# ACL hydration > ACL hydration - Learn about fine-grained access control for vector database results based on > original document permissions from external sources. This Markdown file sits beside the HTML page at the same path (with a `.md` suffix). It summarizes the topic and lists links for tools and LLM context. Companion generated at `2026-07-23T18:01:59.367869+00:00` (UTC). ## Primary page - [ACL hydration](https://docs.datarobot.com/ja/docs/agentic-ai/vector-database/acl-hydration.html.md): Full documentation for this topic (Markdown sidecar). ## Sections on this page - [概要](https://docs.datarobot.com/ja/docs/agentic-ai/vector-database/acl-hydration.html.md#overview): In-page section heading. - [Key capabilities](https://docs.datarobot.com/ja/docs/agentic-ai/vector-database/acl-hydration.html.md#key-capabilities): In-page section heading. - [Supported data sources](https://docs.datarobot.com/ja/docs/agentic-ai/vector-database/acl-hydration.html.md#supported-data-sources): In-page section heading. - [Setting up ACL hydration](https://docs.datarobot.com/ja/docs/agentic-ai/vector-database/acl-hydration.html.md#setting-up-acl-hydration): In-page section heading. - [前提条件](https://docs.datarobot.com/ja/docs/agentic-ai/vector-database/acl-hydration.html.md#prerequisites): In-page section heading. - [Configuration steps](https://docs.datarobot.com/ja/docs/agentic-ai/vector-database/acl-hydration.html.md#configuration-steps): In-page section heading. - [How ACL hydration works](https://docs.datarobot.com/ja/docs/agentic-ai/vector-database/acl-hydration.html.md#how-acl-hydration-works): In-page section heading. - [User access levels](https://docs.datarobot.com/ja/docs/agentic-ai/vector-database/acl-hydration.html.md#user-access-levels): In-page section heading. - [File access scenarios](https://docs.datarobot.com/ja/docs/agentic-ai/vector-database/acl-hydration.html.md#file-access-scenarios): In-page section heading. - [ユーザーIDとアプリケーションおよびエージェントを連携させる](https://docs.datarobot.com/ja/docs/agentic-ai/vector-database/acl-hydration.html.md#integrate-user-identities-with-applications-and-agents): In-page section heading. - [機能に関する注意事項](https://docs.datarobot.com/ja/docs/agentic-ai/vector-database/acl-hydration.html.md#feature-considerations): In-page section heading. - [バックグラウンド同期の監視](https://docs.datarobot.com/ja/docs/agentic-ai/vector-database/acl-hydration.html.md#monitoring-background-synchronization): In-page section heading. - [ユーザーIDとメンバーシップの同期](https://docs.datarobot.com/ja/docs/agentic-ai/vector-database/acl-hydration.html.md#id): In-page section heading. - [ACLの同期](https://docs.datarobot.com/ja/docs/agentic-ai/vector-database/acl-hydration.html.md#acl): In-page section heading. - [トラブルシューティング](https://docs.datarobot.com/ja/docs/agentic-ai/vector-database/acl-hydration.html.md#troubleshooting): In-page section heading. ## Documentation content > [!NOTE] プレミアム機能 > DataRobot's RAG ACL management capabilities are a premium feature; contact your DataRobot representative for enablement information. This functionality is not available in the DataRobot trial experience. アクセス制御リスト（ACL）のハイドレーションにより、GoogleドライブやSharePointなどの外部ソースからの元のドキュメントの権限に基づいて、ベクターデータベースの結果に対してきめ細かな認可が適用されます。 これらのソースからファイルを取り込む際、DataRobotはそのアクセス制御情報を取得・保持し、ユーザーが元のソースシステムで閲覧権限を持つドキュメントのベクターデータベースのチャンクにのみアクセスできるようにします。 ## 概要 ACL hydration enables organizations to maintain the same access control policies in DataRobot that exist in their source systems. これは、生成AIアプリケーション向けのベクターデータベースで機密文書を使用する際に、それを確実に保護する必要がある管理者にとって特に重要です。 