します。
3. 確定をクリックすると、サブアカウントにWeDataアクセス権限を付与できます。
4. サブアカウントのログインに必要な情報をコラボレーションメンバーに通知します：ログイン入口、メインアカウントID、およびログインユーザー名とパスワード。
WeDataプロジェクトレベルメンバーになる
プロジェクトの作成
説明：
WeDataメインアカウント管理者のみがプロジェクトを作成する権限を持ち、作成が成功すると自動的にそのプロジェクトのプロジェクト管理者になります。
1. WeDataメインアカウント管理者アカウントを使用してWeDataコンソールにログインし、プロジェクトリストページに移動し、プロジェクト作成をクリックします。
2. プロジェクトパラメータを構成します。
2.1 作成方法には「作成してプロジェクトを構成」と「プロジェクトのみ作成」の2種類があります。
2.2 作成画面で各パラメータを設定します。パラメータの説明は以下の表の通りです：
カテゴリー | パラメータ | 説明 | |
作成方法 | 作成タイプ | | 「创建并配置项目」と「仅创建项目」の2つのプロジェクト作成方法を選択できます。 |
基本情報 | プロジェクトID | | プロジェクトの英語IDは、リージョン内で一意です。アルファベットで始まり、アルファベット、数字、アンダースコアを含めることができ、20文字以内です。 |
| プロジェクト名称 | | プロジェクトの中国語表示名は、リージョン内で一意です。アルファベット、中国語で始まり、アルファベット、中国語、数字、アンダースコアを含めることができます。 |
| 説明 | | 作成したスペースについて簡単に説明します。 |
エンジンタイプの選択 | EMR | | |
| DLC | | |
| クラウドデータウェアハウス TCHouse-P | | |
| クラウドデータウェアハウス TCHouse-X | | |
| クラウドデータウェアハウス TCHouse-D | | MySQL互換性を備え、高スループット同時実行、フルマネージドで高可用性のデータウェアハウスであり、効率的なリアルタイムOLAP分析をサポートします。Tencent Cloud TCHouse-Dコンソールで有効化できます。 |
| Setats（Oceanus） | | |
ストレージ・コンピューティングエンジンの設定 | エンジンリージョン | | 計算エンジンインスタンスが存在するリージョンを選択します。WeDataでは、異なるタイプの計算エンジンインスタンスを同じリージョンに配置する必要があります。 |
| EMR | クラスタタイプ | EMR on CVMとEMR on TKEの2種類のクラスタタイプを選択できます。 |
| | クラスタ名 | 現在のメインアカウントで、選択したリージョン内で利用可能なEMRクラスタを1つ選択します。利用可能なクラスタがない場合は、インスタンスを購入できます。 |
| | コンポーネント情報 | EMRクラスタを選択すると、EMRクラスタに含まれるコンポーネント情報が自動的に取得されます。 |
| | Yarnリソースキュー | EMRクラスタのYarnリソースキューから1つまたは複数を選択します。 |
| DLC | DLCデータエンジン | 現在のメインアカウントで、選択したリージョン内で利用可能なDLCコンピューティングリソースから1つ選択します。現在、標準エンジンとSuperSQLエンジンの2種類がサポートされています。 |
| | データベース名 | DLC関連タスクでデータベースを指定しない場合、デフォルトでこのデータベースを使用してデータにアクセスします。 |
| | 接続性テスト | WeDataサービスがこのエンジンリソースに接続できるかどうかをテストします。 |
| TCHouse-P | TCHouse-Pバージョン | TCHouse-P1.0またはTCHouse-P2.0バージョンを選択できます。 |
| | クラスタ名 | このアカウントで選択したリージョンにすでに購入済みのTCHouse-Pクラスタの名前です。 |
| | ユーザー名 | TCHouse-Pクラスタへの接続に使用するユーザー名です。 |
| | パスワード | TCHouse-Pクラスタへの接続に使用するパスワードです。 |
| | 接続性テスト | このユーザー名とパスワードでクラスタに接続できるかどうかをテストします。接続テストに合格すると、プロジェクトを作成できます（接続テストに合格しない場合は、WeDataがクラスタが存在するネットワークファイアウォールによってブロックされている可能性があります。TCHouse-Pクラスタ許可リストの追加を参照してください）。 |
| TCHouse-X | クラスタ名 | このアカウントで選択したリージョンにすでに購入済みのTCHouse-Xクラスタの名前です。 |
| | データベース名 | データベース名を指定します。 |
| | ユーザー名 | TCHouse-Xクラスタへの接続に使用するユーザー名です。 |
| | パスワード | TCHouse-Xクラスタへの接続に使用するパスワードです。 |
| | 接続性テスト | このユーザー名とパスワードでクラスタに接続できるかどうかをテストします。接続テストに合格すると、プロジェクトを作成できます。 |
| TCHouse-D | クラスタ名 | このアカウントで選択したリージョンにすでに購入済みのTCHouse-Dクラスタの名前です。 |
| | データベース名 | データベース名を指定します。 |
| | ユーザー名 | TCHouse-Dクラスタへの接続に使用するユーザー名です。 |
| | パスワード | TCHouse-Dクラスタへの接続に使用するパスワードです。 |
| | 接続性テスト | このユーザー名とパスワードでクラスタに接続できるかどうかをテストします。接続テストに合格すると、プロジェクトを作成できます。 |
| Setats（Oceanus） | クラスタ名 | Setatsクラスタを選択します。 |
| | ワークスペース | ワークスペースを選択します。 |
実行リソースの設定 | スケジューリングリソース | スケジューリングリソース | スケジューリングリソースは、主にデータ開発タスク（SQLタスク、shellタスクなど）を定期的にスケジューリングするために使用されます。 |
| | リソースの関連付け | |
| 統合リソース | 統合リソース | 統合リソースグループは、主にデータ統合タスクを実行します。 |
| | リソースの関連付け | |
3. 作成が成功すると、そのサブアカウントは自動的にプロジェクトのプロジェクト管理者になります。
既存プロジェクトに追加する
1. プロジェクト管理者アカウントを使用してWeDataコンソールにログインし、プロジェクトリストに移動し、プロジェクトを選択してプロジェクト管理モジュールに移動します。
2. メンバーとロール管理メニューを選択し、サブアカウントをプロジェクトメンバーとして追加し、そのサブアカウントにプロジェクトレベルのロールを割り当てます。
3. ロール管理をクリックすると、WeDataプロジェクトレベルのロールの権限リストを表示できます。
WeDataプラットフォームレベルメンバーになる
自動追加
サブアカウントがプロジェクトを作成または参加すると、自動的にWeDataのプラットフォームレベルユーザーになり、メンバーロールはデフォルトで「なし」になります。
手動追加
1. メインアカウントまたはWeDataの全読み書きアクセス権限を持つサブアカウントを使用してWeDataコンソールにログインし、左側のナビゲーションでユーザー管理 > メンバー管理を選択します。
2. メンバー管理リストで、追加をクリックします。
3. ユーザー追加画面に移動し、CAMのサブユーザーをWeDataのユーザーとして追加します。追加が成功したユーザーのロールはデフォルトで「なし」になります。
4. このサブユーザーにプロジェクトの作成、実行リソースグループの購入、ユーザー管理などの権限を付与する場合は、編集ボタンをクリックします。
ロール追加画面に移動し、そのメンバーロールを変更します。
5. ロール管理をクリックすると、WeDataグローバルレベルのロールの権限リストを表示でき、カスタムプラットフォームロールを新規作成できます。
フィードバック