クラスターリソースの権限と権限グループ

権限とは、クラスター、データベース、コレクションなどの特定の Zilliz Cloud リソースに対して特定の操作を実行するための許可を指します。権限はロールに割り当てられ、そのロールがユーザーに付与されることで、ユーザーがリソースに対して実行できる操作が定義されます。権限の例として、collection_01 という名前のコレクションにデータを挿入するための許可が挙げられます。

権限グループは、個々の権限を組み合わせたものです。よく使用する権限をまとめた権限グループを作成すると、ロールの付与プロセスを簡素化できます。使いやすさを考慮して、Zilliz Cloud ではコレクション、データベース、クラスターレベルの合計9つの組み込み権限グループを提供しています。

次の図は、権限と権限グループの付与プロセスの違いを示しています。

SsW6w8kaNhz4iQbEMYmcbUzsnOc

このトピックでは、Zilliz Cloud で利用可能な組み込み権限グループと権限について詳しく説明します。

権限グループ

組み込み権限グループ

Zilliz Cloud では、コレクション、データベース、クラスターレベルの合計9つの組み込み権限グループを提供しており、ロールを作成するときに直接付与できます。

Notes

これら3つのレベルの組み込み権限グループの間にはカスケード関係はありません。クラスターレベルで権限グループを設定しても、そのインスタンス配下のすべてのデータベースとコレクションに権限が自動的に設定されるわけではありません。データベースレベルとコレクションレベルの権限は手動で設定する必要があります。

コレクションレベルの権限グループ

CollectionReadOnly (COLL_RO): コレクションデータを読み取る権限を含みます
CollectionReadWrite (COLL_RW): コレクションデータの読み取り・書き込み権限を含みます
CollectionAdmin (COLL_ADMIN): コレクションデータの読み取り・書き込み権限と、コレクションを管理する権限を含みます。

次の表に、コレクションレベルの3つの組み込み権限グループに含まれる具体的な権限を示します。

権限	CollectionReadOnly	CollectionReadWrite	CollectionAdmin
Query
Search
IndexDetail
GetFlushState
GetLoadState
GetLoadingProgress
HasPartition
ShowPartitions
ListAliases
DescribeCollection
DescribeAlias
GetStatistics
CreateIndex
DropIndex
CreatePartition
DropPartition
Load
Release
Insert
Delete
Upsert
Import
Flush
Compaction
LoadBalance
CreateAlias
DropAlias
AddCollectionField

データベースレベルの権限グループ

DatabaseReadOnly (DB_RO): データベースデータを読み取る権限を含みます
DatabaseReadWrite (DB_RW): データベースデータの読み取り・書き込み権限を含みます
DatabaseAdmin (DB_Admin): データベースデータの読み取り・書き込み権限と、データベースを管理する権限を含みます。

次の表に、データベースレベルの3つの組み込み権限グループに含まれる具体的な権限を示します。

権限	DatabaseReadOnly	DatabaseReadWrite	DatabaseAdmin
ShowCollections
DescribeDatabase
CreateCollection
DropCollection
AlterDatabase

クラスターレベルの権限グループ

ClusterReadOnly (Cluster_RO): インスタンスデータを読み取る権限を含みます
ClusterReadWrite (Cluster_RW): インスタンスデータの読み取り・書き込み権限を含みます
ClusterAdmin (Cluster_Admin): インスタンスデータの読み取り・書き込み権限と、インスタンスを管理する権限を含みます。

次の表に、クラスターレベルの3つの組み込み権限グループに含まれる具体的な権限を示します。

権限	ClusterReadOnly	ClusterReadWrite	ClusterAdmin
ListDatabases
RenameCollection
CreateOwnership
UpdateUser
DropOwnership
SelectOwnership
ManageOwnership
SelectUser
BackupRBAC
RestoreRBAC
CreateResourceGroup
DropResourceGroup
UpdateResourceGroups
DescribeResourceGroup
ListResourceGroups
TransferNode
TransferReplica
CreateDatabase
DropDatabase
FlushAll
CreatePrivilegeGroup
DropPrivilegeGroup
ListPrivilegeGroups
OperatePrivilegeGroup

