PostgreSQL へのログインロールの追加—ArcGIS AllSource

Standard または Advancedのライセンスで利用可能。

PostgreSQL では、ロールを使用して、データベースクラスターおよびデータベースにログインします。個々のユーザーは、ログインロールと呼ばれます。ログインロールがジオデータベース内のオブジェクトを所有する場合は、そのデータベースにスキーマも作成する必要があります。 ArcGIS で PostgreSQL を使用する場合、スキーマにはロールと同じ名前を付ける必要があります。また、ログインロールによって所有されていなければなりません。

[データベースユーザーの作成 (Create Database User)] ツールを使用して、テーブルとフィーチャクラスを作成する権限を持つログインロールを追加できます。このツールでは、PostgreSQL データベースクラスターにデータベース認証ログインロールを作成し、ユーザーに対応するスキーマを指定したデータベースに作成し、新しいスキーマに対する usage 権限を public に付与します。

スキーマを所有していないためジオデータベース内にオブジェクトを作成できないログインロールを作成するか、Security Support Provider Interface (SSPI) または Lightweight Directory Access Protocol (LDAP) ログインにマッピングされたログインロールを作成するには、pgAdmin や PL/pgSQL のような PostgreSQL クライアントアプリケーションを使用して、PostgreSQL データベースクラスターにロールを作成します。

グループロールを作成して、ログインロールを追加することもできます。その後、グループに追加されているすべてのログインロールに適用される権限をグループに対して付与することができます。グループロールを作成するには、[ロールの作成 (Create Role)] ツールまたはスクリプトを使用するか、SQL を使用します。

注意:

グループの場合でも、グループ内のログインロールがジオデータベース内のオブジェクトを所有するときは、それぞれのログインロールに対応するスキーマを作成する必要があります。グループロール用のスキーマを作成することはできません。

データベースオブジェクトを作成できるユーザーの追加

ArcGIS AllSource から [データベースユーザーの作成 (Create Database User)] ツールを実行するか、Python スクリプトで management.CreateDatabaseUser ArcPy 関数を呼び出して、テーブル、フィーチャクラス、およびビューを作成する権限を持つデータベースユーザーを作成できます。

[データベースユーザーの作成 (Create Database User)] ツールまたは management.CreateDatabaseUser ArcPy 関数を実行するには、スーパーユーザーステータスを持つロールを使用してデータベースに接続している必要があります。

データベースユーザーの作成 (Create Database User) ツールの使用

[データベースユーザーの作成 (Create Database User)] ツールを使用して PostgreSQL にデータベースユーザーを作成するには、次の手順に従います。

ArcGIS AllSource を起動します。
PostgreSQL のスーパーユーザー権限を持つロールを使用して、データベースまたはジオデータベースに接続します。
[データベースユーザーの作成 (Create Database User)] ツールを開きます。
このツールは、データ管理ツールボックスのジオデータベース管理ツールセットにあります。
[入力データベース接続] で、データベース接続を指定します。
このツールで作成するログインロールとスキーマの名前を入力します。
データベースユーザーのパスワードを入力します。
このユーザーをメンバーにするグループロールがすでに存在する場合は、そのグループロールを指定します。
[実行] をクリックします。

Python スクリプトの実行

ユーザーの作成をスクリプト化するには、以下の手順に従います。

ArcGIS クライアントコンピューター上でテキストファイルを作成し、そのファイルに以下のコードブロックのいずれかをコピーします。

自分のサイトに固有の情報を使用するようにコードを変更します。

これらの例では、PostgreSQL データベースクラスターでスーパーユーザー権限を持つユーザーとして接続する既存のデータベースコネクションファイルがあることを前提としています。コネクションファイルが存在しない場合は、スクリプトを実行する前にファイルを作成します。

# Name: createdatabaseuser_exampleW.py
# Description: Uses existing database connection file
# on a Windows computer to create a database user in PostgreSQL.

# Import arcpy module
import arcpy
 
# Provide a database connection file for the PostgreSQL administrator user.
connection = "C:\\ArcGIS\connection_files\<Connection file>.sde"

# Process: Create database user that can create data.
arcpy.CreateDatabaseUser_management(connection, "DATABASE_USER", "dbuser", "t3mpor@rypL@ceholder1")

# Name: createdatabaseuser_exampleL.py
# Description: Uses existing database connection file
# on a Linux computer to create a database user in PostgreSQL.

