アクセス制御リスト¶

はじめに¶

デフォルトの ACL パーミッションの実装はデータベースを使用します。 CakePHP のデータベースを用いる ACL は、一連のコアモデルとコマンドラインのスクリプトで構成されています。 これらのファイルは CakePHP をインストールすると作成されます。 モデルは、 CakePHP がデータベースとやりとりをし、ACL ツリーノードの保存と読み出しを行うために使用します。 コマンドラインのスクリプトは、データベースの初期化と、ACO および ARO ツリーのやりとりのために使います。

はじめる前に、 /app/config/database.php が存在し、正しく設定されていることを確認してください。 この設定についてのより詳しい情報は、 3.4.1 章を参照してください。

設定が完了したら、 CakePHP のコマンドラインスクリプトを使ってデータベースに ACL のテーブルを作成しましょう。

$ cake schema run create DbAcl

このコマンドは、 ACO と ARO の情報を木構造で保存するためのテーブルをドロップして再生成します。 コマンドを実行したとき、スクリプトの出力は次のようになります。

---------------------------------------------------------------
Cake Schema Shell
---------------------------------------------------------------

The following tables will be dropped.
acos
aros
aros_acos

Are you sure you want to drop the tables? (y/n)
[n] > y
Dropping tables.
acos updated.
aros updated.
aros_acos updated.

The following tables will be created.
acos
aros
aros_acos

Are you sure you want to create the tables? (y/n)
[y] > y
Creating tables.
acos updated.
aros updated.
aros_acos updated.
End create.

これは、古いバージョンで使われていて評判の良くなかった「initdb」を代替するコマンドです。

面白味に欠ける方法ではありますが、app/config/sql/db_acl.sql にある SQL ファイルを実行しても同じ結果が得られます。

実行が完了したら、システム中に三つの新しいデータベーステーブルが作られます。 それぞれ、「acos」「aros」そしてこのテーブルを結合しパーミッション情報を作成する「aros_acos」となります。

CakePHP がこれらのテーブルに木構造の情報をどのように保存するかについて興味があるなら、それをデータベースでどのように表現し変更するのかを調べてみてください。 ACL コンポーネントは木構造の継承を管理するために CakePHP のツリービヘイビアを利用します。 また、 ACL に関するすべてのモデルクラスは、 db_acl.php に集められています。

これで、ARO と ACO ツリーが作成できるようになったはずです。

アクセスリクエストオブジェクト (ARO) とアクセスコントロールオブジェクト (ACO) の作成¶

新しい ACL オブジェクト(つまり ACO と ARO) を作成する時に、ノードに名前を付けアクセスするには、主に二つの方法があります。 一つ目は、モデル名と外部キーの値を特定し、ACL オブジェクトをデータベース中のレコードに直接リンクする方法です。 二つ目はオブジェクトに対して別名を文字列で提供する方法で、これは ACL オブジェクトが直接関連付くレコードが存在しない場合に利用します。

通常、別名を使うのは、グループや高いレベルのオブジェクトを作成する場合です。 もしデータベース中の特定のアイテムやレコードへのアクセスを管理したいなら、モデル名と外部キーを使う方法を採用してください。

新しい ACL オブジェクトを作成するには、CakePHP コアの ACL モデルを使用します。 その際、データを保存する時に使うフィールドとして、「model(モデル名)」「foreign_key(外部キー)」「alias(別名)」そして「parent_id(親 ID)」というものがあります。

ACL オブジェクトの「model(モデル名)」と「foreign_key(外部キー)」フィールドは、オブジェクトと、あるモデルの一つのレコードをリンクするために使います。 例えば、 ARO がデータベース中の User レコードに対応している場合です。 ARO の foreign_key(外部キー) に User モデルの id を設定すると、 ARO と User の情報がリンクされます。 User の情報には、単独の Model::find() の実行結果が(もしアソシエーションが正しく定義されていれば、それも)含まれます。 逆に、ある特定のブログの投稿やレシピの表などを編集する作業を管理したい場合は、これらのモデルのレコードを ACO にリンクさせます。