データセットの場合、ACLハイドレーションは次のように動作します。 1. サポートされている外部ソースからファイルを取り込みます。 DataRobotはそれらを ファイルレジストリ に登録します。 2. DataRobotは取り込み時に最初のACLを取得し、キャッシュします。 3. DataRobot continuously monitors ACL changes in the source system using polling mechanisms: 4. ユーザーがベクターデータベースにクエリーを実行すると、DataRobotは元のソースシステムにおけるユーザーの権限に基づいて結果をフィルターし、アクセス可能なチャンクのみが返されるようにします。 **What is the latency for ACL updates?** DataRobot targets low-latency ACL updates to ensure permissions are applied as quickly as possible. While the system is designed to support near real-time updates (targeting a few seconds in the long term), initial implementations may have latencies of approximately 1 minute, which is acceptable for most use cases. Updates that take 10 minutes or longer are not acceptable. 詳細については、 [機能に関する注意事項](https://docs.datarobot.com/ja/docs/agentic-ai/vector-database/acl-hydration.html.md#feature-considerations) を参照してください。 ### Key capabilities ACL hydration provides the following capabilities: | 機能 | 説明 | | --- | --- | | Initial ACL capture | サポートされているデータソースからファイルを初めて取り込む際に、アクセス制御情報を自動的に取得し保存します。 | | ACL change monitoring | Continuously polls source systems to detect and apply permission changes as they occur. | | ベクターデータベースの結果のフィルター | Filters vector database query results to return only chunks from documents the user has permission to access. | | Multi-user support | Supports multiple users with different permission levels, ensuring each user sees only the data they're authorized to access. | ## Supported data sources ACL hydration is currently supported for the following data sources: | データソース | ACL tracking method | | --- | --- | | Googleドライブ | Drive Activity API | | SharePoint | Delta Query | 必要なAPIおよび権限に関する詳細については、 [ACLメタデータのハイドレーションとエンフォースメント](https://docs.datarobot.com/ja/docs/reference/gen-ai-ref/acl-hydrate-query.html.md) を参照してください。 ## Setting up ACL hydration 組織でACLハイドレーションを有効にするには、サポートされているデータソースに対して管理者接続を設定します。 ### 前提条件 Before setting up ACL hydration, ensure you have: - An organization administrator account with appropriate permissions. - サポートされているデータソース への接続。 - （接続の設定後に）サポートされているデータソースから取り込まれたファイル。 ### Configuration steps 1. DataRobotの組織管理者として、データ接続ページに移動します。 2. サポートされているデータソースタイプの既存の接続を選択するか、新しい接続を作成します（管理者接続にはサービスアカウントを使用することを強くお勧めします）。 3. アクセス制御リストの同期を有効にするをオンに切り替えます。 DataRobotはこの接続を使用して、組織内のすべてのファイルにおけるACLの変更を定期的に確認します。 4. 必要に応じて、ACL管理の詳細を設定します。 5. 管理者なりすまし用メールアドレス：バックグラウンドでなりすます管理者アカウントを設定します。 Googleドライブでは、このフィールドは必須です。 6. ドメイン（任意）：ユーザーのメールアドレスのドメインを、指定された文字列で上書きします。 たとえば、ドメインがsharepoint.comに設定され、ユーザーのメールアドレスがmy-account@company.comである場合、DataRobotはmy-account@sharepoint.comのACLを追跡します。 7. 保存をクリックします。 データソースのタイプごとに、管理者接続は1つのみとなります。 DataRobot組織内の管理者ユーザーは、自身が権限を持つ接続に対してACL同期を有効にすることができます。 そうすることで、組織全体でそのデータソースに対する既存の管理者接続が上書きされます。 組織の管理者ユーザーには、すべての管理者接続が表示されるわけではありません。明示的に共有されているか、自身が所有している管理者接続のみが表示されます。 8. 接続IDを取得してデータソースを作成し、ファイルの取込みを開始します。 Initial ACLs are automatically captured during ingestion. 備考For Google Drive, extract both the Drive ID and Folder ID from the Google Drive URL. DataRobotの新規ユーザーの場合、非同期ジョブが外部プリンシパル（ユーザーID）を自動的に更新し、ACL未設定の期間を最小限に抑えます。 ## How ACL hydration works ACLハイドレーションは、アクセス制御リストを取得して、ソースシステムの設定を監視し、それらの設定に基づいて各ユーザーにベクターデータベースの結果を返します。 ファイルが最初に取り込まれる際、DataRobotは各ファイルの現在のアクセス制御リストを取得します。 次のようなACL情報が ファイルレジストリ に保存されます。 ``` * The origin of each file (connector type and external file ID). * Original catalog ID and catalog version ID. * Initial ACLs with user and group permissions. ``` カタログアイテムが更新されたり、ファイルが変更されたりした場合でも、権限情報は保持されます。 