Section Accessは、アプリケーションのセキュリティを制御するために使用 されます。セキュリティテーブルを設定して、誰がどのフィールドを表示 するかを定義し、ユーザーがアプリケーションを開いた際に、権限で抑制 されたデータを非表示とすることができます。 ユーザーIDに基づいてデータ表示／非表示を制御しますが、Qlik Cloudでは、 メールアドレスを利用することもできるようになりました。 Qlik Cloud と Qlik Sense Enterprise Client-Managedとの違いや、Section Access を利用するためのヒントを解説いたします。

1. クリックテック・ジャパン株式
会社
阿部 智師
Qlik Tips
Section Access のアップデート
2023年7月25日

2. 2
2
2
2
2
2
Section Access とは
データセキュリティの管理
Section Accessは、アプリケーションのセキュリティを制御するために使用
されます。セキュリティテーブルを設定して、誰がどのフィールドを表示する
かを定義し、ユーザーがアプリケーションを開いた際に、権限で抑制された
データを非表示とすることができます。
目的
• ユーザー毎に、行レベルのアクセス制御を行い
たい
• ユーザー毎に、列レベルのアクセス制御を行い
たい
• ユーザー毎に、アプリへのアクセス制御を行い
たい
※ グループ毎にアクセス制御することも可能ですが、本日のセッションでは触れません。

3. 3
3
3
3
3
3
ロードスクリプトの記述方法
Section Access;
Section Application;
Section Accessテーブル
(セキュリティのテーブル)
を
定義するスクリプト
アプリのデータロード
を
定義するスクリプト
ID Sales
Person
Department Sales
Email
Sales
Target
Sales
Manager
REDUCTION
Sales Email RATING
ACCESS USER REDUCTION OMIT
※ ここに記
載した
フィールド
値の行のみ
表示できま
す。
※ ここに記載
したフィールド
値は表示できま
せん。
※ 同一名称
例えば、どちらも
Departmentとす
ることが可能
ACCESS
対応するユーザーに与えられるアクセス権を定義します。
ADMIN(アプリ内のすべてのデータにアクセス可能）、または
USER(セキュリティテーブルで指定されたデータのみアクセス可
能）を設定します。
USER
Qlik Sense ユーザーに対応する「USERID」を指定します。
OMIT
ユーザもしくはグループに対して利用不可とする列名を指定しま
す。
ワイルドカードを使用することができます。空にすることもでき
ます。

4. 4
4
4
4
4
4
行レベルのアクセス制御
REDUCTIONに設定されたフィールドに関連づけられた行のみ表示
ID Sales
Person
Department Sales Email Sales Target Sales
Manager
REDUCTION
1 小林 第一営業部 qlikuser74@xxx 100 高瀬 第一営業部
2 大田 第一営業部 qlikuser84@xxx 200 高瀬 第一営業部
3 柳 第二営業部 usera.qlik@xxx 150 平野 第二営業部
4 安西 第二営業部 userb.qlik@xxx 150 平野 第二営業部
ID Sales
Person
Department Sales Email Sales Target Sales
Manager
REDUCTION
1 小林 第一営業部 qlikuser74@xxx 100 高瀬 第一営業部
2 大田 第一営業部 qlikuser84@xxx 200 高瀬 第一営業部
ID Sales
Person
Department Sales Email Sales Target Sales
Manager
REDUCTION
3 柳 第二営業部 usera.qlik@xxx 150 平野 第二営業部
4 安西 第二営業部 userb.qlik@xxx 150 平野 第二営業部
ADMINが設定されているため、すべての項目が表示されます。
REDUCTIONに「第一営業部」が設定されているため、第一営業部の行のみ表示されます。
REDUCTIONに「第ニ営業部」が設定されているため、第ニ営業部の行のみ表示されます。

5. 5
5
5
5
5
5
列レベルのアクセス制御
OMITに設定されたフィールドを非表示
ID Sales
Person
Department Sales Email Sales Target Sales
Manager
Rating
1 小林 第一営業部 qlikuser74@xxx 100 高瀬 5
2 大田 第一営業部 qlikuser84@xxx 200 高瀬 4
3 柳 第二営業部 usera.qlik@xxx 150 平野 3
4 安西 第二営業部 userb.qlik@xxx 150 平野 4
ID Sales
Person
Department Sales Email Sales Target Sales
Manager
Rating
1 小林 第一営業部 qlikuser74@xxx 100 高瀬 5
2 大田 第一営業部 qlikuser84@xxx 200 高瀬 4
ID Sales
Person
Department Sales Email Sales Target Sales
Manager
Rating
3 柳 第二営業部 usera.qlik@xxx 150 平野
4 安西 第二営業部 userb.qlik@xxx 150 平野
ADMINが設定されているため、すべての項目が表示されます。
REDUCTIONに「第一営業部」が設定されていて、OMITに何も設定されていないので、第一営
業部のすべて列が表示されます。
REDUCTIONに「第ニ営業部」が設定されていて、OMITに「Rating」が設定されているので、
第ニ営業部のRatingを除いた列のみ表示されます。

6. 6
6
6
6
6
6
アプリへのアクセス制御
リストされたユーザーのみアクセス可能
USER.EMAILにリストされていないユーザは、
アプリを開くことができません。
例えば、下記ユーザがアプリを開こうとする
とエラーが発生します。
usera.qlik@gmail.com
userb.qlik@gmail.com
Section Accessに登録されたユーザはアプリを開くことがで
きます。

