Upgrade to Pro — share decks privately, control downloads, hide ads and more …

Datadog の RBAC のすべて

Sponsored · SiteGround - Reliable hosting with speed, security, and support you can count on.

Datadog の RBAC のすべて

Avatar for 株式会社ヌーラボ

株式会社ヌーラボ PRO

March 05, 2026
Tweet

More Decks by 株式会社ヌーラボ

Other Decks in Technology

Transcript

  1. Datadog の RBAC のすべて 5分で学ぶ! 2026/02/26 - Japan Datadog User

    Group Meetup#16 @ Fukuoka iwa (@mananyuki) / Nulab Inc.
  2. iwa Yuki Yoshiiwa / Lead Platform Engineer @ Nulab Inc.

    EXPERTISE Kubernetes / Platform Engineering / SRE / Developer Experiences SNS X @mananyuki / GitHub mananyuki INTERESTS 🐕 いぬ / 🎮 ゲーム / ☕ コーヒー / 🐠 アクアリウム
  3. 3 こんな経験ありませんか? • 多くの会社では Datadog org は1つ • 全チームのテレメトリーデータが誰でも⾒える状態になりがち •

    「どうやってアクセスを制御すればいい?」 Datadog には3つのアクセス制御の仕組みがあり、それぞれ⽬的が異なる
  4. 4 3つのアクセス制御 • Roles - 機能へのアクセスを制御 • Log Restriction Queries

    - ロールが⾒えるログを制限 • Data Access Control - データへのアクセスを制限 今⽇のゴール:使い分けの判断基準を持ち帰る
  5. 6 Roles - 機能アクセスの制御 • デフォルトは3種類 ‒ Datadog Admin Role

    ‒ Datadog Standard Role ‒ Datadog Read Only Role • Custom Roles で権限をまとめられる • 権限は加算⽅式(複数ロールの和集合) Roles だけではデータの可視性は制御できない
  6. 8 Log Restriction Queries - ロールに制約を加える • ロール → データの⽅向で制限する

    • ロール単位の制限 - 他のロールには影響しない • Logs 専⽤の機能
  7. 9 Log Restriction Queries の例 • Alpha Role に制限クエリ service:alpha

    を設定すると: ‒ Alpha Role → service:alpha のログだけ⾒え る ‒ Beta Role → 全ログが⾒える(制限なし) • ロールごとのソフトな境界
  8. 10 Data Access Control - データに制約を加える • データ → ロールの⽅向で制限する

    • ⾮常に強⼒ - データが完全に不可視になる • Logs だけでなく APM, RUM 等複数のテレメトリに対応
  9. 11 Data Access Control の例 • Restricted Dataset service:alpha →

    Alpha Role のみアクセス可: ‒ Alpha Role なし → データが完全に⾒えない ‒ 他にどんなロールを持っていても関係ない • データに対するハードな境界
  10. 13 ⽐較 service:alpha を Alpha チームだけに⾒せたい場合: • Log Restriction Queries

    ‒ ロールに対して制約を加える / ソフト / Logs のみ • Data Access Control ‒ データに対して制約を加える / ハード / Logs, APM, RUM 等 • 核⼼: 制約の主体が「ロール」か「データ」か
  11. 14 💡 Tips: 併⽤パターン Data Access Control と Log Restriction

    Queries は組み合わせて使える 1. Data Access Control で⼤きな境界を作る (例: service:alpha のログを制限) 2. その中で Log Restriction Queries をロー ルに適⽤し、さらに細かく絞る よりきめ細やかなアクセス制御が実現できる❣
  12. 15 判断フレームワーク 「何をどのくらい厳しく守りたいか?」 • 特定データを完全に保護したい → Data Access Control •

    特定ロールの閲覧範囲を限定したい → Log Restriction Queries • 機能レベルのアクセスを制御したい → Custom Roles
  13. 16 まとめ • Roles - 機能アクセスの制御 • Log Restriction Queries

    - ロールの閲覧範囲を制限 • Data Access Control - データへのアクセスを厳格に保護 • 組み合わせることで複層的なアクセス制御が実現できる
  14. 18 参考⽂献 • Data Access Control を深掘りしたブログ記事 ‒ https://zenn.dev/mananyuki/articles/90441ead463b49 •

    Datadog Docs ‒ Data Access Control: https://docs.datadoghq.com/account_management/rbac/data_access/ ‒ Permissions (Log Restriction Queries): https://docs.datadoghq.com/account_management/rbac/permissions/ ‒ Logs RBAC Guide: https://docs.datadoghq.com/logs/guide/logs-rbac/ ‒ Custom Roles: https://docs.datadoghq.com/account_management/rbac/