このページでは、CData Cloud でのSAS Data Sets への接続の確立 のガイド、利用可能なリソースに関する情報、および使用可能な接続プロパティのリファレンスについて説明します。

SAS Data Sets への接続

接続の確立 は、CData Cloud にデータベースを作成するためのSAS Data Sets への認証方法と必要な接続プロパティの設定方法について示します。

CData Cloud サービスからデータにアクセス

利用可能な標準サービスを経由してSAS Data Sets からデータにアクセスする方法と、CData Cloud の管理については、CData Cloud ドキュメント で詳しく説明します。

Database タブで対応するアイコンを選択して、SAS Data Sets に接続します。必須プロパティはSettings にリストされています。Advanced タブには、通常は必要ない接続プロパティが表示されます。

CData Cloud を使用すると、ローカルおよびリモートのSAS リソースに接続できます。データソースへの接続に必要なプロパティに加えて、URI プロパティをSAS リソースの場所に設定します。

ローカルファイルへの接続

ConnectionType をLocal に設定します。ローカルファイルは、SELECT\INSERT クエリをサポートします。

URI をSAS ファイルを含むフォルダに設定します。 C:\folder1。

Cloud-Hosted SAS Data Sets ファイルへの接続

Cloud はさまざまなクラウドストレージ上にホストされたSAS Data Sets ファイルからデータを取得することができますが、INSERT、UPDATE、DELETE はローカルファイル以外ではサポートされていません。

クラウド上のファイルをINSERT、UPDATE、DELETE する必要がある場合は、そのクラウドサービスに対応するCData Cloud をダウンロードし（ストアドプロシージャでサポートされています）、ローカルファイルの対応するCloud に変更を加え、そのクラウドソース用のストアドプロシージャを使ってファイルをアップロードできます。

例えば、SharePoint 上に格納されたファイルをアップデートしたい場合、CData SharePoint Cloud のDownloadDocument プロシージャを使用してSAS Data Sets ファイルをダウンロードし、CData SAS Data Sets Cloud でローカルのSAS Data Sets ファイルをアップデートして、最後にSharePoint Cloud のUploadDocument プロシージャを使って変更されたファイルをSharePoint にアップロードできます。

URI 接続プロパティの先頭にある一意の接頭辞は、Cloud が対象とするクラウドデータストアを識別するために使用され、残りのパスは目的のフォルダ（1ファイルにつき1テーブル）または単一ファイル（単一テーブル）への相対パスとなります。

Amazon S3

Amazon S3 に格納されているSAS Data Sets リソースを識別するために以下を設定します。

• ConnectionType：ConnectionType をAmazon S3 に設定。
• URI：the bucket and folder：s3://bucket1/folder1 に設定。
  • Volume およびBucket を作成し、そのバケット：s3://linktobucket にsymbolic link を作成した後、Cloudera Ozone に保存されているSAS Data Sets リソースに接続することもできます。

Amazon S3 でホストされているSAS ファイルへの接続および認証について詳しくは、Amazon S3 への接続 を参照してください。

Azure Blob Storage

Azure Blob Storage に格納されているSAS Data Sets リソースを識別するために以下を設定します。

• ConnectionType：Azure Blob Storage に設定。
• URI：コンテナの名前およびBlob の名前に設定。例えば、azureblob://mycontainer/myblob です。

Amazon Blob Storage でホストされているSAS ファイルへの接続および認証について詳しくは、Azure Blob Storage への接続 を参照してください。

Azure Data Lake Storage

Azure Data Lake Storage に格納されているSAS Data Sets リソースを識別するために以下を設定します。

• ConnectionType：Azure Data Lake Storage Gen1、Azure Data Lake Storage Gen2、またはAzure Data Lake Storage Gen2 SSL に設定。
• URI：the name of the file system and the name of the folder which contains your SAS Data Sets files に設定。次に例を示します。
  • Gen 1：adl://myfilesystem/folder1
  • Gen 2：abfs://myfilesystem/folder1
  • Gen 2 SSL：abfss://myfilesystem/folder1

Azure Data Lake Storage でホストされているSAS ファイルへの接続および認証について詳しくは、Azure Data Lake Storage への接続 を参照してください。

Azure File Storage

接続するには次のプロパティを設定します。

• ConnectionType：Azure Files に設定。
• URI：Azure ファイル共有の名前とリソースの名前に設定。例：azurefile://fileShare/remotePath。
• AzureStorageAccount（必須）：Azure ファイルに紐づいているアカウントに設定。

Azure アクセスキーまたはAzure 共有アクセス署名のいずれかで認証できます。次のいずれか1つを設定してください。

• AzureAccessKey：Azure ファイルに紐づいているアクセスキーに設定。
• AzureSharedAccessSignature：Azure ファイルに紐づいている共有アクセス署名に設定。

Box

Box に格納されているSAS Data Sets リソースを識別するために以下を設定します。

• ConnectionType：Box に設定。
• URI：the name of the file system and the name of the folder which contains your SAS Data Sets files に設定。例えば、box://folder1です。

Box でホストされているSAS ファイルへの接続および認証について詳しくは、Box への接続 を参照してください。

Dropbox

Dropbox に格納されているSAS Data Sets リソースを識別するために以下を設定します。

• ConnectionType：Dropbox に設定。
• URI：the path to a folder containing SAS files に設定。例えば、dropbox://folder1 です。

Dropbox でホストされているSAS ファイルへの接続および認証について詳しくは、Dropbox への接続 を参照してください。

FTP

Cloud は、FTP サーバーへのプレーンテキスト接続およびSSL/TLS 接続の両方をサポートします。

次の接続プロパティを設定して接続します。

• ConnectionType：FTP またはFTPS のいずれかに設定。
• URI：the address of the server followed by the path to the folder to be used as the root folder に設定。例：ftp://localhost:990/folder1またはftps://localhost:990/folder1。
• User：接続するFTP(S) サーバーのユーザー名に設定。
• Password：接続するFTP(S) サーバーのパスワードに設定。

Google Cloud Storage

Google Cloud Storage に格納されているSAS Data Sets リソースを識別するために以下を設定します。

• ConnectionType：Google Cloud Storage に設定。
• URI：the name of the file system and the name of the folder which contains your SAS Data Sets files へのパスに設定。例えば、gs://bucket/remotePath です。

Google Cloud Storage でホストされているSAS ファイルへの接続および認証について詳しくは、Google Cloud Storage への接続 を参照してください。

Google Drive

Google Drive に格納されているSAS Data Sets リソースを識別するために以下を設定します。

• ConnectionType：Google Drive に設定。
• URI：the name of the file system and the name of the folder which contains your SAS Data Sets files へのパスに設定。例えば、gdrive://folder1 です。

Google Drive でホストされているSAS ファイルへの接続および認証について詳しくは、Google Drive への接続 を参照してください。

HDFS

HDFS に格納されているSAS Data Sets リソースを識別するために以下を設定します。

• ConnectionType：HDFS またはHDFS Secure に設定。
• URI：the path to a folder containing SAS files に設定。次に例を示します。
  • HDFS：webhdfs://host:port/remotePath
  • HDFS Secure：webhdfss://host:port/remotePath
  • Cloudera Ozone（HttpFS ゲートウェイ経由）： webhdfs://<Ozone server>:<port>/user/myuser
    • Ozone に保存されているSAS Data Sets ファイルにアクセスするには、Kerberos 認証を使用する必要があります。
    • Ozone クラスタにOzone 718.2.x があることを確認してください。
    • Cloudera Manager version 7.10.1 が必要です。

HDFS データソースへの接続に使用できる認証方法は、匿名認証とKerberos 認証の2つがあります。

匿名認証

状況によっては、認証接続プロパティなしでHDFS に接続できます。 そのためには、AuthScheme プロパティをNone（デフォルト）に設定します。

Kerberos を使用した認証

認証資格情報が必要な場合、認証にKerberos を使用することができます。 Kerberos で認証する方法についての詳細は、Kerberos の使用 を参照してください。

HTTP Streams

HTTP streams に格納されているSAS Data Sets リソースを識別するために以下を設定します。

• ConnectionType：HTTP またはHTTPS に設定。
• URI：HTTP(S) stream のURI に設定。次に例を示します。
  • HTTP： http://remoteStream
  • HTTPS： https://remoteStream

HTTP Streams でホストされているSAS ファイルへの接続および認証について詳しくは、HTTP Streams への接続 を参照してください。

IBM Cloud Object Storage

IBM Cloud Object Storage に格納されているSAS Data Sets リソースを識別するために以下を設定します。

• ConnectionType：IBM Object Storage Source に設定。
• URI：バケットおよびフォルダに設定。例えば、ibmobjectstorage://bucket1/remotePath です。
• Region：このプロパティをIBM インスタンスリージョンに設定。例：eu-gb.

IBM Cloud Object Storage でホストされているSAS ファイルへの接続および認証について詳しくは、IBM Object Storage への接続 を参照してください。

OneDrive

OneDrive に格納されているSAS Data Sets リソースを識別するために以下を設定します。

• ConnectionType：OneDrive に設定。
• URI：the path to a folder containing SAS files に設定。例えば、onedrive://remotePath です。

OneDrive でホストされているSAS ファイルへの接続および認証について詳しくは、OneDrive への接続 を参照してください。

OneLake

OneLake に格納されているSAS Data Sets リソースを識別するために以下を設定します。

• ConnectionType：OneLake に設定。
• URI：ワークスペース名、アイテム名、アイテムタイプの順に設定。オプションで、ルートフォルダとして使用するフォルダパスを含めます。例：onelake://Workspace/Test.LakeHouse/Files/CustomFolder。

OneLake でホストされているSAS ファイルへの接続および認証について詳しくは、OneLake への接続 を参照してください。

Oracle Cloud Storage

IAMSecretKey で認証するには、次のプロパティを設定します。

• ConnectionType：ConnectionType をOracle Cloud Storage に設定。
• URI：the bucket and folder：os://bucket/remotePath に設定。
• AccessKey： Oracle Cloud のAccess Key に設定。
• SecretKey：Oracle Cloud のSecret Key に設定。
• OracleNamespace：Oracle cloud のnamespace に設定。
• Region（オプション）：S3ライクなWeb サービスのホスティングリージョンに設定。

SFTP

SFTP に格納されているSAS Data Sets リソースを識別するために以下を設定します。

• ConnectionType：SFTP に設定。
• URI：これをサーバーのアドレスに設定し、パスを続けて指定します。例えば、sftp://server:port/remotePath です。

SFTP でホストされているSAS ファイルへの接続および認証について詳しくは、SFTP への接続 を参照してください。

SharePoint Online

SharePoint Online に格納されているSAS Data Sets リソースを識別するために以下を設定します。

• ConnectionType：SharePoint REST またはSharePoint SOAP に設定。
• URI：a document library containing SAS files に設定。次に例を示します。
  • SharePoint Online REST：sprest://remotePath
  • SharePoint Online SOAP：sp://remotePath

    リモートパスにはSharepoint URL を使用します。表示名ではありません。

ファイルがルートレベルでないSharePoint Online サイト（例えば、/sites/<your site>/ 下）に格納されている場合は、StorageBaseURL プロパティをSharePoint サイトのフルパスに設定してください。

• トップレベルのドキュメントライブラリのファイルにアクセスするには：
  • URI：sprest://Documents/ に設定。
  • StorageBaseURL：https://<your domain>.sharepoint.com/sites/<your site>/ に設定。
• サイト内のサブフォルダにアクセスするには：
  • URI：sprest://Documents/<subfolder>/ に設定。
  • StorageBaseURL：https://<your domain>.sharepoint.com/sites/<your site>/ に設定。

完全なSharePoint サイトURL を使用することで、Cloud は、組織のSharePoint Online 環境内の非ルートレベルの場所に格納されているファイルを適切に検索できます。

SharePoint Online でホストされているSAS ファイルへの接続および認証について詳しくは、SharePoint Online への接続 を参照してください。