ACL の alias(別名) は、モデルのレコードに直接結びつかない ACL オブジェクトに、 読んで理解できるラベルを付けるために使用します。 別名は、ユーザのグループや ACO の集合に名前を付ける時に便利です。

ACL オブジェクトの parent_id(親 ID) は、木構造を構築するために使います。 新しい子ノードを作成するには、ツリー中の親ノードの ID を指定します。

新しい ACL オブジェクトを作成する前に、まずそれぞれのクラスを読み込まねばなりません。 もっとも簡単な方法は、コントローラ中の $components 配列で ACL コンポーネントを読み込むよう設定することです。

var $components = array('Acl');

これを行ったら、オブジェクトを作成する例がどのようになるのかを見てみましょう。 次のコードをコントローラアクションのどこかに置いてください。

この例では ARO の作成にフォーカスしていますが、 ACO のツリーも同様に作成できます。

「旅の仲間」の設定で、最初の ARO グループを作成してみましょう。 グループは特定のレコードに結びつかないので、別名を使って ACL オブジェクトを作成します。 ここではあるコントローラアクション中で実行しますが、どこでも好きなところで行えます。 またこの例においては、 ARO と ACO を作成する方法を理解しやすくするため、やや恣意的なアプローチを採用しています。

特に目新しい点は何もありません。普通にモデルを使ってデータを保存しています。

function anyAction()
{
    $aro = new Aro();

    // 配列に全てのグループの情報を定義する
    $groups = array(
        0 => array(
            'alias' => '戦士'
        ),
        1 => array(
            'alias' => '魔法使い'
        ),
        2 => array(
            'alias' => 'ホビット'
        ),
        3 => array(
            'alias' => '来訪者'
        ),
    );

    // 配列をループさせ、 ARO グループを作成する
    foreach($groups as $data)
    {
        // ループ中でデータの保存を行う場合、 create() を忘れずに実行してください
        $aro->create();

        // データを保存する
        $aro->save($data);
    }

    // 別のアクションのロジックが続く
}

これを実行したら、コマンドラインの ACL アプリケーションを使って木構造を確認してみましょう。

$ cake acl view aro

Aro tree:
---------------------------------------------------------------
  [1]戦士

  [2]魔法使い

  [3]ホビット

  [4]来訪者

---------------------------------------------------------------

この段階では大したツリーではありませんが、少なくとも四つのトップレベルノードがあることが確認できます。 特定のユーザに対応した ARO を先ほど作成したグループに追加し、 ARO ノードに子を追加していきましょう。 中つ国(訳注：指輪物語の舞台)の全ての住人はこのシステムでアカウントを持っているため、 データベース中のあるモデルの特定のレコードと ARO レコードを結びつけることができます。

ツリーに子ノードを加える場合、外部キーの値ではなく ACL のノード ID を使うようにしてください。

function anyAction()
{
    $aro = new Aro();

    // 新しい ARO レコードにリンクするユーザのレコードを取得します。
    // 通常、このデータには、モデルから取得したものやそれを加工したものを使います。
    // しかしこの例はデモンストレーションなので、静的な配列で定義してしまいます。

    $users = array(
        0 => array(
            'alias' => 'アラゴルン',
            'parent_id' => 1,
            'model' => 'User',
            'foreign_key' => 2356,
        ),
        1 => array(
            'alias' => 'レゴラス',
            'parent_id' => 1,
            'model' => 'User',
            'foreign_key' => 6342,
        ),
        2 => array(
            'alias' => 'ギムリ',
            'parent_id' => 1,
            'model' => 'User',
            'foreign_key' => 1564,
        ),
        3 => array(
            'alias' => 'ガンダルフ',
            'parent_id' => 2,
            'model' => 'User',
            'foreign_key' => 7419,
        ),
        4 => array(
            'alias' => 'フロド',
            'parent_id' => 3,
            'model' => 'User',
            'foreign_key' => 7451,
        ),
        5 => array(
            'alias' => 'ビルボ',
            'parent_id' => 3,
            'model' => 'User',
            'foreign_key' => 5126,
        ),
        6 => array(
            'alias' => 'メリー',
            'parent_id' => 3,
            'model' => 'User',
            'foreign_key' => 5144,
        ),
        7 => array(
            'alias' => 'ピピン',
            'parent_id' => 3,
            'model' => 'User',
            'foreign_key' => 1211,
        ),
        8 => array(
            'alias' => 'ゴクリ',
            'parent_id' => 4,
            'model' => 'User',
            'foreign_key' => 1337,
        ),
    );

