ファイルURL直接入力時におけるアクセス権制限とセキュリティ仕様について

「楽楽販売」のファイル項目やフォルダに格納されたファイルは、システム内部のセキュアな領域で管理されています。

ログインしていない未認証のユーザーがファイルURL（/file/view/oid/番号/fname/ファイル名）を直接入力した場合は、必ずログイン画面へリダイレクトされ、ファイルを閲覧・ダウンロードすることはできません。

ただし、ログイン済みのユーザーがファイルURLにアクセスした場合は、パフォーマンス維持の仕組み上、レコード単位の詳細なアクセス権判定を行わずダウンロードが許可される仕様となっております。そのため、対象データベース全体の「参照」アクセス権の管理や運用上の対策が必要となります。

1. ファイルURL直接入力時のアクセス制御仕様

• 未ログイン・アクセス権のないユーザーの挙動：
  ログインしていない場合や、対象データベースに対する「参照」アクセス権を持たないユーザーがURLを直接入力した場合は、ログイン画面へリダイレクトされるか、アクセス拒否エラーが表示されます。
• ログイン済みユーザーの挙動（レコード単位判定の仕様）：
  ファイルアクセスの高速化とシステム全体のパフォーマンス維持のため、URLアクセス時にはレコード単位のアクセス権チェックを都度行わない仕様となっています。そのため、データベースの参照権限を持つログインユーザーであれば、URLからファイルへアクセスが可能です。

2. 不正アクセス・情報漏洩を防ぐための推奨運用・代替案

ファイルへの不正アクセスや意図しない共有を防ぐため、以下の運用・設定を組み合わせることを推奨いたします。

1. データベースの「参照」アクセス権を厳格に管理する：
   ファイルを見せたくないユーザーについては、個人設定および所属ユーザーグループ双方で対象データベースの「参照」アクセス権を外してください。
2. 社内運用ルールの徹底：
   ファイルURLを直接コピーして共有する操作を控えさせるなど、社内でのセキュリティ運用ルールを周知・徹底してください。

関連記事

詳細なアクセス権の定義や設定手順については、下記マニュアルをご確認ください。

アクセス権設定：各アクセス権の内容

データベース、フォルダ、メールボックスごとのアクセス権の定義と付与時の挙動について解説しています。
アクセス権設定：各アクセス権の内容

アクセス権設定：ユーザ／ユーザグループごとに設定

ユーザーやユーザーグループに対してアクセス権を個別に制御する具体的な手順です。
アクセス権設定：ユーザ／ユーザグループごとに設定

（記事ID：3038）