制限付きセキュリティ ドメインを使用すると、テナント A などのファブリック管理者は、両方のグループのユーザーに同じ権限が割り当てられている場合、あるユーザー グループがテナント B などの別のセキュリティ ドメインのユーザー グループによって作成されたオブジェクトを表示または変更できないようにすることができます。たとえば、テナント A の制限付きセキュリティ ドメインのテナント管理者は、テナント B のセキュリティ ドメインで構成されたポリシー、プロファイル、またはユーザーを表示できません。テナント B のセキュリティ ドメインも制限されていない限り、テナント B は、テナント A で設定されたポリシー、プロファイル、またはユーザーを表示できます。 ユーザーが適切な権限を持つシステム作成の構成に対して、ユーザーは常に読み取り専用で閲覧可能であることに注意してください。

たとえば、制限付きセキュリティ ドメインのユーザーがテナント A に関連付けられているとします。テナント A には、ユーザーが作成したアプリケーション プロファイル 1 と管理者が作成したアプリケーション プロファイル 2 の 2 つのアプリケーション プロファイルが含まれています。アプリケーション プロファイル 2 も同じテナントのものですが、ユーザーはアプリケーション プロファイル 1 しか表示できません。ユーザーが制限付きセキュリティ ドメインにいる場合、管理者によって作成されたプロファイルも表示されません。

上記の例では、アプリケーション プロファイル 2 は別のユーザー（管理者）によって作成されていますが、制限のないユーザー（制限付きのセキュリティ ドメインに属していないユーザー）は、アプリケーション プロファイル 1 とアプリケーション プロファイル 2 の両方を表示できます。

Cloud Application Policy Infrastructure Controller (cAPIC) では、ロールベース アクセス コントロール（RBAC）を介してユーザーのロールに従ってアクセスが提供されます。ファブリック ユーザーは以下に関連付けられています。

• ロールのセット

• ロールごとの権限タイプ：アクセスなし、読み取り専用、または読み取り/書き込み

• ユーザがアクセスできる管理情報ツリー (MIT) の一部を識別する 1 つ以上のセキュリティ ドメイン タグ

Cloud APIC は、管理対象オブジェクト（MO）レベルでアクセス権限を管理します。権限は、システム内の特定の機能に対するアクセスを許可または制限する MO です。たとえば、ファブリック機器は権限ビットです。このビットは、物理ファブリックの機器に対応するすべてのオブジェクト上で cAPIC によって設定されます。

ロールは権限ビットの集合です。たとえば、「管理者」ロールが「ファブリック機器」と「テナント セキュリティ」に対する権限ビットに設定されていると、「管理者」ロールにはファブリックの機器とテナント セキュリティに対応するすべてのオブジェクトへのアクセス権があります。

セキュリティ ドメインは、 cAPIC オブジェクト階層の特定のサブツリーに関連付けられたタグです。たとえば、デフォルトのテナント「common」にはドメイン タグ common が付いています。同様に、特殊なドメイン タグ all の場合、MIT オブジェクト ツリー全体が含まれます。管理者は、MIT オブジェクト階層にカスタム ドメイン タグを割り当てることができます。

ユーザを作成してロールを割り当てても、アクセス権は有効になりません。1 つ以上のセキュリティ ドメインにそのユーザを割り当てることも必要です。デフォルトでは、cAPIC ファブリックには事前作成された次の 2 つの特殊なドメインが含まれています。

• All：MIT 全体へのアクセスを許可

• インフラ：ファブリック アクセス ポリシーなどの、ファブリック インフラストラクチャのオブジェクトおよびサブツリーへのアクセスを許可

Cisco Cloud APIC は、次の AAA ロールと権限をサポートしています。

カスタム権限は、任意の MO クラスに割り当てることができます。22 個のカスタム権限が Cisco Cloud APIC GUI に表示されます。これらのカスタム権限のいずれかがクラスに割り当てられている場合、その MO のアクセスには新しく追加されたカスタム権限が含まれます。1 つのカスタム権限を 1 つ以上の MO クラスに関連付けることができます。

（注）	カスタム権限は Cisco Cloud APIC GUI で表示されますが、現在サポートされていません。

事前に定義された一連の管理対象オブジェクト クラスをドメインに関連付けることができます。これらのクラスがオーバーラップすることはできません。ドメインの関連付けをサポートするクラスの例：

• レイヤ 2 およびレイヤ 3 のネットワークで管理されたオブジェクト

• ネットワーク プロファイル (物理、レイヤ 2、レイヤ 3、管理など)

• Quality of Service（QoS）ポリシー

ドメインに関連付けることができるオブジェクトが作成されると、ユーザは、ユーザのアクセス権の範囲内でオブジェクトにドメインを割り当てる必要があります。ドメインの割り当てはいつでも変更できます。

RBAC ルールは、リソース（アプリケーション プロファイル、EPG、契約など）を、別のセキュリティ ドメインにいるためにアクセスできないユーザーに選択的に公開します。RBAC ルールは、アクセスされるオブジェクトを特定する識別名（DN）と、オブジェクトにアクセスするユーザーを含むセキュリティ ドメインの名前の 2 つの部分で構成されます。

RBAC ルールには 2 つのタイプがあります。

• 暗黙的 - ユーザーは、RBAC 階層に基づいてルールまたは権限を継承します

• 明示的 - ルールは特定のポリシーに基づいてユーザーに直接割り当てられます

制限付きおよび制限なしの両方のセキュリティ ドメインがサポートされています。

（注）	管理情報ツリー内の異なる部分に存在するユーザに対し、RBAC 規則によりオブジェクトを公開することは可能ですが、CLI の使用によってツリーの構造を横断することでそのようなオブジェクトに移動することはできません。ただし、RBAC 規則に含まれるオブジェクトの DN をユーザが把握していれば、ユーザは MO 検索コマンドにより、CLI を使用してそれを見つけることができます。

制限付きドメインのユーザーに対するガイドラインと制限は次のとおりです。

• あるセキュリティ ドメインのユーザーに別のセキュリティ ドメインが割り当てられている場合、そのユーザーは新しいドメインに関連付けられた構成にアクセスできます。

• ユーザーは、「制限付き」とマークされた 1 つ以上のセキュリティ ドメインの一部になることができます。

• 制限付きドメイン ユーザーは、システムで作成された構成への読み取り専用アクセス権を持っています。​

• 複数のセキュリティ ドメインを持つユーザーの場合、すべてのセキュリティ ドメインを合わせた長さが 1024 文字を超えることはできません。長さが 1024 を超えると、ユーザーはポリシーの作成に問題が発生します。

• Cloud APIC の制限付きドメインは、クラウド リソースではサポートされていません。つまり、ある制限付きドメインのユーザーは、別の制限付きドメインのユーザーによって作成されたクラウド リソースを表示できます。