Data Access Control で実現するより細かい権限制御

Japan Datadog User Group Meetup#13@東京 で話した資料です。
https://datadog-jp.connpass.com/event/368663/

1. © 2025 Wantedly, Inc. Data Access Control で実現する より細かい権限制御 Japan Datadog User Group Meetup #13@東京 2025-10-29 - Hayato Kawai (@fohte)
2. © 2025 Wantedly, Inc. ⾃⼰紹介 名前 Fohte (ふぉーて) 川井 颯人 (Hayato Kawai) 所属 • ウォンテッドリー株式会社 Infra Squad • JDDUG
3. © 2025 Wantedly, Inc. Datadog の 権限制御 どうしてますか?
4. © 2025 Wantedly, Inc. これまでの Datadog の権限 (ユーザー‧ロール) ユーザー ロール readonly write admin
5. © 2025 Wantedly, Inc. これまでの Datadog の権限 (ユーザー‧ロール) readonly write admin ユーザーごとにこれらのロールを持 たせられる これによってユーザーごとに 異なる権限を設定する (あるユーザーは admin, あるユーザーは readonly, ...)
6. © 2025 Wantedly, Inc. ロールごとに権限を決められる ✅ read ❌ write readonly APM Logs ✅ read ❌ write
7. © 2025 Wantedly, Inc. ロールごとに権限を決められる ✅ read ✅ write APM Logs ✅ read ✅ write write
8. © 2025 Wantedly, Inc. 機能ごとにも権限を変えられる ✅ read ❌ write APM readonly APM Logs ❌ read ❌ write
9. © 2025 Wantedly, Inc. ウォンテッドリーでの権限設計 • Datadog は社員なら誰でも閲覧できるようにしている (SAML で動的にアカウントを作成) ◦ 閲覧しても困らない情報を入れる前提 • インフラチームは管理者権限を付与 他の社員は write まで可能
10. © 2025 Wantedly, Inc. これだけだと難しいこともある これで十分では? → そうでない要件が発生した たとえば「あるプロダクトの情報は、そのプロダクトチームだけが 閲覧できるようにしたい」という要件は達成できない
11. © 2025 Wantedly, Inc. やりたいこと ✅ read/write Hire 開発 チーム APM (service:visit) ❌ read/write APM (service:hire) 社員 ✅ read/write ✅ read/write
12. © 2025 Wantedly, Inc. 誰でもアクセス可能なサービスもあれば ✅ read/write Hire 開発 チーム APM (service:visit) 社員 ✅ read/write
13. © 2025 Wantedly, Inc. プロダクトチームにしか閲覧させたくないものもある Hire 開発 チーム ❌ read/write APM (service:hire) 社員 ✅ read/write
14. © 2025 Wantedly, Inc. やりたいこと ✅ read/write Hire 開発 チーム APM (service:visit) ❌ read/write APM (service:hire) 社員 ✅ read/write ✅ read/write ロールだけでは できない
15. © 2025 Wantedly, Inc. ロールだけでは細かい権限制御ができない 「特定のデータ」など タグで制御したいが、 ロールでは "APM Read"の ような機能ごと ・read/write でしか 制御できない
16. © 2025 Wantedly, Inc. そこで救世主 Data Access Control が登場 (まだ preview)
17. © 2025 Wantedly, Inc. Data Access Control でできること データセット に対して 権限を付与するロール or チー ム (今回は割愛 ) を設定できる データセットはクエリに マッチするもので設定する (例: 特定のタグを持つ trace ) 選べるサービス
18. © 2025 Wantedly, Inc. いままではチーム以外からのアクセスをブロックしたくてもできなかった Hire 開発 チーム ✅ read/write APM (service:hire) 社員 ✅ read/write 従来の方法では アクセスできてしまう
19. © 2025 Wantedly, Inc. Data Access Control Data Access Control でブロックできるようになる Hire 開発 チーム ❌ read/write APM (service:hire) 社員 ✅ read/write 防げるようになる 🎉
20. © 2025 Wantedly, Inc. 実際にどうブロックされるのか クエリしてもなにも 表示されなくなる 403 Forbidden より 404 Not Found っぽい挙動 RUM の例
21. © 2025 Wantedly, Inc. 最後に • ウォンテッドリーでの要件は実現できた 🎉 • 権限制御に困っている方・企業の皆さまは ぜひ GA されたら利用してみてはいかがでしょうか