カスタム権限グループ

Private Preview

組み込み権限がニーズを満たさない場合は、SDK を使用してカスタム権限グループを作成し、指定した権限をその権限グループに追加できます。

Notes

これは Private Preview の機能です。この機能をリクエストするには、サポートチケットを作成して、有効化を依頼してください。

カスタム権限グループを作成する

次の例は、privilege_group_1 という名前の権限グループを作成する方法を示しています。

python
from pymilvus import MilvusClient

client = MilvusClient(
    uri="YOUR_CLUSTER_ENDPOINT",
    token="YOUR_CLUSTER_TOKEN",
)

client.create_privilege_group(group_name='privilege_group_1')

java
import io.milvus.v2.service.rbac.request.CreatePrivilegeGroupReq;
import io.milvus.v2.service.rbac.request.AddPrivilegesToGroupReq;
import java.util.Arrays;
import io.milvus.v2.service.rbac.request.RemovePrivilegesFromGroupReq;
import java.util.Collections;
import io.milvus.v2.service.rbac.PrivilegeGroup;
import io.milvus.v2.service.rbac.request.ListPrivilegeGroupsReq;
import io.milvus.v2.service.rbac.response.ListPrivilegeGroupsResp;
import java.util.List;
import io.milvus.v2.service.rbac.request.DropPrivilegeGroupReq;
import io.milvus.v2.client.ConnectConfig;
import io.milvus.v2.client.MilvusClientV2;

ConnectConfig connectConfig = ConnectConfig.builder()
        .uri("YOUR_CLUSTER_ENDPOINT")
        .token("YOUR_CLUSTER_TOKEN")
        .build();
MilvusClientV2 client = new MilvusClientV2(connectConfig);

client.createPrivilegeGroup(CreatePrivilegeGroupReq.builder()
        .groupName("privilege_group_1")
        .build());

go
import (
    "context"
    "fmt"
    "github.com/milvus-io/milvus/client/v3/milvusclient"
)

ctx := context.Background()

client, err := milvusclient.New(ctx, &milvusclient.ClientConfig{
    Address: "YOUR_CLUSTER_ENDPOINT",
    APIKey:  "YOUR_CLUSTER_TOKEN",
})
if err != nil {
    fmt.Println(err.Error())
    // handle error
}
defer client.Close(ctx)

err = client.CreatePrivilegeGroup(ctx, milvusclient.NewCreatePrivilegeGroupOption("privilege_group_1"))
if err != nil {
    fmt.Println(err.Error())
    // handle error
}

rust
use milvus::v2::prelude::*;
let client = ClientV2::new(
    &ConnectConfig::new()
        .uri("YOUR_CLUSTER_ENDPOINT")
        .token("YOUR_CLUSTER_TOKEN"),
)
.await?;

client
    .create_privilege_group(
        CreatePrivilegeGroupRequest::builder()
            .group_name("privilege_group_1")
            .build()?,
    )

    .await?;

c++
#include <iostream>
#include "milvus/MilvusClientV2.h"

auto client = milvus::MilvusClientV2::Create();
auto status = client->Connect(milvus::ConnectParam("YOUR_CLUSTER_ENDPOINT").WithToken("YOUR_CLUSTER_TOKEN"));
if (!status.IsOk()) {
    std::cout << status.Message() << std::endl;
}

status = client->CreatePrivilegeGroup(milvus::CreatePrivilegeGroupRequest().WithGroupName("privilege_group_1"));
if (!status.IsOk()) {
    std::cout << status.Message() << std::endl;
}

javascript
import { MilvusClient } from '@zilliz/milvus2-sdk-node';

const client = new MilvusClient({
  address: 'YOUR_CLUSTER_ENDPOINT',
  token: 'YOUR_CLUSTER_TOKEN',
});

await client.createPrivilegeGroup({
  group_name: 'privilege_group_1',
});

csharp
using Milvus.Client.V2.Requests.Rbac;
using Milvus.Client.V2.Responses.Rbac;
using Milvus.Client.V2;

var config = new ConnectConfig
{
    Uri = "YOUR_CLUSTER_ENDPOINT"
};
using var client = new MilvusClientV2(config);

await client.ConnectAsync();

await client.CreatePrivilegeGroupAsync(new CreatePrivilegeGroupReq
{
    GroupName = "privilege_group_1"
});

bash
export CLUSTER_ENDPOINT="YOUR_CLUSTER_ENDPOINT"
export TOKEN="YOUR_CLUSTER_TOKEN"

curl --request POST \
--url "${CLUSTER_ENDPOINT}/v2/vectordb/privilege_groups/create" \
--header "Authorization: Bearer ${TOKEN}" \
--header "Content-Type: application/json" \
-d '{
    "privilegeGroupName":"privilege_group_1"
}'