7. 7
7
7
7
7
7
外部ファイルを利用したセキュリティテーブル
テーブルやスプレッドシートにセキュリティテーブルを保存
SecTbl.csv
• 多数のユーザの管理
• 変更に柔軟に対応
• 確認の容易性
外部ファイルを利用し
た例
直接記載した例
DB
or (DBでも可能)

8. 8
デモンストレーション

9. 10
10
10
10
10
10
SaaS と Client-Managed における違い
項目 Qlik Sense Enterprise SaaS Qlik Sense Enterprise Client-Managed
Section Accessのシステム項 ACCESS
USERID
USER.EMAIL
GROUP
OMIT
ACCESS
USERID
GROUP
OMIT
USERの識別 IdP サブジェクト
例）auth0|7650a44a4b………………
E-mail ※ E-mailアドレスが利用できるようにな
ました。
qlikuser12345@qlik.com
Qlik Sense ドメイン名とユーザー名
例）Qlik_DomUser1
GROUPの利用 ID プロバイダーの “groups” クレームから情報を
得
プロキシサービスから提供されるグループ
リロードタスクの利用 特に制限なし 内部システム アカウント SA_SCHEDULER がリ
ロード タスクの実行に使用されますので、権限設
定が必要となります。
例）ADMIN, INTERNALSA_SCHEDULER, …
その他 通常、USERIDは、プロキシサービスによって検
証されます。Client-Managed環境用に設定され
Section Accessは、Cloud環境では機能しません。

10. 11
11
11
11
11
11
注意事項
• スクリプトをロードしたユーザーが、スクリプトのセクション アクセス部分に含まれていない
場合、エラーとなります。
• アクセス セクションでは、すべての項目名と項目値がデフォルトで大文字に変換されるので、
上で説明した転送で使用するすべての項目名とそれらの項目のすべての項目値を大文字にする
必要があります。
• 項目名として一覧に表示される Section Access システム 項目名をデータ モデルで使用でき
ません。
• OMIT をキー項目に適用しないことをお勧めします。省略されたキー項目はデータ モデル
ビューアーに表示されますが、コンテンツは使用できないので、ユーザーを混乱させる可能性
があります。さらに、ビジュアライゼーションで使用されるキー項目に OMIT を適用すると、
省略された項目へのアクセス権を持っていないユーザーにはビジュアライゼーションが不完全
なものになります。
• NTNAME は古い QlikView 項目なので、QlikView が同じセキュリティ テーブルを使用して
いない場合は USERID を使用することを推奨します。

11. 12
12
12
12
12
12
更なる活用時における注意事項について
• Insight Advisor Chatの利用
⁃ アプリから取得するデータの制限には、インデックスユーザ※1が利用されます。
⁃ アプリ名、項目名、またはマスター アイテム名に機密情報がある場合、セクション アク
セスを使用するアプリを Insight Advisor Chat で利用できるようにすることで、これ
らが公開される可能性があります。
• スナップショットの利用
⁃ スナップショットを取得するユーザーのアクセス権限に従ってデータが表示され、その
スナップショットは 1 つのストーリーで共有することができます。
• 添付ファイルの利用
⁃ 添付したデータ ファイルにセクション アクセス制限が適用されている場合、ファイルが
コピーされるときにセクション アクセス設定が保持されません。そのため、コピーした
アプリのユーザーは、添付ファイルのすべてのデータを表示することができます。
※1 インデックスユーザ：アプリの詳細で確認できます。通常はアプリのオーナー。
その他詳細は、オンラインヘルプを参照してください。 https://help.qlik.com/ja-JP/cloud-
services/Subsystems/Hub/Content/Sense_Hub/Scripting/Security/manage-security-with-section-access.htm

12. Thank You!

13. 14
Section Access (1/3)
• データ ロード スクリプトでセクション アクセスを使用して、行レ
ベル／列レベルのデータ アクセスを管理できます。ユーザがアプリ
ケーションを開いたときに、データを適切なスコープに削減する、す
なわちユーザIDに基づいてアプリ内のデータの一部をユーザから隠す
ことができます。
Section Access のテーブル項目
ACCESS
対応するユーザーに与えられるアクセス権を定義します。
ADMIN(アプリ内のすべてのデータにアクセス可能）、またはUSER(セキュ
リティテーブルで指定されたデータのみアクセス可能）を設定します。
USERID
Qlik Sense ユーザーに対応する「idpサブジェクト*」を指定します。
GROUP
Qlik Sense のユーザ属性として設定されたグループ名を指定します。
OMIT
ユーザもしくはグループに対して利用不可とする列名を指定します。
ワイルドカードを使用することができます。空にすることもできます。
• Section Accessテーブルを定義するスクリプト
は、「Section Access」で開始する必要があり
ます。
• アプリのデータロードを定義するスクリプトは
「Section Application」で開始されるセクショ
ン内に配置する必要があります。
※ idpサブジェクトは、Qlik Management Consoleのユーザ画面で確認できます。

14. 15
Section Access (2/3)
• Section Accessの設定例
QlikAdminが参照できるデータ
QlikUserが参照できるデータ
支店名の値を基にセキュリティを設定
「中部支店」と「関西支店」はアクセス可能
テーブルのすべてのデータにアクセス可能
Section
Access
テーブル定義
データロード定義

15. 16
Section Access (3/3)
• アプリにアクセス可能なユーザを限定する
登録されているユーザでアプリにアクセス
した場合
登録されていないユーザでアプリにアクセス
した場合