SharePoint On Premise

SharePoint On Premise に格納されているSAS Data Sets リソースを識別するために以下を設定します。

• ConnectionType：SharePoint REST またはSharePoint SOAP に設定。
• URI：a document library containing SAS files に設定。次に例を示します。
  • SharePoint On Premise REST: sprest://remotePath
  • SharePoint On Premise SOAP: sp://remotePath

    リモートパスにはSharepoint URL を使用します。表示名ではありません。

SharePoint On Premise でホストされているSAS ファイルへの接続および認証について詳しくは、SharePoint On Premise への接続 を参照してください。

セキュアなSAS Data Sets への接続

デフォルトでは、Cloud はサーバーの証明書をシステムの信頼できる証明書ストアと照合してSSL/TLS のネゴシエーションを試みます。別の証明書を指定するには、利用可能なフォーマットについてSSLServerCert プロパティを参照してください。

SAS Data Sets への接続

以下は、Cloud のデフォルトのデータモデリング設定を使用したSAS ファイルまたはストリームへの接続文字列の例です。

サービスプロバイダー	URI 形式	接続例
ローカル	Single File Path (One table) file://localPath	URI=C:/folder1;
	Directory Path (one table per file) file://localPath
HTTP またはHTTPS	http://remoteStream https://remoteStream	URI=http://www.host1.com/streamname1;
Amazon S3	Single File Path (One table) s3://remotePath	URI=s3://bucket1/folder1; AWSSecretKey=secret1; AWSRegion=OHIO;
	Directory Path (one table per file) s3://remotePath
Azure Blob Storage	azureblob://mycontainer/myblob	URI=azureblob://mycontainer/myblob; AzureStorageAccount=myAccount; AzureAccessKey=myKey; URI=azureblob://mycontainer/myblob; AzureStorageAccount=myAccount; AuthScheme=OAuth;
Google Drive	Single File Path (One table) gdrive://remotePath gdrive://SharedWithMe/remotePath	URI=gdrive://folder1; AuthScheme=OAuth; URI=gdrive://SharedWithMe/folder1; AuthScheme=OAuth;
	Directory Path (one table per file) gdrive://remotePath gdrive://SharedWithMe/remotePath
One Drive	Single File Path (One table) onedrive://remotePath onedrive://SharedWithMe/remotePath	URI=onedrive://folder1; AuthScheme=OAuth; URI=onedrive://SharedWithMe/folder1; AuthScheme=OAuth;
	Directory Path (one table per file) onedrive://remotePath onedrive://SharedWithMe/remotePath
Box	Single File Path (One table) box://remotePath	URI=box://folder1; AuthScheme=OAuth;
	Directory Path (one table per file) box://remotePath
Dropbox	Single File Path (One table) dropbox://remotePath	URI=dropbox://folder1; AuthScheme=OAuth; OAuthClientId=oauthclientid1; OAuthClientSecret=oauthcliensecret1; CallbackUrl=http://localhost:12345;
	Directory Path (one table per file) dropbox://remotePath
SharePoint SOAP	Single File Path (One table) sp://remotePath	URI=sp://Documents/folder1; User=user1; Password=password1; StorageBaseURL=https://subdomain.sharepoint.com;
	Directory Path (one table per file) sp://remotePath
SharePoint REST	Single File Path (One table) sprest://remotePath	URI=sprest://Documents/folder1; AuthScheme=OAuth; StorageBaseURL=https://subdomain.sharepoint.com;
	Directory Path (one table per file) sprest://remotePath
FTP またはFTPS	Single File Path (One table) ftp://server:port/remotePath ftps://server:port/remotepath	URI=ftps://localhost:990/folder1; User=user1; Password=password1;
	Directory Path (one table per file) ftp://server:port/remotePath ftps://server:port/remotepath;
SFTP	Single File Path (One table) sftp://server:port/remotePath	URI=sftp://127.0.0.1:22/folder1; User=user1; Password=password1; URI=sftp://127.0.0.1:22/folder1; SSHAuthmode=PublicKey; SSHClientCert=myPrivateKey
	Directory Path (one table per file) sftp://server:port/remotePath
Azure Data Lake Store Gen1	adl://remotePath adl://Account.azuredatalakestore.net@remotePath	URI=adl://folder1; AuthScheme=OAuth; AzureStorageAccount=myAccount; AzureTenant=tenant; URI=adl://myAccount.azuredatalakestore.net@folder1; AuthScheme=OAuth; AzureTenant=tenant;
Azure Data Lake Store Gen2	abfs://myfilesystem/remotePath abfs://[email protected]/remotepath	URI=abfs://myfilesystem/folder1; AzureStorageAccount=myAccount; AzureAccessKey=myKey; URI=abfs://[email protected]/folder1; AzureAccessKey=myKey;
Azure Data Lake Store Gen2 with SSL	abfss://myfilesystem/remotePath abfss://[email protected]/remotepath	URI=abfss://myfilesystem/folder1; AzureStorageAccount=myAccount; AzureAccessKey=myKey; URI=abfss://[email protected]/folder1; AzureAccessKey=myKey;
Wasabi	Single File Path (One table) wasabi://bucket1/remotePath	URI=wasabi://bucket/folder1; AccessKey=token1; SecretKey=secret1; Region='us-west-1';
	Directory Path (one table per file) wasabi://bucket1/remotePath
Google Cloud Storage	Single File Path (One table) gs://bucket/remotePath	URI=gs://bucket/folder1; AuthScheme=OAuth; ProjectId=test;
	Directory Path (one table per file) gs://bucket/remotePath
Oracle Cloud Storage	Single File Path (One table) os://bucket/remotePath	URI=os://bucket/folder1; AccessKey='myKey'; SecretKey='mySecretKey'; OracleNameSpace='myNameSpace' Region='us-west-1';
	Directory Path (one table per file) os://bucket/remotePath
Azure File	Single File Path (One table) azurefile://fileShare/remotePath	URI=azurefile://bucket/folder1; AzureStorageAccount='myAccount'; AzureAccessKey='mySecretKey'; URI=azurefile://bucket/folder1; AzureStorageAccount='myAccount'; AzureSharedAccessSignature='mySharedAccessSignature';
	Directory Path (one table per file) azurefile://fileShare/remotePath
IBM Object Storage Source	Single File Path (One table) ibmobjectstorage://bucket1/remotePath	URI=ibmobjectstorage://bucket/folder1; AuthScheme='IAMSecretKey'; AccessKey=token1; SecretKey=secret1; Region='eu-gb'; URI=ibmobjectstorage://bucket/folder1; ApiKey=key1; Region='eu-gb'; AuthScheme=OAuth; InitiateOAuth=GETANDREFRESH;
	Directory Path (one table per file) ibmobjectstorage://bucket1/remotePath
Hadoop Distributed File System	Single File Path (One table) webhdfs://host:port/remotePath	URI=webhdfs://host:port/folder1
	Directory Path (one table per file) webhdfs://host:port/remotePath
Secure Hadoop Distributed File System	Single File Path (One table) webhdfss://host:port/remotePath	URI=webhdfss://host:port/folder1
	Directory Path (one table per file) webhdfss://host:port/remotePath

Accessing Sub-Folders

Set the following properties to model subfolders as views:

• IncludeSubdirectories: Set this to read files and Schema.ini from nested folders. In the case of a name collision, table names are prefixed by underscore-separated folder names. By default this is false.
• DirectoryRetrievalDepth: Set this to specify how many subfolders will be recursively scanned when IncludeSubdirectories is set. By default, the Cloud scans all subfolders.

When IncludeSubdirectories is set, the automatically detected table names follow the convention below:

File Path	Root\subfolder1\tableA	Root\subfolder1\subfolder2\tableA
Table Name	subfolder1_tableA	subfolder1_subfolder2_tableA

接続の前に

AWS キーを取得

IAM ユーザーの認証情報を取得するには：

1. IAM コンソールにサインインします。
2. ナビゲーションペインでユーザーを選択します。
3. ユーザーのアクセスキーを作成または管理するには、ユーザーを選択してからセキュリティ認証情報タブに移動します。

AWS ルートアカウントの資格情報を取得するには：

1. ルートアカウントの認証情報を使用してAWS 管理コンソールにサインインします。
2. アカウント名または番号を選択します。
3. 表示されたメニューでMy Security Credentials を選択します。
4. ルートアカウントのアクセスキーを管理または作成するには、Continue to Security Credentials をクリックし、［Access Keys］セクションを展開します。

Amazon S3 への接続

データへの接続には、以下を設定してください。

• AWSRegion：SAS Data Sets データがホストされているリージョンに設定。
• StorageBaseURL（オプション）：ベースとなるS3 サービスのURL が"amazonaws.com" と異なる場合のみ、そのURL を指定します。必ず完全なURL を指定してください。例：http://127.0.0.1:9000

Amazon S3 への認証

SAS Data Sets への接続に使用できる認証方法は、以下を含めいくつかあります。

• ルートクレデンシャル
• AWS ロール（EC2 インスタンスまたはルート認証の指定による）としてのAWS ロール
• SSO（ADFS、Okta、PingFederate）
• 一時クレデンシャル
• クレデンシャルファイル

ルートクレデンシャル

アカウントのルートクレデンシャルで認証するには、次のパラメータを設定します。

• AuthScheme：AwsRootKeys。
• AWSAccessKey：AWS ルートアカウントに紐づいているアクセスキー。
• AWSSecretKey：AWS ルートアカウントに紐づいているシークレットキー。

Note: Amazon discourages using root credentials for anything beyond simple testing. The account root credentials have the full permissions of the user, posing a security risk and making this the least secure authentication method.

多要素認証が必要な場合は、以下を指定します。

• CredentialsLocation：MFA クレデンシャルが保存される設定ファイルの場所。
• MFASerialNumber：MFA デバイスが使用されている場合は、そのシリアル番号。
• MFAToken：MFA デバイスから利用できる一時トークン。

これにより、Cloud は一時的な認証情報を取得するために、リクエストでMFA 認証情報を送信します。

Note： 一時的な認証情報の有効期間（デフォルトは3600秒）を制御するには、TemporaryTokenDuration プロパティを設定します。

EC2 インスタンスからのAWS の使用

AuthScheme をAwsEC2Roles に設定します。

EC2 インスタンスからCloud を使用していて、そのインスタンスにIAM ロールが割り当てられている場合は、 認証にIAM ロールを使用できます。Cloud は自動的にIAM ロールの認証情報を取得し、それらを使って認証するため、AWSAccessKey およびAWSSecretKey を指定する必要はありません。

認証にIAM ロールも使用している場合は、さらに以下を指定する必要があります。

• AWSRoleARN：認証したいロールのRole ARN を指定。これにより、Cloud は指定されたロールの認証情報を 取得しようと試みます。
• AWSExternalId（オプション）：別のAWS アカウントでロールを引き受ける場合にのみ必要です。

IMDSv2 サポート

SAS Data Sets Cloud は、IMDSv2 をサポートしています。IMDSv1 とは異なり、新バージョンでは認証トークンが必須です。エンドポイントおよびレスポンスは、両バージョンで同じです。

IMDSv2 では、SAS Data Sets Cloud はまずIMDSv2 メタデータトークンの取得を試み、それを使用してAWS メタデータエンドポイントを呼び出します。トークンを取得できない場合、Cloud はIMDSv1 を使用します。

AWS Web Identity

AuthScheme をAwsWebIdentity に設定します。

Web ID でロールを割り当てられるように構成されたコンテナ（OpenID Provider を持つEKS クラスタ内のPod など）からSAS Data Sets を使用する場合、またはIAM ロールに関連付けられたWeb ID プロバイダーで認証する場合（ID トークンを取得する場合）、Web ID トークンとIAM ロールの情報を一時的なセキュリティ認証情報と交換し、AWS サービスを認証してアクセスすることができます。

コンテナの環境変数にAWS_ROLE_ARN とAWS_WEB_IDENTITY_TOKEN_FILE が指定されている場合、SAS Data Sets は自動的に認証情報を取得します。

