ユーザロールの定義

• Full Access: フルアクセスロールは、リソース、ポリシー、ルールの作成、編集、削除、ユーザとロールの管理など、Trend Cloud Oneサービスの管理においてユーザに可能なすべての権限を付与します。
• Auditor: 監査役の役割は、ユーザにTrend Cloud Oneサービス内のすべての情報を閲覧する能力を与えますが、パスワード、連絡先情報、ダッシュボードのレイアウト設定などの個人設定を除いて、変更を加えることはできません。
• Workload Security Read Only: このロールはAuditorロールと同じ設定を持っていますが、このロールは変更できません。新しいTrend Cloud OneアカウントのRead OnlyロールはWorkload Securityでこのロールにマッピングされます。
• Deep Security Migration: Deep SecurityソフトウェアがWorkload Securityへの移行に使用するロール。詳細については、Deep Securityヘルプを参照してください。
• Trend Vision One: Trend Vision Oneで使用されるロール。

カスタム Workload Security 権限

[新規] () または [プロパティ] () をクリックすると、[役割のプロパティ] が表示され、6つのタブがあります: [一般, コンピュータの権限, ポリシーの権限, ユーザ権限, その他の権限,] と [割り当て対象]。

役割を追加または編集する

1. Trend Cloud One - Endpoint & Workload Securityページから、[管理] → [ユーザ管理] → [役割]をクリックします。
2. [新規]をクリックして新しいロールを追加するか、既存のロールをダブルクリックしてその設定を編集します。
3. 次を含む、役割の一般的なプロパティを指定します。
   • [名前:] は、[役割] ページおよびユーザ追加時に利用可能な役割の一覧に表示される役割の名前です。
   • [説明]役割のオプションの説明。
   • [アクセスの種類:] このロールを持つユーザがDeep Security ManagerユーザインターフェースまたはWeb Service APIにアクセスできるかどうかを選択します。
4. [コンピュータの権限] タブを使用して、役割内のユーザに対する閲覧、編集、削除、アラート解除、およびイベントタグ付けの権限を設定します。これらの権限は、すべてのコンピュータおよびコンピュータグループに適用することも、特定のコンピュータにのみ制限することもできます。
5. アクセスを制限するには、[Selected Computers]を選択し、この役割のユーザがアクセスできるコンピュータグループとコンピュータを選択します。これらの権限制限は、ユーザのWorkload Security内のコンピュータへのアクセスだけでなく、イベントやアラートを含む表示される情報にも影響します。さらに、メール通知はユーザがアクセス権を持つデータに関連する場合のみ送信されます。
   
   次に示す4つの基本オプションを使用できます。
   • 選択されていないコンピュータおよびデータ (イベントやレポートなど) を表示: この役割のユーザが編集、削除、またはアラートの解除権限を制限されている場合でも、選択することで他のコンピュータに関する情報を表示することはできますが、変更することはできません。
   • [コンピュータに関連していないイベントおよびアラートを表示:] このオプションを設定すると、この役割のユーザがコンピュータに関連しない情報 (例えば、ユーザがロックアウトされた、ファイアウォールルールが作成された、IPリストが削除されたなどのシステムイベント) を表示できるようになります。
     前の2つのオプションは、ユーザがアクセスできるデータに影響します。ユーザによるコンピュータへの変更は制限されていますが、上記の2つの設定では、アクセス権を持たないコンピュータに関する情報をユーザに表示するかどうかを制御します。これには、それらのコンピュータに関連するメール通知の受信も含まれます。
   • [選択したグループ内に新しいコンピュータを作成:] このオプションを設定すると、この役割のユーザがアクセス権を持つコンピュータグループで新しいコンピュータを作成できるようになります。
   • [選択したグループ内にサブグループを追加または削除:] このオプションを設定すると、この役割のユーザがアクセス可能なコンピュータグループ内でサブグループを作成および削除できるようになります。
   [詳細な権限]セクションで次の機能も有効にできます。
   • [コンピュータファイルをインポート:] このロールのユーザに、Workload Security の[コンピュータエクスポートオプションを使用して作成されたファイルを使用してコンピュータをインポートすることを許可します。
   • [ディレクトリを追加、削除、および同期:] この役割のユーザに、Microsoft Active DirectoryのようなLDAPベースのディレクトリを使用して管理されているコンピュータの追加、削除、および同期を許可します。
   • VMware vCenterを追加、削除、および同期: この役割のユーザにVMware vCenterの追加、削除、同期を許可します。
6. [ポリシーの権限] タブを使用して、役割内のユーザに対する閲覧、編集、および削除の権限を割り当てます。これらの権限はすべてのポリシーに適用することも、特定のポリシーに制限することもできます。アクセスを制限したい場合は、[Selected Policies] をクリックし、この役割のユーザがアクセスできるポリシーを選択してください。
   