# Import arcpy module
import arcpy
 
# Provide a database connection file for the PostgreSQL administrator user.
connection = "<user>/connections/<Connection_file>.sde"

# Process: Create database user that can create data.
arcpy.CreateDatabaseUser_management(connection, "DATABASE_USER", "dbuser", "t3mpor@rypL@ceholder1")

.py 拡張子を付けてファイルを保存します。
ArcGIS AllSource (Standard または Advanced) または ArcGIS Server がインストールされているコンピューターからスクリプトを実行します。
ArcGIS Server コンピューターからの Python の実行については、「ArcGIS Server および ArcPy」をご参照ください。

これで、テーブルとフィーチャクラスを作成する権限を持つユーザーがデータベースに作成されました。

テーブルとフィーチャクラスを作成した後、データ所有者はデータセットに対する権限を他のユーザーに付与できます。手順については、「データベースとエンタープライズジオデータベースの権限の付与と取り消し」をご参照ください。

データを表示および編集するログインの作成

SQL を使用して、データを作成しないユーザーのログインロールを作成できます。ただし、PostgreSQL のジオデータベースで実行する場合は、パブリックグループまたは特定のユーザーが、一時テーブルを作成する権限を持っていることを確認してください。

これらのユーザーへの個別のデータセットに対する権限の付与を簡単にするために、ログイングループを作成することもできます。

ロールの作成

以下では、データ権限管理を簡単にするために psql を使用してグループロールを作成する手順、およびグループロールに所属するログインロールを作成する手順について説明します。

データベースクラスターに他のロールを作成する権限を持つユーザーとして psql にサインインします。
これには、スーパーユーザーステータスを持つログイン、または createrole 権限が付与されているログインを使用できます。
create role コマンドを使用して、データセットを編集できるユーザー (editors) とデータの表示のみが可能なユーザー (viewers) の 2 つのログイングループを作成します。
```
CREATE ROLE editors 
NOSUPERUSER NOCREATEDB NOCREATEROLE NOINHERIT;

CREATE ROLE viewers
NOSUPERUSER NOCREATEDB NOCREATEROLE NOINHERIT;
```
次に、editors グループのメンバーになるログインロールを作成します。
この例では、暗号化パスワードを使用して、ログインロール (editor1) を作成します。このロールはスーパーユーザーステータスを持っていないので、データベースを作成できず、ロールをデータベースクラスターに作成できません。ただし、このロールはグループロール editors のメンバーになっているため、このグループロールから権限を継承します。
```
CREATE ROLE editor1 LOGIN 
ENCRYPTED PASSWORD 'sooper.secret' 
NOSUPERUSER NOCREATEDB NOCREATEROLE INHERIT IN ROLE editors;
```
ログインロール名を変更し、ステートメントを再び実行して、ジオデータベースのデータを編集できるその他のログインロールを作成します。
次に、viewers グループのメンバーになるログインロールを作成します。
この例では、暗号化パスワードを使用して、ログインロール (reader1) を作成します。このロールはスーパーユーザーステータスを持っていないので、データベースを作成できず、ロールをデータベースクラスターに作成できません。ただし、このロールはグループロール viewers のメンバーになっているため、このグループロールから権限を継承します。
```
CREATE ROLE reader1 LOGIN 
ENCRYPTED PASSWORD 'almostas.secret' 
NOSUPERUSER NOCREATEDB NOCREATEROLE INHERIT IN ROLE viewers;
```
ログインロール名を変更し、ステートメントを再び実行して、ジオデータベースのデータを表示する権限のみを持つその他のログインロールを作成します。
geodata スキーマに対する usage 権限を、各ログイングループに付与します。
editors および viewers のメンバーは、usage 権限によって geodata スキーマのデータにアクセスできます。 USAGE 権限がなければ、geodata の各データセットに対する権限を viewers および editors グループロールのメンバーに付与することはできません。
```
GRANT USAGE ON SCHEMA geodata TO editors;
GRANT USAGE ON SCHEMA geodata TO viewers;
```
ジオデータベース用のこれらのログインを作成する場合、および、パブリックグループが sde スキーマに対する usage 権限を持つことがないように sde スキーマ権限を変更した場合、sde スキーマに対する usage 権限を editors および viewers グループに付与します。
```
GRANT USAGE ON SCHEMA sde TO editors;
GRANT USAGE ON SCHEMA sde TO viewers;
```

これで、データを編集する 1 つ以上のユーザーおよびデータを表示する 1 つ以上のユーザーがデータベースに作成されました。

データベースまたはジオデータベースにデータセットが存在している場合、データセットの所有者は、ArcGIS ツールを使用して、データセットに対する select 権限を viewers グループに付与し、データセットに対する、select、insert、update および delete 権限を editors グループに付与することができます。手順については、「データベースとエンタープライズジオデータベースの権限の付与と取り消し」をご参照ください。

このトピックへのフィードバック

注意:

データベース オブジェクトを作成できるユーザーの追加

データベース ユーザーの作成 (Create Database User) ツールの使用

Python スクリプトの実行

データを表示および編集するログインの作成

ロールの作成

このトピックの内容

データベースオブジェクトを作成できるユーザーの追加

データベースユーザーの作成 (Create Database User) ツールの使用