カスタム権限グループを作成したら、その権限グループに権限を追加できます。

カスタム権限グループに権限を追加する

次の例は、作成したばかりの権限グループ privilege_group_1 に権限 PrivilegeBackupRBAC と PrivilegeRestoreRBAC を追加する方法を示しています。Zilliz Cloud で利用可能なすべての権限の詳細については、すべての権限を参照してください。

python
client.add_privileges_to_group(group_name='privilege_group_1', privileges=['Query', 'Search'])

java
client.addPrivilegesToGroup(AddPrivilegesToGroupReq.builder()
        .groupName("privilege_group_1")
        .privileges(Arrays.asList("Query", "Search"))
        .build());

go
privileges := []string{"Query", "Search"}
err = client.AddPrivilegesToGroup(ctx, milvusclient.NewAddPrivilegesToGroupOption("privilege_group_1", privileges...))
if err != nil {
    fmt.Println(err.Error())
    // handle error
}

rust
client
    .add_privileges_to_group(
        AddPrivilegesToGroupRequest::builder()
            .group_name("privilege_group_1")
            .privileges(["Query", "Search"])
            .build()?,
    )
    .await?;

c++
auto status = client->AddPrivilegesToGroup(milvus::AddPrivilegesToGroupRequest()
                                              .WithGroupName("privilege_group_1")
                                              .WithPrivileges({"Query", "Search"}));
if (!status.IsOk()) {
    std::cout << status.Message() << std::endl;
}

javascript
await client.addPrivilegesToGroup({
  group_name: "privilege_group_1",
  privileges: ["Query", "Search"],
});

csharp
await client.AddPrivilegesToGroupAsync(new AddPrivilegesToGroupReq
{
    GroupName = "privilege_group_1",
    Privileges = ["Query", "Search"]
});

bash
export CLUSTER_ENDPOINT="YOUR_CLUSTER_ENDPOINT"
export TOKEN="YOUR_CLUSTER_TOKEN"

curl --request POST \
--url "${CLUSTER_ENDPOINT}/v2/vectordb/privilege_groups/add_privileges_to_group" \
--header "Authorization: Bearer ${TOKEN}" \
--header "Content-Type: application/json" \
-d '{
    "privilegeGroupName":"privilege_group_1",
    "privileges":["Query", "Search"]
}'

権限を権限グループに追加したら、その権限グループをロールに付与できます。詳細については、クラスターロールの管理（SDK）を参照してください。

カスタム権限グループから権限を削除する

次の例は、権限グループ privilege_group_1 から権限 PrivilegeRestoreRBAC を削除する方法を示しています。

python
client.remove_privileges_from_group(group_name='privilege_group_1', privileges=['Search'])

java
client.removePrivilegesFromGroup(RemovePrivilegesFromGroupReq.builder()
        .groupName("privilege_group_1")
        .privileges(Collections.singletonList("Search"))
        .build());

go
err = client.RemovePrivilegesFromGroup(ctx, milvusclient.NewRemovePrivilegesFromGroupOption("privilege_group_1", []string{"Search"}...))
if err != nil {
    fmt.Println(err.Error())
    // handle error
}

rust
client
    .remove_privileges_from_group(
        RemovePrivilegesFromGroupRequest::builder()
            .group_name("privilege_group_1")
            .privileges(["Search"])
            .build()?,
    )
    .await?;

c++
auto status = client->RemovePrivilegesFromGroup(milvus::RemovePrivilegesFromGroupRequest()
                                                    .WithGroupName("privilege_group_1")
                                                    .WithPrivileges({"Search"}));
if (!status.IsOk()) {
    std::cout << status.Message() << std::endl;
}

javascript
await client.removePrivilegesFromGroup({
  group_name: "privilege_group_1",
  privileges: ["Search"],
});

csharp
await client.RemovePrivilegesFromGroupAsync(new RemovePrivilegesFromGroupReq
{
    GroupName = "privilege_group_1",
    Privileges = ["Search"]
});

bash
export CLUSTER_ENDPOINT="YOUR_CLUSTER_ENDPOINT"
export TOKEN="YOUR_CLUSTER_TOKEN"

curl --request POST \
--url "${CLUSTER_ENDPOINT}/v2/vectordb/privilege_groups/remove_privileges_from_group" \
--header "Authorization: Bearer ${TOKEN}" \
--header "Content-Type: application/json" \
-d '{
    "privilegeGroupName":"privilege_group_1",
    "privileges":["Search"]
}'

