p4 protect
ユーザによるファイル、ディレクトリ、コマンドへのアクセスを管理します。
ここで説明するアクセス権限は、p4 grant-permission (グラフ)に記載されているグラフディポの権限とは異なっていることに注意してください。
構文
p4 [g-opts] protectp4 [g-opts] protect -op4 [g-opts] protect -ip4 [g-opts] protect --convert-p4admin-comments -o | -i
説明
以下の理由により、新しいHelixサーバをインストールしたら、すぐにp4 protectを実行することをお勧めします。
- Helixサーバを使用するすべてのユーザに対して、サービスへの接続が許可されるため。
- すべてのHelixサーバユーザがスーパーユーザとして認識されるため。
p4
protectコマンドを初めて実行したユーザがスーパーユーザになり、その他すべてのユーザには、すべてのファイルに対するwrite権限が設定されます。 p4 protectコマンドを使用して追加のコントロールを作成することをお勧めします。
p4 [g-opts] protect コマンドを実行すると、superアクセス権限を持つユーザが、プロテクションテーブルをテキスト形式で編集できるようになります。
以下のいずれかの方法でHelixサーバの権限を設定する場合は、p4 protectコマンドを使用します。
- 特定のユーザがアクセスできるコマンドを制御する
- 特定のユーザが実行できるコマンドを制御する
- 次のコマンドを使用して定義されたユーザグループに対して権限を付与する:
p4 group - ユーザまたはグループの特定のパスについて、
p4 protectコマンドへのアクセス権限を付与する =read、=open、=write、=branchを除外マッピングと組み合わせて使用する- 特定のIPアドレスのみにアクセスを制限する
通常は、list、read、write、owner、superのいずれかのアクセス権を指定します。 openとreviewアクセスレベルはあまり使用されません。
通常は、以下のような運用方法になります。
- 以下のいずれかに対して、特定のアクセスレベルを付与します。
- グループ(ベストプラクティスとしてお勧めします)
- 個別のユーザ(複数のユーザを1つのグループにまとめることができない場合)
- アクセスレベルを詳細に制御する必要がある場合は、1つ以上のアクセス権限を個別に除外する。
「除外マッピング」の動作については、『Helix Coreサーバ管理者ガイド』の「プロテクションの実装のしくみ」を参照してください。
権限レベルとアクセス権限
権限レベル名に「=」というプレフィックスが付いている場合、その権限が拒否されるということを表しています。
| パーミッションレベル/権限 | ユーザが実行できること |
|---|---|
|
|
すべてのHelixサーバメタデータにアクセスできますが、ファイルの内容にはアクセスできません。
|
|
|
|
|
|
この権限が拒否されている場合、ユーザはファイルに対して =read group Dev1 * -//depot/dev/prodA/... |
|
|
|
|
|
この権限が拒否されている場合、ユーザは =open group Dev1 * -//depot/dev/prodA/... |
|
|
上記のすべてを実行できます。さらに、 |
|
|
この権限が拒否された場合、ファイルを開いて編集することはできますが、ファイルをサブミットすることはできません。 例えば、 =write group Admins * -//depot/dev/prodA/... この場合、製品リリース用に開発者が承認したファイルを、管理者が誤って変更することがなくなります。 |
|
|
この権限が拒否されると、ユーザはファイルを =branch group Dev1 * -//depot/dev/prodA/... |
|
|
Helixサーバにアクセスする外部プログラム専用の権限です。 |
|
|
上記すべてに加え、メタデータへの変更をオーバライドする管理者用コマンドが含まれますが、サービスの動作に影響することはありません。 これには、 |
|
|
上記のすべてに加え、さらに |