    // 定義した配列をループでまわして ARO を子として作成する
    foreach($users as $data)
    {
        // ループ中でデータの保存を行う場合、 create() を忘れずに実行してください
        $aro->create();

        // データを保存する
        $aro->save($data);
    }

    // 別のアクションのロジックが続く
}

普通、モデル名(model)と外部キー(foreign_key)を使って ARO と結びつける場合、 別名(alias)は使用しません。 この例ではデモンストレーション用にツリーを読みやすくするため、あえて別名を定義しています。

コマンドラインの ACL アプリケーションの出力が少し面白くなっています。見てみましょう。

$ cake acl view aro

Aro tree:
---------------------------------------------------------------
  [1]戦士

    [5]アラゴルン

    [6]レゴラス

    [7]ギムリ

  [2]魔法使い

    [8]ガンダルフ

  [3]ホビット

    [9]フロド

    [10]ビルボ

    [11]メリー

    [12]ピピン

  [4]来訪者

    [13]ゴクリ

---------------------------------------------------------------

ARO ツリーをきちんと設定できましたので、次に ACO ツリーを構築するアプローチにどのようなものがあるのかを見ていきましょう。 ACO はより多くの抽象的な表現を構築することができるので、 ACO ツリーをモデルするのは CakePHP の Controller/Action セットアップの後に行うことが実用的でしょう。 この「旅の仲間」の筋書においては、主に五つのオブジェクトを使います。 CakePHP のアプリケーション中では、これらをモデルのグループとして、そして最終的にはそれらを扱うコントローラとしてセットアップするのが自然です。 さらに進んで、アクセスの特定のアクションを制御することもできます。

この考えに基づき、CakePHP のアプリケーションのセットアップに似せた ACO ツリーをセットアップしましょう。 五つの ACO を持っていますので、ACO ツリーは次のようになります。

• 武器

• 指輪

• 豚の切り身

• 外交努力

• ビール

CakePHP の ACL セットアップにおいてすばらしいことは、それぞれの ACO が自動的に CRUD(create, read, update, delete) アクションに関連したプロパティを持つことです。 これら五つの主な ACO のそれぞれの下に、子ノードを作成すると、 CakePHP の組み込みアクション管理機能の利用は、与えられたオブジェクトに対する基本的な CRUD の操作をカバーします。 これを意識しておくと、 ACO ツリーが簡潔で保守しやすいものになります。 これらをどのように使うかは、パーミッションを割り当てる方法を説明する時に見ていきます。

これで、 ACO ツリーを作成するテクニックと同様に、 ARO を追加することも学びました。 コアの Aco モデルを使って、それらの上位のグループを作成してください。

パーミッションの割り当て¶

ACO と ARO を作成したら、いよいよその二つのグループ間にパーミッションを割り当てられます。これは CakePHP コアの Acl コンポーネントで行います。例に沿って続けましょう。

これはコントローラのアクションの中で実行します。なぜなら、パーミッションの管理は Acl コンポーネントが行うからです。

class SomethingsController extends AppController
{
    // ここに指定する代わりに AppController 中で指定したいと思うかもしれませんが、
    // ここでも問題なく動きます。

    var $components = array('Acl');

}

コントローラのアクション中で AclComponent を使い、基本的なパーミッションをセットアップしてみましょう。

function index()
{
    // 戦士に武器への完全なアクセスを許可する。
    // これらの例では全て、別名(alias)を使って設定してみます。
    $this->Acl->allow('戦士', '武器');