AWSRoleARN とAWSWebIdentityToken の両方を指定することで、AssumeRoleWithWebIdentity API 操作を実行して認証することもできます。

AWS IAM Roles

AWS 経由で認証するには、AuthScheme をAwsIAMRoles に設定します。

AWS ロールとして認証するには、次のプロパティを設定します。

• AWSAccessKey：ロールを担うIAM ユーザーのアクセスキー。
• AWSSecretKey：ロールを担うIAM ユーザーのシークレットキー。
• AWSRoleARN：認証したいロールのRole ARN を指定。これにより、Cloud は指定されたロールの認証情報を 取得しようと試みます。
• AWSExternalId（オプション）：別のAWS アカウントでロールを引き受ける場合にのみ必要です。

多要素認証が必要な場合は、以下を指定します。

• CredentialsLocation：MFA クレデンシャルが保存される設定ファイルの場所。
• MFASerialNumber：MFA デバイスが使用されている場合は、そのシリアル番号。
• MFAToken：MFA デバイスから利用できる一時トークン。

これにより、Cloud は一時的な認証情報を取得するために、リクエストでMFA 認証情報を送信します。

Note： 一時的な認証情報の有効期間（デフォルトは3600秒）を制御するには、TemporaryTokenDuration プロパティを設定します。

Note：状況によっては、AWS ルートユーザーのダイレクトなセキュリティ認証情報よりも、IAM ロールを使用して認証する方が望ましい場合があります。AWS ルートユーザーのAWSAccessKey およびAWSSecretKey を指定している場合、ロールは使用できません。

ADFS

ADFS に接続するには以下のプロパティを設定します。

• AuthScheme：ADFS。
• User：認証するADFS ユーザー。
• Password：認証するADFS ユーザーのパスワード。
• SSOLoginURL：SSO プロバイダーのログインURL。

ADFS への認証を行うには、次のSSOProperties を設定します。

• RelyingParty：ADFS サーバーのRelying Party Identifier の値。

接続文字列の例：

AuthScheme=ADFS;User=username;Password=password;SSOLoginURL='https://sts.company.com';SSOProperties='RelyingParty=https://saml.salesforce.com';

ADFS 統合

ADFS 統合フローでは、現在Windows にログインしているユーザーの資格情報を使用して接続します。 ADFS 統合フローを使用するには、User およびPassword を指定せず、それ以外の設定は上記のADFS に記載された手順に従ってください。

Okta

Okta に接続するには以下のプロパティを設定します。

• AuthScheme：Okta。
• User：認証するOkta ユーザー。
• Password：認証するOkta ユーザーのパスワード。
• SSOLoginURL：SSO プロバイダーのログインURL。

Okta クライアントリクエストコンテキストをオーバーライドする信頼されたアプリケーションまたはプロキシのいずれかを使用する場合、またはMFA を設定している場合は、Okta を使用して認証するためにSSOProperties を組み合わせて使用する必要があります。必要に応じて、以下のいずれかを設定します。

• APIToken：Okta クライアントリクエストコンテキストをオーバーライドする、信頼されたアプリケーションまたはプロキシ経由でユーザーを認証する場合、これを顧客がOkta 組織で作成したAPI Token に設定します。
• MFAType：MFA フローを設定した場合、次の対応するタイプのいずれかに設定します：OktaVerify、Email、またはSMS。
• MFAPassCode：MFA フローを設定した場合は、有効なパスコードに設定します。
  これを空欄または無効な値に設定した場合、Cloud はユーザーのデバイスまたはE メールにワンタイムパスワードチャレンジを発行します。パスコードを受信後、取得したワンタイムパスワードをMFAPassCode 接続プロパティに設定する接続を再度開きます。
• MFARememberDevice：デフォルトはTrue です。Okta は、MFA が必要な場合にデバイスを記憶させることをサポートします。設定された認証ポリシーに従ってデバイスの記憶が許可されている場合、Cloud はMFA 認証の有効期間を延長するデバイストークンを送信します。MFA を記憶させない場合は、この 変数をFalse に設定してください。

接続文字列の例：

AuthScheme=Okta;SSOLoginURL='https://example.okta.com/home/appType/0bg4ivz6cJRZgCz5d6/46';User=oktaUserName;Password=oktaPassword;

PingFederate

PingFederate に接続するには、次のプロパティを設定します。

• AuthScheme：PingFederate。
• User：認証するPingFederate ユーザー。
• Password：認証するユーザーのPingFederate パスワード。
• SSOLoginURL：SSO プロバイダーのログインURL。
• AWSRoleARN（オプション）：複数のロールARN がある場合は、認可に使用するARN を指定します。
• AWSPrincipalARN（オプション）：複数のプリンシパルARN がある場合は、認可に使用するARN を指定します。
• SSOExchangeURL: The Partner Service Identifier URI configured in your PingFederate server instance under: SP Connections > SP Connection > WS-Trust > Protocol Settings. This should uniquely identify a PingFederate SP Connection, so it is a good idea to set it to your AWS SSO ACS URL. You can find it under AWS SSO > Settings > View Details next to the Authentication field.
• SSOProperties（オプション）：Amazon S3へのリクエストにユーザー名とパスワードを認可ヘッダーとして含める場合は、Authscheme=Basic に設定します。

SSOLoginURL 用の相互SSL 認証（WS-Trust STS エンドポイント）を有効化するには、次の SSOProperties を設定します。

• SSLClientCert
• SSLClientCertType
• SSLClientCertSubject
• SSLClientCertPassword

接続文字列の例：

authScheme=pingfederate;SSOLoginURL=https://mycustomserver.com:9033/idp/sts.wst;SSOExchangeUrl=https://us-east-1.signin.aws.amazon.com/platform/saml/acs/764ef411-xxxxxx;user=admin;password=PassValue;AWSPrincipalARN=arn:aws:iam::215338515180:saml-provider/pingFederate;AWSRoleArn=arn:aws:iam::215338515180:role/SSOTest2;

一時クレデンシャル

一時クレデンシャルで認証するには、次を設定します。

• AuthScheme：AwsTempCredentials。
• AWSAccessKey：ロールを担うIAM ユーザーのアクセスキー。
• AWSSecretKey：ロールを担うIAM ユーザーのシークレットキー。
• AWSSessionToken：一時クレデンシャルと共に提供されるAWS のセッショントークン。 詳細はAWS Identity and Access Management ユーザーガイド を参照してください。

Cloud は、一時クレデンシャルの有効期間中、長期的な認証情報（IAM ユーザー認証情報など）によって提供されるものと同じ権限を使用してリソースをリクエストできるようになりました。

一時クレデンシャルおよびIAM ロールの両方を使用して認証するには、上記のすべてのパラメータを設定し、さらに以下のパラメータを指定します。

• AWSRoleARN：認証したいロールのRole ARN。これにより、Cloud は指定されたロールの認証情報を取得しようと試みます。
• AWSExternalId（オプション）：別のAWS アカウントでロールを引き受ける場合にのみ必要です。

多要素認証が必要な場合は、以下を指定します。

• CredentialsLocation：MFA クレデンシャルが保存される設定ファイルの場所。
• MFASerialNumber：MFA デバイスが使用されている場合は、そのシリアル番号。
• MFAToken：MFA デバイスから利用できる一時トークン。

これにより、Cloud は一時的な認証情報を取得するために、リクエストでMFA 認証情報を送信します。

Note： 一時的な認証情報の有効期間（デフォルトは3600秒）を制御するには、TemporaryTokenDuration プロパティを設定します。

クレデンシャルファイル

認証には、AccessKey / SecretKey 認証、一時クレデンシャル、ロール認証、またはMFAに関連する設定を含む、任意のクレデンシャルファイルを使用できます。

このためには、以下のプロパティを設定します。

• AuthScheme：AwsCredentialsFile。
• AWSCredentialsFile：クレデンシャルファイルの場所。
• AWSCredentialsFileProfile（オプション）：指定したクレデンシャルファイルから使用するプロファイルの名前。指定しない場合は、default という名前のプロファイルが使用されます。

詳しくは、AWS Command Line Interface ユーザーガイドを参照してください。

Azure AD

この設定では、2つの別個のAzure AD アプリケーションが必要になります。

• シングルサインオンに使用される"SAS Data Sets" アプリケーション。
• "SAS Data Sets" アプリケーションに対するuser_impersonation 権限を持つカスタムOAuth アプリケーション。（カスタムOAuth アプリの作成 を参照してください。）

Azure AD に接続するには、AuthScheme をAzureAD に設定し、次のプロパティを設定します。

• OAuthClientId：アプリ登録の概要セクションにリストされている、コネクタアプリケーションのアプリケーションId。
• OAuthClientSecret：コネクタアプリケーションのクライアントシークレット値。新しいクライアントシークレットを作成すると、Azure AD にこれが表示されます。
• CallbackURL：コネクタアプリケーションのリダイレクトURI。例： https://localhost:33333。

Azure AD を認証するには、これらのSSOProperties を設定します。

• Resource：アプリ登録の概要セクションにリストされている、SAS Data Sets アプリケーションのアプリケーションId URI。ほとんどの場合、これはカスタムSAS Data Sets ドメインのURL です。
• AzureTenant：アプリケーションが登録されているAzure AD テナントのId。

接続文字列の例：

AuthScheme=AzureAD;OAuthClientId=3ea1c786-d527-4399-8c3b-2e3696ae4b48;OauthClientSecret=xxx;CallbackUrl=https://localhost:33333;SSOProperties='Resource=https://signin.aws.amazon.com/saml;AzureTenant=xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx';

接続の前に

AzureBlob ユーザーの認証情報を取得するには、以下の手順に従ってください。

1. ルートアカウントの認証情報を使用してAzure ポータル にサインインします。
2. ストレージアカウントをクリックして、使用するストレージアカウントを選択します。
3. 設定でアクセスキーをクリックします。
4. ページ上にストレージアカウント名とキーが表示されます。

Azure Blob Storage への接続

AzureStorageAccount をAzure Blob Storage アカウント名に設定します。

Azure Blob Storage への認証

Azure Blob Storage への認証には、アクセスキー、Shared Access Signature（SAS）、Azure AD ユーザー、Azure MSI、またはAzure サービスプリンシパルを使用できます。

アクセスキー

Azure アクセスキーで認証するには、以下のように設定します。

• AuthScheme：AccessKey に設定。
• AzureAccessKey：Azure Blob Storage アカウントに紐づいているストレージキーに設定。

共有アクセス署名（SAS）

共有アクセス署名（SAS）で認証するには以下を設定します。

• AuthScheme：AzureStorageSAS に設定。
• AzureSharedAccessSignature：Azure Blob Storage アカウントに紐づいているSAS に設定。

以下の手順で、AzureSharedAccessSignature を使用して共有アクセス署名を作成します。

1. ルートアカウントの資格情報を使用してAzure ポータルにサインインします。（https://portal.azure.com/）
2. ストレージアカウントをクリックして、使用するストレージアカウントを選択します。
3. 設定でShared Access Signature をクリックします。
4. アクセス許可を設定します。
5. トークンの有効期限を指定します。
6. SAS の生成をクリックし、生成された共有アクセス署名をコピーします。
7. AzureSharedAccessSignature を前のステップの共有アクセス署名に設定します。

AzureAD ユーザー

AuthScheme は、すべてのユーザーアカウントフローでAzureAD に設定する必要があります。

Azure サービスプリンシパル

Azure サービスプリンシパルとしての認証は、OAuth クライアントクレデンシャルフローを介して処理されます。直接のユーザー認証は行われません。代わりに、クレデンシャルはアプリケーション自体のためだけに作成されます。アプリケーションで実行されるすべてのタスクは、デフォルトユーザーコンテキストなしで実行されます。リソースへのアプリケーションのアクセスは、割り当てられたロールの権限によって制御されます。