|
|
この権限を使用して、特定パスに対して |
ストリーム仕様の権限
リリース2020.1よりも前のリリースでは、ストリーム仕様専用のプロテクションモードはありませんでした。 ストリーム仕様の一覧表示権限、読み取り権限、編集権限は、対応するファイル仕様プロテクションモードを基に、以下のように認識されていました。
list権限(特定のディポに対する権限)の場合、p4 streamsを実行して、そのディポ内のストリームを一覧表示することができる-
open権限またはwrite権限の場合(特定のファイル仕様に対する権限)、そのファイル仕様に一致するストリームルートを持つ任意のストリーム仕様を編集して保存することができる
リリース2020.1では、ストリーム仕様専用のプロテクションモードが導入されました。 デフォルトの場合、ここで説明した権限はプロテクションテーブル内に含めることができますが、構成可能変数dm.protects.streamspecの値を「1」に設定するまで使用することはできません。 プロテクションテーブル内にストリーム仕様の権限が含まれている状態で、dm.protects.streamspec構成可能変数の値を「1」に設定した場合、リリース2020.1よりも前の権限は適用されなくなります。また、adminユーザとsuperユーザを除くすべてのユーザについて、ストリーム仕様の権限を明示的に指定する必要があります。
古いリリースの権限をストリーム仕様の権限に実装する場合は、以下の操作を行います。
- 以下のコマンドを実行して、
readstreamspecreadstreamspec group readgroup * //...権限を必要とするすべてのユーザが属するユーザグループを作成する。 - 以下のコマンドを実行して、
writestreamspecwritestreamspec group writegroup * //...権限を必要とするすべてのユーザが属する別のユーザグループを作成する。
readstreamspec
|
この権限を持つユーザは、次のコマンドを使用してストリーム仕様を表示することができます: p4 stream -o |
=readstreamspec
|
この権限が拒否されているユーザは、次のコマンドを実行することはできません: p4 stream -o |
openstreamspec
|
この権限を持つユーザは、ストリーム仕様について、元に戻す、衝突を解決する、保留する、編集用に開く、という操作を実行することができます。 |
=openstreamspec
|
この権限が拒否されているユーザは、ストリーム仕様について、元に戻す、衝突を解決する、保留する、編集用に開く、という操作を実行することはできません。 |
writestreamspec
|
この権限を持つユーザは、ストリーム仕様のサブミットと変更を行うことができます。 |
=writestreamspec
|
この権限が拒否されている場合ユーザは、ストリーム仕様のサブミットや変更を行うことはできません。 |
フォームフィールド
p4 protectを実行すると、HelixサーバはProtections:フィールドのみのフォームを表示します。 各権限は、Protections:に見出しの下でインデントされた専用の行に指定され、次の5つの値を使用してプロテクションを定義します。
| 列 | 説明 |
|---|---|
|
アクセスレベルまたはモード |
前項で定義された、 |
|
ユーザまたはグループ |
このプロテクションが |
|
グループ名またはユーザ名 |
ユーザ名または |
|
ホスト |
クライアントホストのIPアドレス(複数の場合は、コンマ区切りのIPアドレス)。 IPv6アドレスおよびIPv4アドレスがサポートされています。 また、CIDR表記を使用していない場合にのみ、すべてのIPアドレスを参照するためにワイルドカード「 IPv6アドレスに システムは、
|
|
ディポファイルのパス |
Helixサーバのディポシンタックスで、この権限が与えられているディポファイルのパス。 ファイルの指定は、Helixサーバのワイルドカードを含むことができます。 このマッピングを権限セットから除外するには、設定値の頭にダッシュ( ディポが除外された場合、アクセスを拒否されたユーザは |