権限グループを一覧表示する

次の例は、既存のすべての権限グループを一覧表示する方法を示しています。

python
client.list_privilege_groups()

java
ListPrivilegeGroupsResp resp = client.listPrivilegeGroups(ListPrivilegeGroupsReq.builder()
        .build());
List<PrivilegeGroup> groups = resp.getPrivilegeGroups();

go
groups, err := client.ListPrivilegeGroups(ctx, milvusclient.NewListPrivilegeGroupsOption())
if err != nil {
    fmt.Println(err.Error())
    // handle error
}
for _, group := range groups {
    fmt.Println(group.GroupName, group.Privileges)
}

rust
let resp = client
    .list_privilege_groups(ListPrivilegeGroupsRequest::builder().build()?)
    .await?;
for group in resp.groups() {
    println!("{}: {:?}", group.get_group_name(), group.get_privileges());
}

c++
milvus::ListPrivilegeGroupsResponse resp;
auto status = client->ListPrivilegeGroups(milvus::ListPrivilegeGroupsRequest(), resp);
if (!status.IsOk()) {
    std::cout << status.Message() << std::endl;
}

javascript
await client.listPrivilegeGroups();

csharp
ListPrivilegeGroupsResp resp = await client.ListPrivilegeGroupsAsync(new ListPrivilegeGroupsReq());
foreach (PrivilegeGroupInfo group in resp.Groups)
{
    Console.WriteLine(group.GroupName);
}

bash
export CLUSTER_ENDPOINT="YOUR_CLUSTER_ENDPOINT"
export TOKEN="YOUR_CLUSTER_TOKEN"

curl --request POST \
--url "${CLUSTER_ENDPOINT}/v2/vectordb/privilege_groups/list" \
--header "Authorization: Bearer ${TOKEN}" \
--header "Content-Type: application/json" \
-d '{}'

出力例は以下のとおりです。

bash

PrivilegeGroupItem: <privilege_group:privilege_group_1>, <privileges:('Search', 'Query')>

カスタム権限グループを削除する

次の例は、権限グループ privilege_group_1 を削除する方法を示しています。

python
client.drop_privilege_group(group_name='privilege_group_1')

java
client.dropPrivilegeGroup(DropPrivilegeGroupReq.builder()
        .groupName("privilege_group_1")
        .build());

go
err = client.DropPrivilegeGroup(ctx, milvusclient.NewDropPrivilegeGroupOption("privilege_group_1"))
if err != nil {
    fmt.Println(err.Error())
    // handle error
}

rust
client
    .drop_privilege_group(
        DropPrivilegeGroupRequest::builder()
            .group_name("privilege_group_1")
            .build()?,
    )
    .await?;

c++
auto status = client->DropPrivilegeGroup(milvus::DropPrivilegeGroupRequest().WithGroupName("privilege_group_1"));
if (!status.IsOk()) {
    std::cout << status.Message() << std::endl;
}

javascript
await client.dropPrivilegeGroup({group_name: 'privilege_group_1'});

csharp
await client.DropPrivilegeGroupAsync(new DropPrivilegeGroupReq
{
    GroupName = "privilege_group_1"
});

bash
export CLUSTER_ENDPOINT="YOUR_CLUSTER_ENDPOINT"
export TOKEN="YOUR_CLUSTER_TOKEN"

curl --request POST \
--url "${CLUSTER_ENDPOINT}/v2/vectordb/privilege_groups/drop" \
--header "Authorization: Bearer ${TOKEN}" \
--header "Content-Type: application/json" \
-d '{
    "privilegeGroupName":"privilege_group_1"
}'