AzureAD アプリとAzure サービスプリンシパルの作成

Azure サービスプリンシパルを使用して認証する場合、Azure AD テナントにAzure AD アプリケーションを作成して登録する必要があります。詳しくは、Entra ID（Azure AD）アプリケーションの作成 を参照してください。

portal.azure.com の［アプリの登録］で［API のアクセス許可］に移動し、Microsoft Graph アクセス許可を選択します。アクセス許可には2つの異なるアクセス許可セットがあります。委任されたアクセス許可とアプリケーションの許可です。クライアントの資格情報認証時に使用されるアクセス許可は、［アプリケーションの許可］の下にあります。

アプリケーションへのロールの割り当て

サブスクリプションのリソースにアクセスするには、アプリケーションにロールを割り当てる必要があります。

1. 検索バーでサブスクリプションサービスを検索・選択して、サブスクリプションページを開きます。
2. アプリケーションを割り当てるサブスクリプションを選択します。
3. アクセス制御 (IAM)を開き、追加 -> ロール割り当ての追加 を選択してロール割り当ての追加ページを開きます。
4. 作成したAzure AD アプリに割り当てるロールとして、所有者を選択します。

認証の完了 クライアントシークレットと証明書のどちらを使用するかを選択し、以下の該当する手順に従ってください。

クライアントシークレット

次の接続プロパティを設定します。

• AuthScheme：クライアントシークレットを使用する場合はAzureServicePrincipal。
• InitiateOAuth： GETANDREFRESH。InitiateOAuth を使えば、繰り返しOAuth の交換を行ったり、手動でOAuthAccessToken を設定する必要はなくなります。
• AzureTenant：接続するテナント。
• OAuthClientId：アプリケーション設定のクライアントId。
• OAuthClientSecret：アプリケーション設定のクライアントシークレット。

証明書

次の接続プロパティを設定します。

• AuthScheme：証明書を使用する場合はAzureServicePrincipalCert。
• InitiateOAuth： GETANDREFRESH。InitiateOAuth を使えば、繰り返しOAuth 交換を行ったり、手動でOAuthAccessToken を設定する必要はなくなります。
• AzureTenant：接続するテナント。
• OAuthJWTCert：JWT 証明書のストア。
• OAuthJWTCertType：OAuthJWTCert で指定された証明書ストアの種類。

これで接続する準備が整いました。クライアント資格情報での認証は、他の接続同様に自動的に行われますが、ユーザーにプロンプトするウィンドウは表示されません。ユーザーコンテキストがないため、ブラウザのポップアップは必要ないからです。接続が行われ、内部的に処理されます。

Azure MSI

Azure Data Lake Storage のアクセス許可を持つAzure VM で接続する場合は、AuthScheme をAzureMSI に設定します。

カスタムAzureAD アプリケーションには、AzureAD とAzure サービスプリンシパルを使用するAzureAD の2種類があります。いずれもOAuth ベースです。

カスタムアプリケーションを作成するタイミング

CData はOAuth アプリケーション認証情報を製品に組み込んでおり、デスクトップアプリケーションまたはヘッドレスマシンから接続する際に使用できます。

以下の場合はユーザー自身のAzureAD アプリケーションクレデンシャルを選択できます。

• 認証ダイアログのブランディングをコントロールしたいとき
• ユーザー認証後にアプリケーションがユーザーをリダイレクトするためのリダイレクトURI をコントロールしたいとき
• ユーザーからのリクエストに対する許可をカスタマイズしたいとき

カスタムAzureAD アプリケーション

カスタムAzureAD アプリケーションを使用して、サービスアカウントまたはユーザーアカウントで認証できます。カスタムAzureAD アプリケーションはいつでも作成できますが、デスクトップおよびヘッドレス接続は埋め込みOAuth をサポートしており、認証プロセスを簡略化できることに留意してください。埋め込みOAuth アプリケーションを使用するには「接続の確立」を参照してください。

カスタムAzureAD アプリの作成

下記の手順に従って、アプリケーションのAzureAD 値、OAuthClientId およびOAuthClientSecret を取得します。

1. https://portal.azure.com にログインします。
2. 左側のナビゲーションペインですべてのサービスを選択します。アプリの登録を検索して選択します。
3. 新規登録をクリックします。
4. アプリケーション名を入力し、目的のテナント設定を選択します。 Azure Active Directory でカスタムAzureAD アプリケーションを作成する場合、アプリケーションをシングルテナントまたはマルチテナントに定義できます。デフォルトのオプション［この組織ディレクトリ内のアカウントのみ］を選択する場合は、CData Cloud への接続を確立するときにAzureTenant 接続プロパティをAzure AD テナントのId に設定する必要があります。それ以外の場合は、認証に失敗しエラーが発生します。アプリケーションが個人使用のみの場合は、［この組織ディレクトリ内のアカウントのみ］で十分です。アプリケーションを配布する場合は、マルチテナントオプションのいずれか1つを選択してください。
5. リダイレクトURL をCloud のデフォルトhttp://localhost:33333 に設定します。あるいは、任意の別のポートを指定して、CallbackURL を定義した正確なリプライURL に設定します。
6. 登録をクリックして新しいアプリケーションを登録します。アプリケーション管理画面が自動的に開きます。OAuthClientId としてApplication (client) ID の値、AzureTenant としてDirectory (tenant) ID の値をメモします。
7. ［証明書とシークレット］セクションに移動して、アプリケーションの認証タイプを定義します。認証には、クライアントシークレットを使用する方法と、証明書を使用する方法の2種類があります。推奨されている認証方法は証明書を使用する方法です。
   • オプション1：証明書をアップロードする：［証明書とシークレット］で証明書のアップロードを選択し、ローカルマシンからアップロードする証明書を選択します。
   • オプション2：新しいアプリケーションシークレットを作成する：［証明書とシークレット］で新しいクライアントシークレットを選択し、有効期限を指定します。クライアントシークレットを保存すると、キーの値が表示されます。 表示は一度のみなのでこの値をコピーします。 これは、OAuthClientSecret として必要になります。
8. API のアクセス許可 -> アクセス許可の追加をクリックします。アプリケーションがユーザーコンテキストなしで接続する場合は、アプリケーションの許可を選択します。アプリケーションがサインイン済みのユーザーの代理で認証を行う場合は、委任されたアクセス許可を選択します。
9. 変更を保存します。
10. 管理者の同意が必要なアクセス許可（［アプリケーションの許可］など）を使用することを選択した場合は、API のアクセス許可ページで現在のテナントから付与することができます。それ以外の場合は、 管理者の同意の手順に従ってください。

Azure サービスプリンシパルカスタムアプリケーション

Azure サービスプリンシパルを使用して認証する場合は、カスタムAzureAD アプリケーションと必要なリソースにアクセスできるサービスプリンシパル両方の作成が必要です。次の手順に従って、カスタムAzureAD アプリケーションを作成し、Azure サービスプリンシパル認証用の接続プロパティを取得します。

Azure サービスプリンシパルでカスタムAzureAD アプリを作成

下記の手順に従って、アプリケーションのAzureAD 値を取得します。

1. https://portal.azure.com にログインします。
2. 左側のナビゲーションペインですべてのサービスを選択します。アプリの登録を検索して選択します。
3. 新規登録をクリックします。
4. アプリ名を入力し、任意のAzure AD ディレクトリ - マルチテナントを選択します。そして、リダイレクトURL をCloud のデフォルトhttp://localhost:33333 に設定します。
5. アプリ作成後に、［概要］セクションに表示されているアプリケーション（クライアント）Id の値をコピーします。この値はOAuthClientId として使用されます。
6. ［証明書とシークレット］セクションに移動して、アプリの認証タイプを定義します。認証には、クライアントシークレットを使用する方法と、証明書を使用する方法の2種類があります。推奨されている認証方法は証明書による方法です。
   • オプション1 - 証明書をアップロードする：［証明書とシークレット］で証明書のアップロードを選択し、ローカルマシンからアップロードする証明書を選択します。
   • オプション2 - 新しいアプリケーションシークレットを作成する：［証明書とシークレット］で新しいクライアントシークレットを選択し、有効期限を指定します。クライアントシークレットを保存すると、キーの値が表示されます。 表示は一度のみなのでこの値をコピーします。これは、OAuthClientSecret として使用します。
7. 認証タブで、必ずアクセストークン（暗黙的なフローに使用）を選択してください。

Azure Data Lake Storage への接続

AzureStorageAccount をAzure Data Lake Storage アカウント名に設定します。

Azure Data Lake Storage への認証

Azure Data Lake Storage への認証には、アクセスキー、Shared Access Signature（SAS）、Azure AD ユーザー、Azure MSI、またはAzure サービスプリンシパルを使用できます。

アクセスキー

Azure アクセスキーで認証するには、以下のように設定します。

• AuthScheme：AccessKey に設定。
• AzureAccessKey：Azure Data Lake Storage アカウントに紐づいているストレージキーに設定。

Shared Access Signature（SAS）

共有アクセス署名（SAS）で認証するには以下を設定します。

• AuthScheme：AzureStorageSAS に設定。
• AzureSharedAccessSignature：Azure Blob Storage アカウントに紐づいているSAS に設定。

以下の手順で、AzureSharedAccessSignature を使用して共有アクセス署名を作成します。

1. ルートアカウントの資格情報を使用してAzure ポータルにサインインします。（https://portal.azure.com/）
2. ストレージアカウントをクリックして、使用するストレージアカウントを選択します。
3. 設定でShared Access Signature をクリックします。
4. アクセス許可を設定します。
5. トークンの有効期限を指定します。
6. SAS の生成をクリックし、生成された共有アクセス署名をコピーします。
7. AzureSharedAccessSignature を前のステップの共有アクセス署名に設定します。

AzureAD ユーザー

AuthScheme は、すべてのユーザーアカウントフローでAzureAD に設定する必要があります。

Azure サービスプリンシパル

Azure サービスプリンシパルとしての認証は、OAuth クライアントクレデンシャルフローを介して処理されます。直接のユーザー認証は行われません。代わりに、クレデンシャルはアプリケーション自体のためだけに作成されます。アプリケーションで実行されるすべてのタスクは、デフォルトユーザーコンテキストなしで実行されます。リソースへのアプリケーションのアクセスは、割り当てられたロールの権限によって制御されます。

AzureAD アプリとAzure サービスプリンシパルの作成

Azure サービスプリンシパルを使用して認証する場合、Azure AD テナントにAzure AD アプリケーションを作成して登録する必要があります。詳しくは、Entra ID（Azure AD）アプリケーションの作成 を参照してください。

portal.azure.com の［アプリの登録］で［API のアクセス許可］に移動し、Microsoft Graph アクセス許可を選択します。アクセス許可には2つの異なるアクセス許可セットがあります。委任されたアクセス許可とアプリケーションの許可です。クライアントの資格情報認証時に使用されるアクセス許可は、［アプリケーションの許可］の下にあります。

アプリケーションへのロールの割り当て

サブスクリプションのリソースにアクセスするには、アプリケーションにロールを割り当てる必要があります。

1. 検索バーでサブスクリプションサービスを検索・選択して、サブスクリプションページを開きます。
2. アプリケーションを割り当てるサブスクリプションを選択します。
3. アクセス制御 (IAM)を開き、追加 -> ロール割り当ての追加 を選択してロール割り当ての追加ページを開きます。
4. 作成したAzure AD アプリに割り当てるロールとして、所有者を選択します。

認証の完了 クライアントシークレットと証明書のどちらを使用するかを選択し、以下の該当する手順に従ってください。

クライアントシークレット

次の接続プロパティを設定します。

• AuthScheme：クライアントシークレットを使用する場合はAzureServicePrincipal。
• InitiateOAuth： GETANDREFRESH。InitiateOAuth を使えば、繰り返しOAuth の交換を行ったり、手動でOAuthAccessToken を設定する必要はなくなります。
• AzureTenant：接続するテナント。
• OAuthClientId：アプリケーション設定のクライアントId。
• OAuthClientSecret：アプリケーション設定のクライアントシークレット。

