Campaign での権限の評価方法

ユーザがタスクを実行するかオブジェクトへのアクセスを試みた場合、Campaign は以下のステップを実行します。

1.	グローバルセキュリティポリシーの中で、このユーザが属するすべてのグループと役割を識別します。ユーザは、1 つまたは複数の役割に属することができ、役割に属さないこともできます。オブジェクトを所有しているユーザは、所有者役割に属します。オブジェクトが存在するフォルダを所有するユーザは、フォルダ所有者 (Folder Owner) 役割に属します。ユーザがその他の役割に属するのは、特にその役割に (直接、またはその役割に割り当てられたグループに属しているために) 割り当てられた場合だけです。

2.	アクセスされようとしているオブジェクトにカスタム定義ポリシーが (存在する場合) 割り当てられているかどうかを識別します。割り当てられていれば、システムはそのカスタムポリシー内でユーザが属するすべてのグループと役割を識別します。

3.	ステップ 1 と 2 からの結果に基づいて、ユーザの属するすべての役割の権限を集約します。この複合役割を使用して、システムは以下のようにアクションのための権限を評価します。

a.	このアクションについて、いずれかの役割のアクセス権が「拒否済み」の場合、ユーザはアクションの実行を許可されません。

b.	このアクションについて、どの役割のアクセス権も「拒否済み」でなければ、このアクションについて、いずれかの役割のアクセス権が「付与」であるかどうかを検査します。そうであれば、ユーザはアクションの実行を許可されます。

c.	a と b がどちらも真でない場合、ユーザはアクセス権を拒否されます。