|
サブパス
|
サブプロテクションテーブルのルートパス。
このフィールドは、プロテクションテーブルには含まれていません。 |
|
更新
|
この仕様が最後に変更された日付(読み取り専用)。
このフィールドは、プロテクションテーブルには含まれていません。 |
注釈
プロテクションテーブルは解釈やデバッグが難しくなる場合があります。 そのような場合にコメントを付け加えることで、分かりやすくすることができます。
-
##記号を使用することで、行の最後にコメントを追加することができます。
write user * 10.1.1.1 //depot/test/... ## my comment
-
または、行の先頭に##記号を付けることで、コメント行を作成できます。
## my comment write user * 10.1.1.1 //depot/test/...
P4Adminツールを使用して作成したコメントには、バージョン2016.1以降のp4 protectコマンドを使用して作成されたコメントとの互換性がありません。 次のコマンドを使用することで、P4Adminで作成されたコメントを含むファイルをp4 protectタイプのコメントを含むファイルに変換することができます。
$ p4 protect --convert-p4admin-comments -o
その後、変換後のファイルを保存します。
コメントの変換が完了したら、p4 protectを使用してプロテクションの定義と管理を行う必要があります。P4Adminではp4
protectのコメントが解析できないため、変換後のコメントは使用できなくなります。
オプション
|
|
エディタを起動せずに、標準出力からフォームを読み取ります。 |
|
|
エディタを起動せずに、フォームを標準出力に書き出します。 |
|
|
P4Adminツールを使用して作成された既存のプロテクション形式(およびコメント)を、 |
|
|
詳細については、「グローバルオプション」を参照してください。 |
使用上の留意点
| ファイル引数にリビジョン指定子を使えるか？ | ファイル引数にリビジョン範囲を使えるか？ | 最低限必要なアクセスレベル |
|---|---|---|
|
使用不可 |
使用不可 |
|
各権限のレベルはその下にあるすべてのアクセスレベルを含みます。
特殊な権限である=read、=open、=write、=branchを使用して、下位のアクセスレベルを自動的に包含しないようにオーバーライドできます。 これにより、後で下位の権限を再設定することなく、権限を個別に無効にすることができます。
例えば、管理者に管理コマンドの実行権限を与えつつ、ディポの特定の部分に対する変更権限を拒否したいという場合、権限テーブルを次のように設定することができます。
Protections:
admin user joe * //...
=write user joe * -//depot/build/...
=open user joe * -//depot/build/...
この例では、ユーザjoeは管理機能を実行でき、この権限はシステム内のすべてのディポに適用されます。 admin権限レベルでは暗黙的にそれより下位にあるすべてのアクセスレベルが認められるため、joeは//depot/build/を含むシステム内のどのファイルにも、開く操作、書き込み、読み取り、一覧表示が可能です。 buildの階層をプロテクトするには、=writeおよび=openの排他行をテーブルに追加します。
- 「=open」排他行により、ユーザ
joeは、次のディレクトリ内のファイルを編集用として開くことができなくなります://depot/build/ - 「=write」排他行により、ユーザ
joeは、次のディレクトリ内で行った変更内容をサブミットできなくなります://depot/build/
あるサーバ上のファイルを別のサーバからのリモートディポとして使用する(p4 depotで定義)のを制限したり排除するには、remoteユーザ(または別のサーバが認証に用いるサービスユーザ)に対するプロテクションを作成してください。 リモートディポは、ユーザのPerforceサービスに関連付けられたサービスユーザか、remoteという名前の仮想ユーザによってアクセスされます。
使用できるコマンドは、アクセスレベルによって決まります。 例えば、p4
addは少なくともopenのアクセス権を必要とするため、open、write、admin、またはsuperのアクセス権があればp4 addを実行できます。
以前にサブミットされたチェンジリストを編集する場合のp4 changeコマンドなど、一部のコマンドでは、adminアクセス権またはsuperアクセス権を必要とする-fオプションを使用します。
各コマンドの詳細については、『Helix Coreサーバ管理者ガイド』の「Helixサーバコマンドが必要とするアクセスレベル」を参照してください。
関連コマンド
|
ユーザグループを作成または編集する |
|
|
すべてのユーザグループを一覧表示する |
|
| グラフタイプのディポとレポジトリに対する権限を許可する | p4 grant-permission (グラフ) |