すべての権限

以下は、Zilliz Cloud で利用可能なすべての権限です。

以下に示す権限を含む独自の権限グループを作成する場合、または権限を含むカスタムロールを作成する場合は、お問い合わせください。

データベース権限

権限	説明
ListDatabases	現在のインスタンス内のすべてのデータベースを表示します
DescribeDatabase	データベースの詳細を表示します
CreateDatabase	データベースを作成します
DropDatabase	データベースを削除します
AlterDatabase	データベースのプロパティを変更します

コレクション権限

権限	説明
GetFlushState	コレクションの Flush 操作のステータスを確認します
GetLoadState	コレクションのロードステータスを確認します
GetLoadingProgress	コレクションのロード進捗を確認します
ShowCollections	コレクション権限を持つすべてのコレクションを表示します
ListAliases	コレクションのすべてのエイリアスを表示します
DescribeCollection	コレクションの詳細を表示します
DescribeAlias	エイリアスの詳細を表示します
GetStatistics	コレクションの統計情報（コレクション内のエンティティ数など）を取得します
CreateCollection	コレクションを作成します
DropCollection	コレクションを削除します
Load	コレクションをロードします
Release	コレクションをリリースします
Flush	コレクション内のすべてのエンティティを sealed セグメントに永続化します。Flush 操作後に挿入されたエンティティは、新しいセグメントに格納されます。
Compaction	Compaction を手動でトリガーします
RenameCollection	コレクションの名前を変更します
CreateAlias	コレクションのエイリアスを作成します
DropAlias	コレクションのエイリアスを削除します
FlushAll	データベース内のすべてのコレクションを Flush します
AddCollectionField	既存のコレクションにフィールドを追加します

パーティション権限

権限	説明
HasPartition	パーティションが存在するかどうかを確認します
ShowPartitions	コレクション内のすべてのパーティションを表示します
CreatePartition	パーティションを作成します
DropPartition	パーティションを削除します

インデックス権限

権限	説明
IndexDetail	インデックスの詳細を表示します
CreateIndex	インデックスを作成します
DropIndex	インデックスを削除します

リソース管理権限

権限	説明
LoadBalance	ロードバランスを実現します
CreateResourceGroup	リソースグループを作成します
DropResourceGroup	リソースグループを削除します
UpdateResourceGroups	リソースグループを更新します
DescribeResourceGroup	リソースグループの詳細を表示します
ListResourceGroups	現在のインスタンス内のすべてのリソースグループを表示します
TransferNode	リソースグループ間でノードを転送します
TransferReplica	リソースグループ間でレプリカを転送します
BackupRBAC	現在のインスタンス内のすべての RBAC 関連操作のバックアップを作成します
RestoreRBAC	現在のインスタンス内のすべての RBAC 関連操作のバックアップを復元します

エンティティ権限

権限	説明
Query	クエリを実行します
Search	検索を実行します
Insert	エンティティを挿入します
Delete	エンティティを削除します
Upsert	エンティティを Upsert します
Import	エンティティを一括挿入またはインポートします

RBAC 権限

権限	説明
CreateOwnership	ユーザーまたはロールを作成します
UpdateUser	ユーザーのパスワードを更新します
DropOwnership	ユーザーのパスワードまたはロールを削除します
SelectOwnership	特定のロールが付与されているすべてのユーザーを表示します
ManageOwnership	ユーザーまたはロールを管理する、あるいはユーザーにロールを付与します
SelectUser	ユーザーに付与されているすべてのロールを表示します
CreatePrivilegeGroup	権限グループを作成します
DropPrivilegeGroup	権限グループを削除します
ListPrivilegeGroups	現在のインスタンス内のすべての権限グループを表示します
OperatePrivilegeGroup	権限グループに権限を追加する、または権限グループから権限を削除します

権限グループ​

組み込み権限グループ​

コレクションレベルの権限グループ​

データベースレベルの権限グループ​

クラスターレベルの権限グループ​

カスタム権限グループ​

カスタム権限グループを作成する​

カスタム権限グループに権限を追加する​

カスタム権限グループから権限を削除する​

権限グループを一覧表示する​

カスタム権限グループを削除する​

すべての権限​

データベース権限​

コレクション権限​

パーティション権限​

インデックス権限​

リソース管理権限​

エンティティ権限​

RBAC 権限​