   子ポリシーを持つポリシーに対する権限を許可すると、ユーザは子ポリシーに対する権限も自動的に取得します。
   次に示す2つの基本オプションを使用できます。
   • [選択されていないポリシーを表示:] この役割のユーザが編集または削除権限を制限されている場合でも、この選択を行うことで他のポリシーに関する情報を表示することは許可できますが、変更することはできません。
   • [ポリシーの作成:] このオプションを設定して、この役割のユーザが新しいポリシーを作成できるようにします。
   これを[詳細な権限]セクションで有効にすることもできます。
   • [ポリシーのインポートを許可:] このロールのユーザに、[ポリシー] タブの Workload Security [エクスポート] オプションで作成されたファイルを使用してポリシーをインポートすることを許可します。
7. 自身のパスワードと連絡先情報のみを変更タブのオプションでは、管理者アカウントの権限を定義できます。
   
   • [自身のパスワードと連絡先情報のみを変更:]ロールのユーザは、自分のパスワードと連絡先情報のみを変更できます。
   • [同等以下のアクセス権を持つユーザを作成および管理:]この役割のユーザは、自分よりも権限が高くないユーザを作成および管理できます。この役割のユーザよりも権限が高いユーザが1つでも存在する場合、この役割のユーザはそれらのユーザを作成または管理することはできません。
   • [すべての役割およびユーザを完全に管理:]はこの役割のユーザに制限なしでユーザや役割を作成および編集する能力を与えます。このオプションを使用する際は注意してください: これを役割に割り当てると、制限された権限を持つユーザに、Workload Securityのすべての側面に完全に制限なしでアクセスできるユーザとして作成しサインインする能力を与える可能性があります。
   • [カスタム:] ユーザがユーザやロールを表示、作成、編集、削除する能力をさらに制限するには、[カスタム] を選択し、[Custom Rights] セクションのオプションを使用します。[同等以下の権限を持つユーザのみを操作] オプションが選択されている場合、特定のユーザに対して一部のオプションが制限されることがあります。
     [同等以下の権限を持つユーザのみを操作]オプションは、このロールのユーザの権限を制限します。彼らは自分と同等またはそれ以下の権限を持つユーザに対してのみ変更を加えることができます。このロールのユーザは、ロールの作成、編集、削除を行うことはできません。このオプションを選択すると、[Custom Rights]セクションのいくつかのオプションにも制限がかかります。
     • [新規ユーザを作成できます:] は同等またはそれ以下の権限を持つユーザのみ作成できます。
     • [ユーザプロパティを編集できます:] は同等またはそれ以下の権限を持つユーザのみ編集 (またはパスワードの設定やリセット) が可能です。
     • [ユーザを削除できます:] 同等またはそれ以下の権限を持つユーザのみ削除できます。
8. [その他の権限]タブでは、役割の権限を制限して特定のWorkload Security機能、場合によってはその機能に対する特定の操作のみをアクセス可能にすることができます。例えば、管理者チームがあり、互いの作業を誤って上書きしないようにしたい場合に便利です。デフォルトでは、各機能に対して役割は[View Only]または[非表示]です。完全な制御またはカスタマイズされたアクセスを許可するには、リストから[カスタム]を選択してください。
   
9. [割り当て対象]タブには、この役割が割り当てられたユーザのリストが表示されます。役割が正しく機能しているかをテストしたい場合は、新しく作成したユーザとしてサインインし、機能を確認してください。

Full Access、Auditor、および新規の各役割の初期設定