証明書

次の接続プロパティを設定します。

• AuthScheme：証明書を使用する場合はAzureServicePrincipalCert。
• InitiateOAuth： GETANDREFRESH。InitiateOAuth を使えば、繰り返しOAuth 交換を行ったり、手動でOAuthAccessToken を設定する必要はなくなります。
• AzureTenant：接続するテナント。
• OAuthJWTCert：JWT 証明書のストア。
• OAuthJWTCertType：OAuthJWTCert で指定された証明書ストアの種類。

これで接続する準備が整いました。クライアント資格情報での認証は、他の接続同様に自動的に行われますが、ユーザーにプロンプトするウィンドウは表示されません。ユーザーコンテキストがないため、ブラウザのポップアップは必要ないからです。接続が行われ、内部的に処理されます。

Azure MSI

Azure Data Lake Storage のアクセス許可を持つAzure VM で接続する場合は、AuthScheme をAzureMSI に設定します。

カスタムAzureAD アプリケーションには、AzureAD とAzure サービスプリンシパルを使用するAzureAD の2種類があります。いずれもOAuth ベースです。

カスタムアプリケーションを作成するタイミング

CData はOAuth アプリケーション認証情報を製品に組み込んでおり、デスクトップアプリケーションまたはヘッドレスマシンから接続する際に使用できます。

以下の場合はユーザー自身のAzureAD アプリケーションクレデンシャルを選択できます。

• 認証ダイアログのブランディングをコントロールしたいとき
• ユーザー認証後にアプリケーションがユーザーをリダイレクトするためのリダイレクトURI をコントロールしたいとき
• ユーザーからのリクエストに対する許可をカスタマイズしたいとき

カスタムAzureAD アプリケーション

カスタムAzureAD アプリケーションを使用して、サービスアカウントまたはユーザーアカウントで認証できます。カスタムAzureAD アプリケーションはいつでも作成できますが、デスクトップおよびヘッドレス接続は埋め込みOAuth をサポートしており、認証プロセスを簡略化できることに留意してください。埋め込みOAuth アプリケーションを使用するには「接続の確立」を参照してください。

カスタムAzureAD アプリの作成

下記の手順に従って、アプリケーションのAzureAD 値OAuthClientId およびOAuthClientSecret を取得します。

1. https://portal.azure.com にログインします。
2. 左側のナビゲーションペインですべてのサービスを選択します。アプリの登録を検索して選択します。
3. 新規登録をクリックします。
4. アプリケーション名を入力し、目的のテナント設定を選択します。 Azure Active Directory でカスタムAzureAD アプリケーションを作成する場合、アプリケーションをシングルテナントまたはマルチテナントに定義できます。デフォルトのオプション［この組織ディレクトリ内のアカウントのみ］を選択する場合は、CData Cloud への接続を確立するときにAzureTenant 接続プロパティをAzure AD テナントのId に設定する必要があります。それ以外の場合は、認証に失敗しエラーが発生します。アプリケーションが個人使用のみの場合は、［この組織ディレクトリ内のアカウントのみ］で十分です。アプリケーションを配布する場合は、マルチテナントオプションのいずれか1つを選択してください。
5. リダイレクトURL をCloud のデフォルトhttp://localhost:33333 に設定します。あるいは、任意の別のポートを指定して、CallbackURL を定義した正確なリプライURL に設定します。
6. 登録をクリックして新しいアプリケーションを登録します。アプリケーション管理画面が自動的に開きます。OAuthClientId としてApplication (client) ID の値、AzureTenant としてDirectory (tenant) ID の値をメモします。
7. ［証明書とシークレット］セクションに移動して、アプリケーションの認証タイプを定義します。認証には、クライアントシークレットを使用する方法と、証明書を使用する方法の2種類があります。推奨されている認証方法は証明書を使用する方法です。
   • オプション1：証明書をアップロードする：［証明書とシークレット］で証明書のアップロードを選択し、ローカルマシンからアップロードする証明書を選択します。
   • オプション2：新しいアプリケーションシークレットを作成する：［証明書とシークレット］で新しいクライアントシークレットを選択し、有効期限を指定します。クライアントシークレットを保存すると、キーの値が表示されます。 表示は一度のみなのでこの値をコピーします。 これは、OAuthClientSecret として必要になります。
8. API のアクセス許可 -> アクセス許可の追加をクリックします。アプリケーションがユーザーコンテキストなしで接続する場合は、アプリケーションの許可を選択します。アプリケーションがサインイン済みのユーザーの代理で認証を行う場合は、委任されたアクセス許可を選択します。
9. 変更を保存します。
10. 管理者の同意が必要なアクセス許可（［アプリケーションの許可］など）を使用することを選択した場合は、API のアクセス許可ページで現在のテナントから付与することができます。それ以外の場合は、 管理者の同意の手順に従ってください。

Azure サービスプリンシパルカスタムアプリケーション

Azure サービスプリンシパルを使用して認証する場合は、カスタムAzureAD アプリケーションと必要なリソースにアクセスできるサービスプリンシパル両方の作成が必要です。次の手順に従って、カスタムAzureAD アプリケーションを作成し、Azure サービスプリンシパル認証用の接続プロパティを取得します。

Azure サービスプリンシパルでカスタムAzureAD アプリを作成

下記の手順に従って、アプリケーションのAzureAD 値を取得します。

1. https://portal.azure.com にログインします。
2. 左側のナビゲーションペインですべてのサービスを選択します。アプリの登録を検索して選択します。
3. 新規登録をクリックします。
4. アプリ名を入力し、任意のAzure AD ディレクトリ - マルチテナントを選択します。そして、リダイレクトURL をCloud のデフォルトhttp://localhost:33333 に設定します。
5. アプリ作成後に、［概要］セクションに表示されているアプリケーション（クライアント）Id の値をコピーします。この値はOAuthClientId として使用されます。
6. ［証明書とシークレット］セクションに移動して、アプリの認証タイプを定義します。認証には、クライアントシークレットを使用する方法と、証明書を使用する方法の2種類があります。推奨されている認証方法は証明書による方法です。
   • オプション1 - 証明書をアップロードする：［証明書とシークレット］で証明書のアップロードを選択し、ローカルマシンからアップロードする証明書を選択します。
   • オプション2 - 新しいアプリケーションシークレットを作成する：［証明書とシークレット］で新しいクライアントシークレットを選択し、有効期限を指定します。クライアントシークレットを保存すると、キーの値が表示されます。 表示は一度のみなのでこの値をコピーします。これは、OAuthClientSecret として使用します。
7. 認証タブで、必ずアクセストークン（暗黙的なフローに使用）を選択してください。

Box への接続

Box への接続には、OAuth 認証標準を使用します。ユーザーアカウントまたはサービスアカウントで認証できます。組織全体のアクセススコープをCloud に許可するには、サービスアカウントが必要です。下記で説明するとおり、Cloud はこれらの認証フローをサポートします。

ユーザーアカウント（OAuth）

AuthScheme は、すべてのユーザーアカウントフローでOAuth に設定する必要があります。

サービスアカウントで認証する

この方法で認証するには、AuthScheme をOAuthJWT に設定します。

サービスアカウントには、ブラウザによるユーザー認証なしのサイレント認証があります。また、サービスアカウントを使用して、エンタープライズ全体のアクセススコープをCloud に委任することもできます。

このフローでは、OAuth アプリケーションを作成する必要があります。アプリの作成および認可については、カスタムOAuth アプリの作成 を参照してください。これでサービスアカウントにアクセス権があるBox データに接続できます。

次の接続プロパティを設定して、接続してください。

• OAuthClientId：アプリケーション設定のクライアントId に設定。
• OAuthClientSecret：アプリケーション設定のクライアントシークレットに設定。
• OAuthJWTCertType："PEMKEY_FILE" に設定。
• OAuthJWTCert：生成した.pem ファイルのパスに設定。
• OAuthJWTCertPassword：.pem ファイルのパスワードに設定。
• OAuthJWTCertSubject：証明書ストア内の1番目の証明書を選択するには、"*" に設定。
• OAuthJWTSubjectType：アプリケーション設定で選択した［Application Access Value］に応じて、［enterprise］または［user］に設定。この接続プロパティのデフォルト値は［enterprise］です。
• OAuthJWTSubject：サブジェクトタイプが［enterprise］に設定されている場合は、これをエンタープライズID に設定します。［user］に設定されている場合は、アプリのユーザーID に設定します。
• OAuthJWTPublicKeyId：アプリケーション設定の公開キーID に設定。

接続すると、Cloud はサービスアカウントでのOAuth フローを完了します。

カスタムOAuth アプリケーションの作成

CData はOAuth アプリケーション認証情報を製品に組み込んでおり、から接続する際に使用できます。

独自の OAuth アプリケーション認証情報を使用することもできます。

• 認証ダイアログのブランディングをコントロールしたいとき
• ユーザー認証後にアプリケーションがユーザーをリダイレクトするためのリダイレクトURI をコントロールしたいとき
• ユーザーからのリクエストに対する許可をカスタマイズしたいとき

手順

この手順では、カスタムOAuth アプリケーションを作成して登録し、OAuthClientId およびOAuthClientSecret の設定に使用される値を生成します。

Box エンタープライズ管理コンソールで：

1. Box 開発者ダッシュボード にログインします。
2. アプリの新規作成をクリックします。
3. 必要に応じて、基本的なアプリケーション情報を指定します。
4. アプリケーションの種類を指定します（例：カスタムアプリ）。
5. 認証メソッドで、ユーザー認証（OAuth 2.0）を選択します。
6. リダイレクトURI を設定します。
   • である場合、リダイレクトURI をhttp://localhost:33333か別のポート番号に設定してください。
7. アプリの作成をクリックします。
8. 次に、公開キーと秘密キーのペアを作成します。
   • 開発者コンソールからキーペアを作成するには：
     1. 開発者コンソールの「構成」タブに移動します。
     2. 公開キーの追加と管理までスクロールダウンします。
     3. 公開 / 秘密キーペアを生成をクリックします。Box はJSON ファイル形式でキーペアを作成し、そのファイルをデスクトップにダウンロードします。 その後、そのファイルをアプリケーションコードに移動させることができます。

        Note： Box は、セキュリティ上の理由から秘密キーのバックアップを行いません。公開 / 非公開JSON ファイルのバックアップに注意してください。秘密キーを忘れた場合は、キーペア全体をリセットする必要があります。

   • キーペアを手動で追加するには：
     1. ターミナルウィンドウを開き、以下のOpenSSL コマンドを実行します。
        

        openssl genrsa -des3 -out private.pem 2048
        openssl rsa -in private.pem -outform PEM -pubout -out public.pem

        Note： Windows 環境でOpenSSL を実行するには、Cygwin パッケージをインストールします。

     2. 開発者コンソールで、先ほど作成したカスタムOAuth アプリケーションの構成タブに移動します。
     3. 公開キーの追加と管理までスクロールダウンします。
     4. 公開キーを追加をクリックします。
     5. Verify and Save をクリックします。
9. カスタムアプリケーションを使用する前に、Box 管理者はBox 管理コンソール内でそのアプリケーションを承認する必要があります。
   1. 開発者コンソール内のアプリケーションに移動します。
   2. 承認タブをクリックします。
   3. Enterprise へのアクセス権限に対する承認を得るためにアプリを送信というプロンプトが表示されたら、確認して送信をクリックします。
      Box エンタープライズ管理者が申請を承認します。
10. 最後に、カスタムOAuth アプリケーションが要求するユーザー権限の範囲を選択します。

アプリケーションの作成と登録が完了したら、メインメニューから設定をクリックして設定にアクセスできます。 表示されるリダイレクトURI、クライアントID およびクライアントシークレットを控えておきます。これらの値は後で必要になります。

JWTアクセススコープの変更時

JWT アクセススコープを変更する場合は、エンタープライズ管理コンソールでアプリケーションを再認可する必要があります。

1. メインメニューのアプリをクリックします。
2. JWT アプリケーション名の横にある省略記号ボタンを選択します。
3. メニューのReauthorize App を選択します。