    // 王は全ての者が無制限のアクセスを持つことを
    // お望みにならない
    $this->Acl->deny('戦士/レゴラス', '武器', 'delete');
    $this->Acl->deny('戦士/ギムリ',   '武器', 'delete');

    die(print_r('done', 1));
}

まず最初の呼び出しで、 AclComponent に「戦士」という ARO のグループに対して、「武器」という ACO のグループへ完全なアクセスを与えています。 ここでは、 ACO と ARO のアドレス指定に別名を使っています。

三つ目のパラメータはどうやって使うのでしょうか。 これが、 CakePHP の全ての ACO に組み込まれている便利なアクションです。このオプションのデフォルトの値は「create(生成)」「read(読み込み)」「update(更新)」そして「delete」です。が、aros_acos データベーステーブル(あるいはこれを前置詞として「_」でつなげたテーブル。例えば _admin)にカラムを追加し、デフォルトのものと一緒に使うことができます。

二つ目の呼び出しセットでは、さらにきめ細かなパーミッションの設定を行おうとしています。アラゴルンにはフルアクセスの特権を与えたまま、同じグループの他の戦士は武器のレコードを削除(delete)できないようにしています。上述の例では、ARO のアドレス指定に別名を用いたシンタックスを使っていますが、モデル名と外部キーを用いるシンタックスを使うこともできます。これに相当するものは、次のようになります。:

// 6342 = レゴラス
// 1564 = ギムリ

$this->Acl->deny(array('model' => 'User', 'foreign_key' => 6342), '武器', 'delete');
$this->Acl->deny(array('model' => 'User', 'foreign_key' => 1564), '武器', 'delete');

別名によるノードのアドレス指定のシンタックスは、スラッシュをデリミタにした文字列(例えば 「/users/employees/developers」)を使います。モデル名と外部キーによるノードのアドレス指定を行うには、 array('model' => 'User', 'foreign_key' => 8282) というような二つのパラメータを持つ配列を使います。

次の章では、AclComponent を使ってセットアップしたパーミッションをチェックする機能を有効にする方法について説明します。

パーミッションのチェック： ACL コンポーネント¶

AclComponent を使って、ドワーフとエルフが武器庫から何も削除できないようにしましょう(訳注：アラゴルンは人間、ギムリはドワーフ、レゴラスはエルフです)。 それにあたり、 AclComponent を使って、作成した ACO と ARO の間の関係をチェックすることが出来ます。 パーミッションのチェックを行う基本的なシンタックスはこのようになります。

$this->Acl->check( $aro, $aco, $action = '*');

コントローラアクションの中で実行してみましょう。

function index()
{
    // これらは全て true を返します。
    $this->Acl->check('戦士/アラゴルン', '武器');
    $this->Acl->check('戦士/アラゴルン', '武器', 'create');
    $this->Acl->check('戦士/アラゴルン', '武器', 'read');
    $this->Acl->check('戦士/アラゴルン', '武器', 'update');
    $this->Acl->check('戦士/アラゴルン', '武器', 'delete');

    // ユーザの ARO にモデル名と外部キーを用いたシンタックスを
    // 使用できることを忘れないでください。
    $this->Acl->check(array('model' => 'User', 'foreign_key' => 2356), '武器');

    // これらも全て true を返します。
    $result = $this->Acl->check('戦士/レゴラス', '武器', 'create');
    $result = $this->Acl->check('戦士/ギムリ', '武器', 'read');

    // 一方、これらは false を返します。
    $result = $this->Acl->check('戦士/レゴラス', '武器');
    $result = $this->Acl->check('戦士/ギムリ', '武器', 'delete');
}

この使い方はデモンストレーション用のものですが、何が出来るかはわかるでしょう。 実際にはパーミッションを判定したあと、何か処理を実行することを許可するのか、エラーメッセージを表示するのか、ログインページにリダイレクトするのかといった振る舞いを決定します。