Datadog の RBAC のすべて

Transcript

1. Datadog の RBAC のすべて 5分で学ぶ！ 2026/02/26 - Japan Datadog User Group Meetup#16 @ Fukuoka iwa (@mananyuki) / Nulab Inc.
2. iwa Yuki Yoshiiwa / Lead Platform Engineer @ Nulab Inc. EXPERTISE Kubernetes / Platform Engineering / SRE / Developer Experiences SNS X @mananyuki / GitHub mananyuki INTERESTS 🐕 いぬ / 🎮 ゲーム / ☕ コーヒー / 🐠 アクアリウム
3. 3 こんな経験ありませんか？ • 多くの会社では Datadog org は1つ • 全チームのテレメトリーデータが誰でも⾒える状態になりがち • 「どうやってアクセスを制御すればいい？」 Datadog には3つのアクセス制御の仕組みがあり、それぞれ⽬的が異なる
4. 4 3つのアクセス制御 • Roles - 機能へのアクセスを制御 • Log Restriction Queries - ロールが⾒えるログを制限 • Data Access Control - データへのアクセスを制限 今⽇のゴール：使い分けの判断基準を持ち帰る
5. RBAC SECTION 01 Role-Based Access Control
6. 6 Roles - 機能アクセスの制御 • デフォルトは3種類 ‒ Datadog Admin Role ‒ Datadog Standard Role ‒ Datadog Read Only Role • Custom Roles で権限をまとめられる • 権限は加算⽅式（複数ロールの和集合） Roles だけではデータの可視性は制御できない
7. Fine-Grained RBAC SECTION 02 Fine-Grained Access Control
8. 8 Log Restriction Queries - ロールに制約を加える • ロール → データの⽅向で制限する • ロール単位の制限 - 他のロールには影響しない • Logs 専⽤の機能
9. 9 Log Restriction Queries の例 • Alpha Role に制限クエリ service:alpha を設定すると: ‒ Alpha Role → service:alpha のログだけ⾒え る ‒ Beta Role → 全ログが⾒える（制限なし） • ロールごとのソフトな境界
10. 10 Data Access Control - データに制約を加える • データ → ロールの⽅向で制限する • ⾮常に強⼒ - データが完全に不可視になる • Logs だけでなく APM, RUM 等複数のテレメトリに対応
11. 11 Data Access Control の例 • Restricted Dataset service:alpha → Alpha Role のみアクセス可: ‒ Alpha Role なし → データが完全に⾒えない ‒ 他にどんなロールを持っていても関係ない • データに対するハードな境界
12. 使い分け SECTION 03 Choosing the Right Approach
13. 13 ⽐較 service:alpha を Alpha チームだけに⾒せたい場合: • Log Restriction Queries ‒ ロールに対して制約を加える / ソフト / Logs のみ • Data Access Control ‒ データに対して制約を加える / ハード / Logs, APM, RUM 等 • 核⼼: 制約の主体が「ロール」か「データ」か
14. 14 💡 Tips: 併⽤パターン Data Access Control と Log Restriction Queries は組み合わせて使える 1. Data Access Control で⼤きな境界を作る （例: service:alpha のログを制限） 2. その中で Log Restriction Queries をロー ルに適⽤し、さらに細かく絞る よりきめ細やかなアクセス制御が実現できる❣
15. 15 判断フレームワーク 「何をどのくらい厳しく守りたいか？」 • 特定データを完全に保護したい → Data Access Control • 特定ロールの閲覧範囲を限定したい → Log Restriction Queries • 機能レベルのアクセスを制御したい → Custom Roles
16. 16 まとめ • Roles - 機能アクセスの制御 • Log Restriction Queries - ロールの閲覧範囲を制限 • Data Access Control - データへのアクセスを厳格に保護 • 組み合わせることで複層的なアクセス制御が実現できる
17. 正しく制御する、から始めよう Start with the Right Controls
18. 18 参考⽂献 • Data Access Control を深掘りしたブログ記事 ‒ https://zenn.dev/mananyuki/articles/90441ead463b49 • Datadog Docs ‒ Data Access Control: https://docs.datadoghq.com/account_management/rbac/data_access/ ‒ Permissions (Log Restriction Queries): https://docs.datadoghq.com/account_management/rbac/permissions/ ‒ Logs RBAC Guide: https://docs.datadoghq.com/logs/guide/logs-rbac/ ‒ Custom Roles: https://docs.datadoghq.com/account_management/rbac/