Dropbox への接続

Dropbox はOAuth 認証標準を利用しています。

Dropbox OAuth スコープ

CData の埋め込みOAuth アプリを使うか、カスタムOAuth アプリの作成 のどちらかを選択してください。

埋め込みアプリは以下のスコープを含みます。

• account_info.read
• file_requests.read
• files.content.read
• files.content.write
• files.metadata.read
• sharing.read
• sharing.write

カスタムOAuth アプリケーションを作成するタイミング

CData はOAuth アプリケーション認証情報を製品に組み込んでおり、から接続する際に使用できます。

以下の場合はユーザー自身のOAuth アプリケーションクレデンシャルを選択できます。

• 認証ダイアログのブランディングをコントロールしたいとき
• ユーザー認証後にアプリケーションがユーザーをリダイレクトするためのリダイレクトURI をコントロールしたいとき
• ユーザーからのリクエストに対する許可をカスタマイズしたいとき

カスタムOAuth アプリの作成

1. Dropbox 開発者ダッシュボード にログインして［アプリを作成］をクリックします。Dropbox API を選択します。アプリへのアクセスタイプはFull Dropbox を選択します。
2. アプリを作成すると、アプリ設定を表示するメインメニューからConfiguration を見ることができます。
3. アプリのSettings タブで、のちのCloud 設定のためにApp key とApp secret の値をメモしておきます。
4. リダイレクトURI を設定し、後でCloud を設定するために指定された値を保存します。
   • を設定する際、リダイレクトURI をhttp://localhost:33333か別のポート番号に設定してください。
5. アプリのPermissions タブで、アプリが要求するユーザーのアクセス許可の範囲を選択します。

SAS Data Sets のアプリ設定でこれ以上値を指定する必要はありません。

Google Cloud Storage への接続

ProjectId プロパティを接続するプロジェクトのId に設定します。

Google Cloud Storage への認証

Cloud は、認証にユーザーアカウントおよびGCP インスタンスアカウントの使用をサポートします。

以下のセクションでは、Google Cloud Storage の利用可能な認証スキームについて説明します。

• ユーザーアカウント（OAuth）
• サービスアカウント（OAuthJWT）
• GCP インスタンスアカウント

ユーザーアカウント（OAuth）

AuthScheme は、すべてのユーザーアカウントフローでOAuth に設定する必要があります。

Web アプリケーション

Web アプリケーション経由で接続する場合は、Google Cloud Storage にカスタムOAuth アプリケーションを作成および登録する必要があります。それからCloud を使用してOAuth トークンの値を取得および管理します。カスタムアプリケーションについて詳しくは、カスタムOAuth アプリの作成 を参照してください。

OAuth アクセストークンの取得

次の接続プロパティを設定し、OAuthAccessToken を取得します。

• OAuthClientId：アプリケーション設定のクライアントId に設定。
• OAuthClientSecret：アプリケーション設定のクライアントシークレットに設定。

続いてストアドプロシージャを呼び出し、OAuth 交換を完了します。

1. GetOAuthAuthorizationURL ストアドプロシージャを呼び出します。CallbackURL インプットをアプリケーション設定で指定したコールバックURL に設定します。ストアドプロシージャがOAuth エンドポイントのURL を返します。
2. ステップ1でストアドプロシージャが返したURL に移動します。カスタムOAuth アプリケーションにログインして、Web アプリケーションを認可します。認証されると、ブラウザはコールバックURL にリダイレクトします。
3. GetOAuthAccessToken ストアドプロシージャを呼び出します。AuthMode をWEB に、Verifier インプットをコールバックURL のクエリ文字列の"code" パラメータに設定します。

アクセストークンとリフレッシュトークンを取得すると、データに接続し、OAuth アクセストークンを自動または手動でリフレッシュすることができるようになります。

OAuth アクセストークンの自動リフレッシュ

ドライバーがOAuth アクセストークンを自動的にリフレッシュするようにするには、最初のデータ接続で次のように設定します。

• InitiateOAuth：REFRESH に設定。
• OAuthClientId：アプリケーション設定のクライアントId に設定。
• OAuthClientSecret：アプリケーション設定のクライアントシークレットに設定。
• OAuthAccessToken：GetOAuthAccessToken によって返されたアクセストークンに設定。
• OAuthRefreshToken：GetOAuthAccessToken によって返されたリフレッシュトークンに設定。
• OAuthSettingsLocation：Cloud がOAuth トークン値を保存する場所に設定。これは接続間で維持されます。

次回のデータ接続では、OAuthAccessToken およびOAuthRefreshToken の値は、OAuthSettingsLocation から取得されます。

OAuth アクセストークンの手動リフレッシュ

データ接続時に手動でOAuth アクセストークンをリフレッシュするために必要な値は、OAuth リフレッシュトークンのみです。

GetOAuthAccessToken によって返されたExpiresIn パラメータ値が経過した後に、RefreshOAuthAccessToken ストアドプロシージャを使用し、手動でOAuthAccessToken をリフレッシュします。次の接続プロパティを設定します。

• OAuthClientId：アプリケーション設定のクライアントId に設定。
• OAuthClientSecret：アプリケーション設定のクライアントシークレットに設定。

次に、RefreshOAuthAccessToken を呼び出し、OAuthRefreshToken にGetOAuthAccessToken によって返されたOAuth リフレッシュトークンを指定します。新しいトークンが取得できたら、OAuthAccessToken プロパティにRefreshOAuthAccessToken によって返された値を設定し、新しい接続をオープンします。

最後に、OAuth リフレッシュトークンを保存し、OAuth アクセストークンの有効期限が切れた後に手動でリフレッシュできるようにします。

ヘッドレスマシン

ドライバーを設定するため、ヘッドレスマシンでユーザーアカウントにOAuth を使用します。インターネットブラウザに対応した別の端末で認証する必要があります。

1. 以下のオプションから選択します。
   • オプション1：後述の「Verifier code を取得および交換」に従い、OAuthVerifier 値を取得します。
   • オプション2：インターネットブラウザに対応したマシンにCloud をインストールし、通常のブラウザベースのフローで認証した後でOAuth 認証値を転送します。
2. 次に、ヘッドレスマシンからアクセストークンを自動的にリフレッシュするようにCloud を設定します。

オプション1：Verifier code を取得および交換

Verifier code を取得するには、OAuth Authorization URL で認証する必要があります。

インターネットブラウザに対応したマシンから認証してOAuthVerifier 接続プロパティを取得する方法は次のとおりです。

1. 以下のオプションから選択します。
   • 埋め込みOAuth アプリケーションを使用する場合は、Google Cloud Storage OAuth エンドポイント をクリックし、ブラウザでエンドポイントを開きます。
   • カスタムOAuth アプリケーションを使用するには、以下のプロパティを設定し、認証URL を作成します。
     • InitiateOAuth：OFF に設定。
     • OAuthClientId：アプリケーションの登録時に割り当てられたクライアントId に設定。
     • OAuthClientSecret：アプリケーションの登録時に割り当てられたクライアントシークレットに設定。
     次に、適切なCallbackURL を指定してGetOAuthAuthorizationURL ストアドプロシージャを呼び出します。ストアドプロシージャによって返されたURL をブラウザで開きます。
2. ログインして、Cloud にアクセス許可を与えます。すると、verifier code を含むコールバックURL にリダイレクトされます。
3. verifier code の値を保存します。後ほどこれをOAuthVerifier 接続プロパティに設定します。

次に、OAuth verifier code をOAuth リフレッシュトークンおよびアクセストークンと交換する必要があります。次のプロパティを設定します。

ヘッドレスマシンでは、次の接続プロパティを設定してOAuth 認証値を取得します。

• InitiateOAuth：REFRESH に設定。
• OAuthVerifier：verifier code に設定。
• OAuthClientId：（カスタムアプリのみ）カスタムOAuth アプリケーション設定のクライアントId に設定。
• OAuthClientSecret：（カスタムアプリのみ）カスタムOAuth アプリケーション設定のクライアントシークレットに設定。
• OAuthSettingsLocation：これを設定すると、暗号化されたOAuth 認証値が指定された場所に永続化されます。

OAuth 設定ファイルが生成されたら、以下のように接続プロパティをリセットする必要があります。

• InitiateOAuth：REFRESH に設定。
• OAuthClientId：（カスタムアプリのみ）アプリケーションの登録時に割り当てられたクライアントId に設定。
• OAuthClientSecret：（カスタムアプリのみ）アプリケーションの登録時に割り当てられたクライアントシークレットに設定。
• OAuthSettingsLocation：暗号化されたOAuth 認証値を含む場所に設定。アクセストークンの自動リフレッシュを有効にするために、この場所がCloud に読み書きのアクセス許可を与えることを確認してください。

オプション2：OAuth 設定を転送

ヘッドレスマシンでの接続に先立ち、インターネットブラウザに対応したデバイスでドライバとの接続を作成し、インストールする必要があります。上述の「デスクトップアプリケーション」の説明に従って、接続プロパティを設定します。

「デスクトップアプリケーション」の手順が完了すると、生成された認証値は、OAuthSettingsLocation で指定された場所に暗号化されて書き込まれます。デフォルトのファイル名はOAuthSettings.txt です。

接続が正常にテストされたら、OAuth 設定ファイルをヘッドレスマシンにコピーします。

ヘッドレスマシンで、次の接続プロパティを設定し、データに接続します。

• InitiateOAuth：REFRESH に設定。
• OAuthClientId：（カスタムアプリのみ）アプリケーションの登録時に割り当てられたクライアントId に設定。
• OAuthClientSecret：（カスタムアプリのみ）アプリケーションの登録時に割り当てられたクライアントシークレットに設定。
• OAuthSettingsLocation：OAuth 設定ファイルの場所に設定。アクセストークンの自動リフレッシュを有効にするために、この場所がCloud に読み書きのアクセス許可を与えることを確認してください。

GCP インスタンスアカウント

GCP 仮想マシン上で実行している場合は、Cloud は仮想マシンに関連付けられたサービスアカウントを使用して認証できます。 このモードを使用するには、AuthScheme をGCPInstanceAccount に設定します。

カスタムOAuth アプリケーションの作成

CData はOAuth アプリケーション認証情報を製品に組み込んでおり、デスクトップアプリケーションまたはヘッドレスマシン経由でSAS Data Sets に接続する際に使用できます。

（OAuthAccessToken およびその他の設定パラメータを取得および設定する方法についての情報は、「SAS Data Sets への接続」の デスクトップ認証セクションを参照してください。）

ただし、Web 経由で接続するには、カスタムOAuth アプリケーションの作成が必要です。また、カスタムOAuth アプリケーションは、一般的に使用される3つの認証フローをすべてシームレスにサポートするため、これらの認証フロー用にカスタムOAuth アプリケーションを作成（独自のOAuth アプリケーションクレデンシャルを使用）することもできます。

カスタムOAuth アプリケーションは、次のような場合に有用です。

• 認証ダイアログのブランディングをコントロールしたいとき
• ユーザー認証後にアプリケーションがユーザーをリダイレクトするためのリダイレクトURI をコントロールしたいとき
• ユーザーからのリクエストに対する許可をカスタマイズしたいとき

以下のセクションでは、Directory API を有効化し、ユーザーアカウント（OAuth）およびサービスアカウント（OAuth / JWT）用のカスタムOAuth アプリケーションを作成する方法について説明します。

Cloud Storage API を有効化

次の手順に従いCloud Storage API を有効化します。

1. Google Cloud Console に移動します。
2. 左側のナビゲーションメニューからライブラリを選択します。API ライブラリページが開きます。
3. 検索ボックスに、"Cloud Storage API" と入力し、検索結果からCloud Storage API を選択します。
4. Cloud Storage API ページで、有効にするをクリックします。

OAuth アプリケーションの作成

カスタムOAuth アプリケーションを作成して必要なOAuth 接続プロパティを取得するには、以下の手順に従ってください。

ユーザーアカウント（OAuth）

AuthScheme がOAuth であり、Web アプリケーション上で認証する必要があるユーザーの場合は、必ずカスタムOAuth アプリケーションを作成する必要があります。 （デスクトップおよびヘッドレスフローでのカスタムOAuth アプリケーションの作成は任意です。）

