• Replies 1 reply
  • Subscribers 21 subscribers
  • Views 7 views
  • Users 0 members are here
Options
Related

AD(Active Directory)のグループ・ユーザに基づいたPI Visionのアクセス権限・画面編集権限制御について

TomokiHorio

他のサイトを参考にしましたが、具体的なソリューションが見つかりませんでしたので、ここに投稿させていただきます。ご回答の方宜しくお願い致します。

 

1.PI Visionへログインするためには以下の2点が必要と認識しています。合っていますでしょうか。

 

・Kerberos認証可能なADユーザーであること。(Kerberos認証が推奨されている)

 

・PI Visionサーバーのローカルグループ（PI Vision AdminsもしくはPI Vision Users）に登録されているユーザーであること。

 

2.例えばKerberos認証でアクセスしに行く先のAD(ActiveDirectory)サーバーにグループ1というADグループとグループ２というADグループが存在しており、下記のように各グループにはそれぞれユーザIDとパスワードを登録している複数のユーザーが存在しているとします。

 

ADグループ1にはUser1(UserID/PW), User2(UserID/PW), User3(UserID/PW)

 

ADグループ2にはUser4(UserID/PW), User5(UserID/PW), User6(UserID/PW)

 

PIVisionへのアクセスをADグループ別で制御したい、且つログイン後のPI Vision画面右上に表示されるUser名はADグループのUserIDにしたいときの解決方法を教えていただきたいです。

 

例えば、ADグループ1のUser1がブラウザからADに登録されているUserID/PWを入力してログインボタンを押下するとKerberos認証が実施され、認証に成功するとPI Vision画面の右上にUser1のUserIDが表示され、

 

且つADグループ１が編集権限(Read/Write)を持っているdisplayしか表示されていない状況をイメージしています。
Parents

  • Tomoki Horio様

    ご投稿ありがとうございます。

     

    まず、PI Visionへの認証方法ですが、Windows統合認証（Kerberos含む）、及び基本認証があります。

    イントラ環境、VPNによる接続環境であればWindows統合認証を、パブリックWeb siteとして使用するのであれば基本認証が良いかと思います。

     

    PI Visionのサイトへのアクセス権限設定は厳密にはIIS上で設定されます。PI VisionをインストールするとPI Vision Usersにアクセス権限が設定されます。こちらはカスタマイズ可能ですが、各画面単位でのアクセス制御はできないので、設定を変更する必要はありません。

     

    グループ単位で画面を共有するかしないかについてはAFのIdentityを使用する事で切り分ける事が可能です。

    ただし、Readに関しては制御できますが、編集については原則所有者しか変更できないため、期待する動作にはならないと思われます。こちらについては時期PI Visionで改善される予定です。

     

    また、ご質問の運用はどちらかというとPI Vision Server自体を分けて使用されるのが良いかと思います。

    ライセンス上、PI Visionはユーザー数で設定されるため、PI Vision Server数には制限がありません。

Reply

  • Tomoki Horio様

    ご投稿ありがとうございます。

     

    まず、PI Visionへの認証方法ですが、Windows統合認証（Kerberos含む）、及び基本認証があります。

    イントラ環境、VPNによる接続環境であればWindows統合認証を、パブリックWeb siteとして使用するのであれば基本認証が良いかと思います。

     

    PI Visionのサイトへのアクセス権限設定は厳密にはIIS上で設定されます。PI VisionをインストールするとPI Vision Usersにアクセス権限が設定されます。こちらはカスタマイズ可能ですが、各画面単位でのアクセス制御はできないので、設定を変更する必要はありません。

     

    グループ単位で画面を共有するかしないかについてはAFのIdentityを使用する事で切り分ける事が可能です。

    ただし、Readに関しては制御できますが、編集については原則所有者しか変更できないため、期待する動作にはならないと思われます。こちらについては時期PI Visionで改善される予定です。

     

    また、ご質問の運用はどちらかというとPI Vision Server自体を分けて使用されるのが良いかと思います。

    ライセンス上、PI Visionはユーザー数で設定されるため、PI Vision Server数には制限がありません。

Children
No Data