Share
Embed
Slide 1
Slide 1 text
© 2025 Wantedly, Inc.
Data Access Control で実現する
より細かい権限制御
Japan Datadog User Group Meetup #13@東京
2025-10-29 - Hayato Kawai (@fohte)
Slide 2
Slide 2 text
© 2025 Wantedly, Inc.
⾃⼰紹介
名前
Fohte (ふぉーて)
川井 颯人 (Hayato Kawai)
所属
● ウォンテッドリー株式会社
Infra Squad
● JDDUG
Slide 3
Slide 3 text
© 2025 Wantedly, Inc.
Datadog の
権限制御
どうしてますか?
Slide 4
Slide 4 text
© 2025 Wantedly, Inc.
これまでの Datadog の権限 (ユーザー‧ロール)
ユーザー ロール
readonly write admin
Slide 5
Slide 5 text
© 2025 Wantedly, Inc.
これまでの Datadog の権限 (ユーザー‧ロール)
readonly write admin
ユーザーごとにこれらのロールを持
たせられる
これによってユーザーごとに
異なる権限を設定する
(あるユーザーは admin, あるユーザーは
readonly, ...)
Slide 6
Slide 6 text
© 2025 Wantedly, Inc.
ロールごとに権限を決められる
✅ read
❌ write
readonly APM
Logs
✅ read
❌ write
Slide 7
Slide 7 text
© 2025 Wantedly, Inc.
ロールごとに権限を決められる
✅ read
✅ write
APM
Logs
✅ read
✅ write
write
Slide 8
Slide 8 text
© 2025 Wantedly, Inc.
機能ごとにも権限を変えられる
✅ read
❌ write
APM
readonly APM
Logs
❌ read
❌ write
Slide 9
Slide 9 text
© 2025 Wantedly, Inc.
ウォンテッドリーでの権限設計
● Datadog は社員なら誰でも閲覧できるようにしている
(SAML で動的にアカウントを作成)
○ 閲覧しても困らない情報を入れる前提
● インフラチームは管理者権限を付与
他の社員は write まで可能
Slide 10
Slide 10 text
© 2025 Wantedly, Inc.
これだけだと難しいこともある
これで十分では? → そうでない要件が発生した
たとえば「あるプロダクトの情報は、そのプロダクトチームだけが
閲覧できるようにしたい」という要件は達成できない
Slide 11
Slide 11 text
© 2025 Wantedly, Inc.
やりたいこと
✅ read/write
Hire 開発
チーム
APM
(service:visit)
❌ read/write
APM
(service:hire)
社員 ✅ read/write
✅ read/write
Slide 12
Slide 12 text
© 2025 Wantedly, Inc.
誰でもアクセス可能なサービスもあれば
✅ read/write
Hire 開発
チーム
APM
(service:visit)
社員
✅ read/write
Slide 13
Slide 13 text
© 2025 Wantedly, Inc.
プロダクトチームにしか閲覧させたくないものもある
Hire 開発
チーム
❌ read/write
APM
(service:hire)
社員 ✅ read/write
Slide 14
Slide 14 text
© 2025 Wantedly, Inc.
やりたいこと
✅ read/write
Hire 開発
チーム
APM
(service:visit)
❌ read/write
APM
(service:hire)
社員 ✅ read/write
✅ read/write
ロールだけでは
できない
Slide 15
Slide 15 text
© 2025 Wantedly, Inc.
ロールだけでは細かい権限制御ができない
「特定のデータ」など
タグで制御したいが、
ロールでは "APM Read"の
ような機能ごと
・read/write でしか
制御できない
Slide 16
Slide 16 text
© 2025 Wantedly, Inc.
そこで救世主
Data Access
Control が登場
(まだ preview)
Slide 17
Slide 17 text
© 2025 Wantedly, Inc.
Data Access Control でできること
データセット に対して
権限を付与するロール or チー
ム (今回は割愛 ) を設定できる
データセットはクエリに
マッチするもので設定する
(例: 特定のタグを持つ trace )
選べるサービス
Slide 18
Slide 18 text
© 2025 Wantedly, Inc.
いままではチーム以外からのアクセスをブロックしたくてもできなかった
Hire 開発
チーム
✅ read/write
APM
(service:hire)
社員
✅ read/write
従来の方法では
アクセスできてしまう
Slide 19
Slide 19 text
© 2025 Wantedly, Inc.
Data Access Control
Data Access Control でブロックできるようになる
Hire 開発
チーム
❌ read/write
APM
(service:hire)
社員
✅ read/write
防げるようになる 🎉
Slide 20
Slide 20 text
© 2025 Wantedly, Inc.
実際にどうブロックされるのか
クエリしてもなにも
表示されなくなる
403 Forbidden より
404 Not Found っぽい挙動
RUM の例
Slide 21
Slide 21 text
© 2025 Wantedly, Inc.
最後に
● ウォンテッドリーでの要件は実現できた 🎉
● 権限制御に困っている方・企業の皆さまは
ぜひ GA されたら利用してみてはいかがでしょうか