以下の手順に従います。

1. Google Cloud コンソールに移動します。
2. 新しいプロジェクトを作成するか、既存のプロジェクトを選択します。
3. 左側のナビゲーションメニューで、認証情報を選択します。
4. このプロジェクトに同意画面がまだ設定されていない場合は、同意画面を設定 をクリックして作成します。Google Workspace アカウントを使用しない場合、User Type が外部の同意画面の作成に制限され、ユーザーサポートメールとデベロッパーの連絡先情報を指定する必要があります。 追加情報は任意です。
5. 認証情報ページで認証情報を作成 -> OAuth クライアントID を選択します。
6. アプリケーションの種類メニューでウェブアプリケーションを選択します。
7. カスタムOAuth アプリケーションの名前を指定します。
8. 承認済みのリダイレクトURI の下にあるURI を追加をクリックし、リダイレクトURI を入力します。
9. Enter をクリックし、続けて作成をクリックします。Cloud コンソールは認証情報ページに戻ります。
   ウィンドウが開き、クライアントId とクライアントシークレットが表示されます。
10. 後でOAuthClientId とOAuthClientSecret として使用するために、クライアントId とクライアントシークレットを記録しておきます。

Note： クライアントシークレットはGoogle Cloud コンソールからアクセス可能です。

サービスアカウント（OAuthJWT）

サービスアカウント（AuthScheme OAuthJWT）をOAuth フローで使用することで、ドメイン内のユーザーの代わりにGoogle API にアクセスすることができます。 ドメイン管理者はドメイン全体のアクセスをサービスアカウントに委任することができます。

新しいサービスアカウントを作成するには：

1. Google Cloud コンソールに移動します。
2. 新しいプロジェクトを作成するか、既存のプロジェクトを選択します。
3. 左側のナビゲーションメニューで、認証情報を選択します。
4. 認証情報を作成 -> サービスアカウントを選択します。
5. サービスアカウントの作成ページで、サービスアカウント名、ID、およびオプションの説明を入力します。
6. 完了をクリックします。Cloud コンソールは認証情報ページを再表示します。
7. サービスアカウントセクションで、作成したサービスアカウントを選択します。
8. 詳細設定セクションをクリックし、ドメイン全体の委任を有効にします。
9. メイン全体の委任用に表示されるクライアントID を記録します。これは管理コンソールで使用します。
10. 新しいタブで、Google Admin コンソールに移動します。
11. セキュリティ -> API の制御 -> ドメイン全体の委任に移動します。
12. ドメイン全体の委任を管理をクリックし、次に新しく追加をクリックします。
13. 記録したクライアントID と必要なスコープのリストを入力します。詳しくは、OAuth スコープとエンドポイント を参照してください。
14. Cloud コンソールに戻り、サービスアカウントのキータブを選択します。
15. 鍵を追加 -> 新しい鍵を作成 をクリックします。
16. サポートされているキータイプを選択します（OAuthJWTCert およびOAuthJWTCertType を参照）。
17. 作成をクリックします。キーは自動的にデバイスにダウンロードされます。
18. 後で使用するために追加情報を記録します。

サービスアカウントフローでは、Cloud はJSON Web Token（JWT）をOAuthAccessToken と交換します。 上記の手順でダウンロードした秘密鍵は、JWT に署名するために使用されます。 Cloud は、ドメイン全体の委任を通じて設定されたスコープを含む、サービスアカウントに付与された権限を継承します。

Google Drive への認証

Cloud は、認証にユーザーアカウントおよびGCP インスタンスアカウントの使用をサポートします。

以下のセクションでは、Google Drive の利用可能な認証スキームについて説明します。

• ユーザーアカウント（OAuth）
• サービスアカウント（OAuthJWT）
• GCP インスタンスアカウント

ユーザーアカウント（OAuth）

AuthScheme は、すべてのユーザーアカウントフローでOAuth に設定する必要があります。

GCP インスタンスアカウント

GCP 仮想マシン上で実行している場合は、Cloud は仮想マシンに関連付けられたサービスアカウントを使用して認証できます。 このモードを使用するには、AuthScheme をGCPInstanceAccount に設定します。

カスタムOAuth アプリケーションの作成

CData はOAuth アプリケーション認証情報を製品に組み込んでおり、デスクトップアプリケーションまたはヘッドレスマシン経由でSAS Data Sets に接続する際に使用できます。

（OAuthAccessToken およびその他の設定パラメータを取得および設定する方法についての情報は、「SAS Data Sets への接続」の デスクトップ認証セクションを参照してください。）

ただし、Web 経由で接続するには、カスタムOAuth アプリケーションの作成が必要です。また、カスタムOAuth アプリケーションは、一般的に使用される3つの認証フローをすべてシームレスにサポートするため、これらの認証フロー用にカスタムOAuth アプリケーションを作成（独自のOAuth アプリケーションクレデンシャルを使用）することもできます。

カスタムOAuth アプリケーションは、次のような場合に有用です。

• 認証ダイアログのブランディングをコントロールしたいとき
• ユーザー認証後にアプリケーションがユーザーをリダイレクトするためのリダイレクトURI をコントロールしたいとき
• ユーザーからのリクエストに対する許可をカスタマイズしたいとき

以下のセクションでは、Directory API を有効化し、ユーザーアカウント（OAuth）およびサービスアカウント（OAuth / JWT）用のカスタムOAuth アプリケーションを作成する方法について説明します。

Google Drive API を有効化

次の手順に従いGoogle Drive API を有効化します。

1. Google Cloud Console に移動します。
2. 左側のナビゲーションメニューからライブラリを選択します。API ライブラリページが開きます。
3. 検索ボックスに、"Google Drive API" と入力し、検索結果からGoogle Drive API を選択します。
4. Google Drive API ページで、有効にするをクリックします。

OAuth アプリケーションの作成

カスタムOAuth アプリケーションを作成して必要なOAuth 接続プロパティを取得するには、以下の手順に従ってください。

ユーザーアカウント（OAuth）

AuthScheme がOAuth であり、Web アプリケーション上で認証する必要があるユーザーの場合は、必ずカスタムOAuth アプリケーションを作成する必要があります。 （デスクトップおよびヘッドレスフローでのカスタムOAuth アプリケーションの作成は任意です。）

以下の手順に従います。

1. Google Cloud コンソールに移動します。
2. 新しいプロジェクトを作成するか、既存のプロジェクトを選択します。
3. 左側のナビゲーションメニューで、認証情報を選択します。
4. このプロジェクトに同意画面がまだ設定されていない場合は、同意画面を設定 をクリックして作成します。Google Workspace アカウントを使用しない場合、User Type が外部の同意画面の作成に制限され、ユーザーサポートメールとデベロッパーの連絡先情報を指定する必要があります。 追加情報は任意です。
5. 認証情報ページで認証情報を作成 -> OAuth クライアントID を選択します。
6. アプリケーションの種類メニューでウェブアプリケーションを選択します。
7. カスタムOAuth アプリケーションの名前を指定します。
8. 承認済みのリダイレクトURI の下にあるURI を追加をクリックし、リダイレクトURI を入力します。
9. Enter をクリックし、続けて作成をクリックします。Cloud コンソールは認証情報ページに戻ります。
   ウィンドウが開き、クライアントId とクライアントシークレットが表示されます。
10. 後でOAuthClientId とOAuthClientSecret として使用するために、クライアントId とクライアントシークレットを記録しておきます。

Note： クライアントシークレットはGoogle Cloud コンソールからアクセス可能です。

サービスアカウント（OAuthJWT）

サービスアカウント（AuthScheme OAuthJWT）をOAuth フローで使用することで、ドメイン内のユーザーの代わりにGoogle API にアクセスすることができます。 ドメイン管理者はドメイン全体のアクセスをサービスアカウントに委任することができます。

新しいサービスアカウントを作成するには：

1. Google Cloud コンソールに移動します。
2. 新しいプロジェクトを作成するか、既存のプロジェクトを選択します。
3. 左側のナビゲーションメニューで、認証情報を選択します。
4. 認証情報を作成 -> サービスアカウントを選択します。
5. サービスアカウントの作成ページで、サービスアカウント名、ID、およびオプションの説明を入力します。
6. 完了をクリックします。Cloud コンソールは認証情報ページを再表示します。
7. サービスアカウントセクションで、作成したサービスアカウントを選択します。
8. 詳細設定セクションをクリックし、ドメイン全体の委任を有効にします。
9. メイン全体の委任用に表示されるクライアントID を記録します。これは管理コンソールで使用します。
10. 新しいタブで、Google Admin コンソールに移動します。
11. セキュリティ -> API の制御 -> ドメイン全体の委任に移動します。
12. ドメイン全体の委任を管理をクリックし、次に新しく追加をクリックします。
13. 記録したクライアントID と必要なスコープのリストを入力します。詳しくは、OAuth スコープとエンドポイント を参照してください。
14. Cloud コンソールに戻り、サービスアカウントのキータブを選択します。
15. 鍵を追加 -> 新しい鍵を作成 をクリックします。
16. サポートされているキータイプを選択します（OAuthJWTCert およびOAuthJWTCertType を参照）。
17. 作成をクリックします。キーは自動的にデバイスにダウンロードされます。
18. 後で使用するために追加情報を記録します。

サービスアカウントフローでは、Cloud はJSON Web Token（JWT）をOAuthAccessToken と交換します。 上記の手順でダウンロードした秘密鍵は、JWT に署名するために使用されます。 Cloud は、ドメイン全体の委任を通じて設定されたスコープを含む、サービスアカウントに付与された権限を継承します。

HTTP(S) への認証

Cloud は、HTTP(S) ストリームに格納されたSAS Data Sets データへの接続を汎用的にサポートします。

ユーザー / パスワード、Digest アクセス、OAuth、OAuthJWT、OAuth PASSWORD フローなど、複数の認証方式に対応しています。

また、認証設定のないストリームに接続することも可能です。

認証なし

認証なしでHTTP（S）ストリームに接続するには、AuthScheme 接続プロパティをNone に設定します。

Basic

接続するには以下を設定します。

• AuthScheme：Basic に設定。
• User：HTTP(S) ストリームに紐づいているユーザー名に設定。
• Password：HTTP(S) ストリームに紐づいているパスワードに設定。

Digest

接続するには以下を設定します。

• AuthScheme：Digest に設定。
• User：HTTP(S) ストリームに紐づいているユーザー名に設定。
• Password：HTTP(S) ストリームに紐づいているパスワードに設定。

OAuth

AuthScheme をOAuth に設定します。

OAuth では認証するユーザーにブラウザでSAS Data Sets との通信を要求します。次のセクションで説明するとおり、Cloud はさまざまな方法でこれをサポートします。

次の手順を実行する前に、操作したいSAS Data Sets データを持つサービスにOAuth アプリを登録する必要があります。

ほとんどのサービスではカスタムアプリケーションを作成する場合、開発者登録をしてサービスのUI でアプリを作成する必要があります。

ただし、すべてのサービスに当てはまるわけではありません。アプリの作成をサービスプロバイダーに依頼しなければならない場合もあります。どんな場合でも、OAuthClientId、OAuthClientSecret、およびCallbackURL の値を取得する必要があります。

OAuth JWT

AuthScheme をOAuthJWT に設定します。

Cloud は、ユーザーが双方向のサインオンを実行できない状況で、認可グラントとしてのJWT の使用をサポートします。 次の接続プロパティを設定して、接続してください。

• OAuthVersion：2.0 に設定。
• OAuthAccessTokenURL：JWT がアクセストークンと交換されるURL に設定します。
• OAuthJWTCert：使用する証明書に設定します。多くの場合、これはPEM またはPFX ファイルへのパスです。
• OAuthJWTCertType：正しい証明書タイプに設定します。多くの場合、PEMKEY_FILE またはPFXFILE のいずれかです。
• OAuthJWTCertPassword：証明書が暗号化されている場合、これを暗号化パスワードに設定します。
• OAuthJWTIssuer：発行元に設定します。これはJWT のiss フィールドに相当します。