DataRobotは、低レイテンシーを目指してソースAPIに一定の間隔でクエリーを実行するポーリングメカニズムを使用して、ソースシステムでのACLの変更を継続的に監視します。 例： ``` * For Google Drive, DataRobot uses Drive Activity API to query for permission change events. * For SharePoint, DataRobot uses Delta Query to retrieve incremental changes. ``` ACLの変更が検出されると、DataRobotは ファイルレジストリ に保存されているACL情報を更新します。 変更は直ちに反映され、今後のベクターデータベースへのクエリーに影響します。 ユーザーがベクターデータベースにクエリーを実行すると、DataRobotは、ベクターデータベースのチャンク内で参照されている各ファイルについて、ユーザーの権限を確認します。 ユーザーがアクセス権限を持つファイルのチャンクのみが結果に含まれます。 システムは、保存されているACL情報と、ユーザーの外部プリンシパルへのマッピングを組み合わせて、アクセス権を決定します。 ## User access levels ACL hydration respects the original source system permissions: | アクセスレベル | 動作 | | --- | --- | | Full access | ソースシステム内のファイルに対してフルアクセス権を持つユーザーは、そのファイルのすべてのベクターデータベースのチャンクを参照できます。 | | Restricted access | アクセスが制限されているユーザーには、ソースシステムの権限に基づいて、自身が認可されているチャンクのみが表示されます。 | | No access | ソースシステム内のファイルにアクセスできないユーザーは、DataRobotのカタログアイテムにアクセスできる場合でも、そのファイルのベクターデータベースチャンクを表示できません。 | ### File access scenarios 以下のシナリオ例は、ACLハイドレーションの仕組みを説明するものです。 Scenario 1: User who ingested files - Googleドライブからファイルを取り込むユーザーは、取り込んだすべてのファイルにアクセスできます。 - このユーザーは、クエリーの結果に表示されるそれらのファイルに含まれるすべてのベクターデータベースチャンクを確認できます。 Scenario 2: User with restricted access - 特定のグループのメンバーであるユーザーは、そのグループと共有されているファイルにのみアクセスできます。 - このユーザーは、ソースシステムでアクセス権限を持つファイルに含まれるベクターデータベースチャンクのみを確認できます。 - アクセス権のないフォルダー内のファイルからの結果は除外されます。 Scenario 3: Public files - 公開または「接続アクセス」とマークされたファイルは、すべてのユーザーがアクセスできます。 - すべてのユーザーが、これらの公開ファイルからベクターデータベースのチャンクを確認できます。 ## ユーザーIDとアプリケーションおよびエージェントを連携させる DataRobotは、アプリケーション、エージェント、ベクターデータベース、およびACLの適用間の連携をサポートしています。 この連携は、アプリケーションおよびエージェントが、ACLでフィルターされたベクターデータベースの結果をリクエスト元ユーザーに自動的に適用するように構築されています。 DataRobotエージェントを呼び出し、ACL対応のベクターデータベースを使用するアプリケーションでは、エージェントが適切なACLフィルターを適用できるよう、リクエスト元ユーザーのIDを反映させる必要があります。 以下の手順を実行します。 1. 受信リクエストからIDトークンを読み取ります。 アプリは（フロントエンドやAPIクライアントなどから）リクエストを受信します。 各リクエストからX-DataRobot-Identity-Tokenヘッダーを読み取ります。 2. エージェントを呼び出すときにX-DataRobot-Identity-Tokenヘッダーを渡します。 アプリからDataRobotエージェント（チャットやRAGなど）を呼び出す際は、エージェントがユーザーを識別し、そのユーザーの権限に基づいてベクターデータベースの結果をフィルターできるよう、アウトバウンド呼び出しにこのヘッダーを含めてください。 ヘッダーの渡し方は、アプリがエージェントを呼び出す方法（例：LLMクライアントへの `extra_headers` として、またはストリームマネージャーへのヘッダーオブジェクトとして）によって異なります。 ヘッダーの読み取りは、いずれの場合も同じです。 ``` # Example: read the identity token from the request (e.g., FastAPI/Starlette) identity_token = request.headers.get("X-DataRobot-Identity-Token") ``` その後、エージェントを呼び出す際に送信するヘッダーにこの値を転送します。 IDトークンが反映されない場合、エージェントはユーザーごとのACLフィルターを適用できず、動作が意図したアクセスポリシーと一致しなくなる可能性があります。 ## 機能に関する注意事項 - DataRobotは、SharePointとGoogleドライブでACLハイドレーションをサポートしています。 - Locally uploaded files and database connections do not support ACL hydration, as they do not have external access control systems to reference. - ACLハイドレーションの実施は、既存のベクターデータベースや取り込まれたファイルには自動的に適用されません。 サポートされているソースから新しく取り込まれたファイルを使用して新しく作成されたベクターデータベースにのみ適用されます。 - DataRobotでは、バックグラウンド同期の状態に関係なく、取得された最新のACLが適用されます。 IDとACLの同期が正常であることを確認する必要がある場合は、バックグラウンド同期の監視で説明されている管理者API監視を使用します。 - DataRobotでは、ACLハイドレーションにおけるドライブ間のリンクはサポートされていません。 たとえば、別のドライブを指すリンクを使用してファイルを取り込む場合、取り込み自体は正常に完了しますが、そのファイルにはACLを介してアクセスできないとみなされます。 ## バックグラウンド同期の監視 管理者は、イベントログAPIを使用してバックグラウンド同期の正常性を監視できます。 次の2つのイベントタイプが関連しています。 ### ユーザーIDとメンバーシップの同期 ユーザーIDおよびメンバーシップの外部ソースとの同期に関するレポートを返すには、以下を使用します。 `GET https://{DATAROBOT_URL}/api/v2/eventLogs/?event=External+principals+synchronized+for+a+connector` このリクエストは、以下のレスポンスフィールドを返します。 | フィールド | 説明 | | --- | --- | | timestamp | レポートの日時（UTC表示）。 | | context.connectorType | データソース（例：gdrive）。 | | context.mostOutdatedMinutes | ユーザーID同期のレイテンシー（分単位）。 | | context.mode | ジョブのステータス。