はじめに
Oracle Analtyics Cloud（OAC）を多くのユーザーで利用する際に、一部のユーザーの権限を制限したいということがあるかもしれません。
例えば、特定のユーザー・グループにデータのダウンロード（エクスポート）を許可したくないというようなケースです。
そのようなことが可能かどうか検証してみました。
1. アプリケーション・ロールによる権限設定
特定のアプリケーション・ロールに対して、ワークブックのエクスポートを禁止したいと思います。
1.2 アプリケーション・ロールとは
そもそも、アプリケーション・ロールとはある役割（ロール）を持つユーザーの集合です。
OACで使用するユーザー・グループと思っていただいて間違いではありません。
様々な権限は、ユーザー個人ではなくアプリケーション・ロールに対して実施するのがオススメです。
1.3 権限設定
「コンソール」から「ユーザーとロール」をクリックします。
「権限」タブに移動すると、アプリケーション・ロールに割り当て可能な権限が一覧で表示されます。
例えば「データセットの作成と編集」権限をクリックすると、「DV Content Author」アプリケーション・ロールに割り当てられているのがわかります。
カスタムのアプリケーション・ロールを作成します。
「アプリケーション・ロール」タブに移動して、「アプリケーション・ロールの作成」をクリックします。
任意のアプリケーション・ロール名を入力し（空白を含めることはできません）、「作成」をクリックします。
作成したアプリケーション・ロールをクリックします。
「権限」タブに移動し、「権限の追加」をクリックします。
「ドキュメントのワークブックへのエクスポート」権限を追加します。
カスタムのアプリケーション・ロールに権限が追加されました。
1.4 ビルトインのアプリケーション・ロールを複製
ビルトインでいくつかのアプリケーション・ロールが設定されています。
最も基本となる「BI Consumer」に着目します。
ビルトインの各アプリケーション・ロールの関係性については、こちらのドキュメントに記載されています。
通常は「BI Consumer」アプリケーション・ロールを割り当てていないと、OACにログインできません。
ところが、このアプリケーション・ロールにはワークブックをエクスポートする権限があります。また、ビルトインのアプリケーション・ロールに対しては権限を編集することができません。
そこで、BI Consumerアプリケーション・ロールを複製し、複製したアプリケーション・ロールからエクスポート権限を除外します。
ユーザーには、複製したアプリケーション・ロールを割り当て、「BI Consumer」アプリケーション・ロールの割り当てを解除します。
「BI Consumer」アプリケーション・ロールをクリックします。
「権限」タブを見ると、エクスポート権限を保持していることがわかります。
「BI Consumer」アプリケーション・ロールの権限を新しいアプリケーション・ロールにコピーします。
結果的に「BI Consumer」を複製することになります。
新規に作成するアプリケーション・ロールの名前を入力し、「作成」をクリックします。
「BI Consumer2」が作成されました。
このアプリケーション・ロールをクリックします。
「BI Consumer2」はカスタムのアプリケーション・ロールなので、権限を編集できます。
「権限」タブに移動し「ドキュメントへのワークブックのエクスポート」権限を取り消します。
Identity Domainのグループをこのアプリケーション・ロールに割り当てました。
ワークブックを表示させたいけど、エクスポートを許可したくないユーザーをこのIdentity Domainグループに所属させておきます。
BI Consumerアプリケーション・ロールを直接的または間接的に割り当てないよう注意してください。
2. 動作確認
「BI Consumer2」アプリケーション・ロールに所属するユーザーでログインし、ワークブックを開いてみました。
エクスポートアイコンが表示されていないことがわかります。
エクスポートを許可したいユーザーは、最初に作成したエクスポート権限を保持しているアプリケーション・ロールにも所属させます。または、「BI Consumer2」ではなく、「BI Consumer」を割り当てます。
このようになります。
3. クラシックなダッシュボードへのアクセス
「BI Consumer 2」アプリケーション・ロールに所属するユーザーでクラシックホームを開こうとすると、権限不足で開くことができません。
これは、このユーザーに「BI Consumer」アプリケーション・ロールが割り当てられていないためです。
「BI Consumer」に割り当てられているダッシュボード閲覧に必要な権限が、「BI Consumer2」に割り当てられていないためです。
3.1 権限設定の変更
一旦、管理者ユーザーでOACにログインし直してクラシックホームの管理メニューを開き、「権限の管理」をクリックします。
必要な権限を「BI Consumer2」に割り当てていきます。
※下記は一例です。
ドキュメント