JWT 署名のアルゴリズムを直接設定できないことに注意してください。Cloud は、RS256 アルゴリズムにのみ対応しています。

Cloud は以下のフィールドを含むJWT を構築してOAuthAccessTokenURL にアクセストークンを送信します。

• scope 提供されている場合、Scope から取得されます。
• aud 提供されている場合、OAuthJWTAudience から取得されます。
• iss OAuthJWTIssuer から取得されます。
• iat これはJWT が生成された時間です。
• exp これは、iat の値にOAuthJWTValidityTime の値を加えたものです。
• sub 提供されている場合、OAuthJWTSubject から取得されます。

OAuthPassword

AuthScheme：OAuthPassword に設定。

OAuth では認証するユーザーにブラウザでSAS Data Sets との通信を要求します。次のセクションで説明するとおり、Cloud はさまざまな方法でこれをサポートします。

次の手順を実行する前に、操作したいSAS Data Sets データを持つサービスにOAuth アプリを登録する必要があります。

ほとんどのサービスではカスタムアプリケーションを作成する場合、開発者登録をしてサービスのUI でアプリを作成する必要があります。

ただし、すべてのサービスに当てはまるわけではありません。アプリの作成をサービスプロバイダーに依頼しなければならない場合もあります。どんな場合でも、OAuthClientId、OAuthClientSecret、およびCallbackURL の値を取得する必要があります。

次の接続プロパティを設定して、接続してください。

• OAuthVersion：OAuth バージョン1.0 か2.0 のいずれかに設定します。
• OAuthRequestTokenURL：OAuth 1.0 に必要です。OAuth 1.0 では、これがアプリケーションがリクエストトークンをリクエストするURL です。
• OAuthAuthorizationURL：OAuth 1.0 および2.0 に必要です。これは、ユーザーがサービスにログインして、アプリケーションにアクセス許可を与えるURL です。OAuth 1.0 では、アクセス許可が付与されるとリクエストトークンが認可されます。
• OAuthAccessTokenURL：OAuth 1.0 および2.0 に必要です。これは、アクセストークンがリクエストされるURL です。OAuth 1.0 では、認可されたリクエストトークンはアクセストークンと交換されます。
• OAuthRefreshTokenURL：OAuth 2.0 に必要です。OAuth 2.0 では、古いトークンの期限が切れたときは、このURL でリフレッシュトークンと新しいアクセストークンと交換します。データソースによっては、アクセストークンと同じURL である場合がありますので、注意してください。
• OAuthClientId：アプリ設定のクライアントId に設定。これはコンシューマーキーと呼ばれることもあります。
• OAuthClientSecret：アプリケーション設定のクライアントシークレットに設定。これはコンシューマーシークレットと呼ばれることもあります。
• CallbackURL：http://localhost:33333 に設定。アプリケーション設定でリダイレクトURL を指定した場合には、一致している必要があります。

接続すると、Cloud はデフォルトブラウザでOAuth エンドポイントを開きます。ログインして、アプリケーションにアクセス許可を与えます。Cloud がOAuth プロセスを完了します。

1. コールバックURL からアクセストークンを取得し、リクエストを認証します。
2. アクセストークンの期限が切れたときにはリフレッシュしてください。
3. OAuth 値を保存し、接続間で永続化されるようにします。

接続の前に

Cloud Object Storage の新規インスタンスの登録

IBM Cloud アカウントにCloud Object Storage がまだない場合は、以下の手順に従ってアカウントにSQL Query のインスタンスをインストールできます。

1. IBM Cloud アカウントにログインします。
2. Cloud Object Storage ページに移動し、インスタンス名を指定して作成をクリックします。作成したばかりのCloud Object Storage のインスタンスにリダイレクトされます。

API キー

IBM Cloud Object Storage に接続するにはApiKey が必要です。これは次のようにして取得できます。

1. IBM Cloud アカウントにログインします。
2. Platform API Keys ページに移動します。
3. 中央右隅のCreate an IBM Cloud API Key をクリックして、新しいAPI キーを作成します。
4. ポップアップウィンドウが表示されたら、API キー名を指定して作成をクリックします。ダッシュボードからは再びアクセスできなくなるため、ApiKey を控えておきます。

IBM Cloud Object Storage への接続

Region をIBM インスタンスリージョンに設定します。

IBM Cloud Object Storage への認証

IAMSecretKey またはOAuth のいずれかを使用して、IBM Cloud Object Storage への認証ができます。

IAMSecretKey

次のプロパティを設定して認証します。

• AccessKey：IBM アクセスキー（ユーザー名）に設定。
• SecretKey：IBM シークレットキーに設定。

次に例を示します。

ConnectionType=IBM Object Storage Source;URI=ibmobjectstorage://bucket1/folder1; AccessKey=token1; SecretKey=secret1; Region=eu-gb;

OAuth

OAuth 認証を使用して認証するには以下を設定します。

• AuthScheme：OAuth に設定。
• ApiKey：セットアップ中にメモしたIBM API キーに設定。

次に例を示します。

ConnectionType=IBM Object Storage Source;URI=ibmobjectstorage://bucket1/folder1; ApiKey=key1; Region=eu-gb; AuthScheme=OAuth; InitiateOAuth=GETANDREFRESH;

接続すると、Cloud がOAuth プロセスを完了します。

OneDrive への接続

OneDrive への認証には、Azure AD ユーザー、MSI 認証、Azure サービスプリンシパルを使用できます。

AzureAD ユーザー

AuthScheme は、すべてのユーザーアカウントフローでAzureAD に設定する必要があります。

Azure サービスプリンシパル

Azure サービスプリンシパルとしての認証は、OAuth クライアントクレデンシャルフローを介して処理されます。直接のユーザー認証は行われません。代わりに、クレデンシャルはアプリケーション自体のためだけに作成されます。アプリケーションで実行されるすべてのタスクは、デフォルトユーザーコンテキストなしで実行されます。リソースへのアプリケーションのアクセスは、割り当てられたロールの権限によって制御されます。

AzureAD アプリとAzure サービスプリンシパルの作成

Azure サービスプリンシパルを使用して認証する場合、Azure AD テナントにAzure AD アプリケーションを作成して登録する必要があります。詳しくは、Entra ID（Azure AD）アプリケーションの作成 を参照してください。

portal.azure.com の［アプリの登録］で［API のアクセス許可］に移動し、Microsoft Graph アクセス許可を選択します。アクセス許可には2つの異なるアクセス許可セットがあります。委任されたアクセス許可とアプリケーションの許可です。クライアントの資格情報認証時に使用されるアクセス許可は、［アプリケーションの許可］の下にあります。

アプリケーションへのロールの割り当て

サブスクリプションのリソースにアクセスするには、アプリケーションにロールを割り当てる必要があります。

1. 検索バーでサブスクリプションサービスを検索・選択して、サブスクリプションページを開きます。
2. アプリケーションを割り当てるサブスクリプションを選択します。
3. アクセス制御 (IAM)を開き、追加 -> ロール割り当ての追加 を選択してロール割り当ての追加ページを開きます。
4. 作成したAzure AD アプリに割り当てるロールとして、所有者を選択します。

認証の完了 クライアントシークレットと証明書のどちらを使用するかを選択し、以下の該当する手順に従ってください。

クライアントシークレット

次の接続プロパティを設定します。

• AuthScheme：クライアントシークレットを使用する場合はAzureServicePrincipal。
• InitiateOAuth： GETANDREFRESH。InitiateOAuth を使えば、繰り返しOAuth の交換を行ったり、手動でOAuthAccessToken を設定する必要はなくなります。
• AzureTenant：接続するテナント。
• OAuthClientId：アプリケーション設定のクライアントId。
• OAuthClientSecret：アプリケーション設定のクライアントシークレット。

証明書

次の接続プロパティを設定します。

• AuthScheme：証明書を使用する場合はAzureServicePrincipalCert。
• InitiateOAuth： GETANDREFRESH。InitiateOAuth を使えば、繰り返しOAuth 交換を行ったり、手動でOAuthAccessToken を設定する必要はなくなります。
• AzureTenant：接続するテナント。
• OAuthJWTCert：JWT 証明書のストア。
• OAuthJWTCertType：OAuthJWTCert で指定された証明書ストアの種類。

これで接続する準備が整いました。クライアント資格情報での認証は、他の接続同様に自動的に行われますが、ユーザーにプロンプトするウィンドウは表示されません。ユーザーコンテキストがないため、ブラウザのポップアップは必要ないからです。接続が行われ、内部的に処理されます。

Azure MSI

Azure Data Lake Storage のアクセス許可を持つAzure VM で接続する場合は、以下AuthScheme をAzureMSI に設定します。

カスタムAzureAD アプリケーションには、AzureAD とAzure サービスプリンシパルを使用するAzureAD の2種類があります。いずれもOAuth ベースです。

カスタムアプリケーションを作成するタイミング

CData はOAuth アプリケーション認証情報を製品に組み込んでおり、デスクトップアプリケーションまたはヘッドレスマシンから接続する際に使用できます。

以下の場合はユーザー自身のAzureAD アプリケーションクレデンシャルを選択できます。

• 認証ダイアログのブランディングをコントロールしたいとき
• ユーザー認証後にアプリケーションがユーザーをリダイレクトするためのリダイレクトURI をコントロールしたいとき
• ユーザーからのリクエストに対する許可をカスタマイズしたいとき

カスタムAzureAD アプリケーション

カスタムAzureAD アプリケーションを使用して、サービスアカウントまたはユーザーアカウントで認証できます。カスタムAzureAD アプリケーションはいつでも作成できますが、デスクトップおよびヘッドレス接続は埋め込みOAuth をサポートしており、認証プロセスを簡略化できることに留意してください。埋め込みOAuth アプリケーションを使用するには「接続の確立」を参照してください。

カスタムAzureAD アプリの作成

下記の手順に従って、アプリケーションのAzureAD 値OAuthClientId およびOAuthClientSecret を取得します。

1. https://portal.azure.com にログインします。
2. 左側のナビゲーションペインですべてのサービスを選択します。アプリの登録を検索して選択します。
3. 新規登録をクリックします。
4. アプリケーション名を入力し、目的のテナント設定を選択します。 Azure Active Directory でカスタムAzureAD アプリケーションを作成する場合、アプリケーションをシングルテナントまたはマルチテナントに定義できます。デフォルトのオプション［この組織ディレクトリ内のアカウントのみ］を選択する場合は、CData Cloud への接続を確立するときにAzureTenant 接続プロパティをAzure AD テナントのId に設定する必要があります。それ以外の場合は、認証に失敗しエラーが発生します。アプリケーションが個人使用のみの場合は、［この組織ディレクトリ内のアカウントのみ］で十分です。アプリケーションを配布する場合は、マルチテナントオプションのいずれか1つを選択してください。
5. リダイレクトURL をCloud のデフォルトhttp://localhost:33333 に設定します。あるいは、任意の別のポートを指定して、CallbackURL を定義した正確なリプライURL に設定します。
6. 登録をクリックして新しいアプリケーションを登録します。アプリケーション管理画面が自動的に開きます。OAuthClientId としてApplication (client) ID の値、AzureTenant としてDirectory (tenant) ID の値をメモします。
7. ［証明書とシークレット］セクションに移動して、アプリケーションの認証タイプを定義します。認証には、クライアントシークレットを使用する方法と、証明書を使用する方法の2種類があります。推奨されている認証方法は証明書を使用する方法です。
   • オプション1：証明書をアップロードする：［証明書とシークレット］で証明書のアップロードを選択し、ローカルマシンからアップロードする証明書を選択します。
   • オプション2：新しいアプリケーションシークレットを作成する：［証明書とシークレット］で新しいクライアントシークレットを選択し、有効期限を指定します。クライアントシークレットを保存すると、キーの値が表示されます。 表示は一度のみなのでこの値をコピーします。 これは、OAuthClientSecret として必要になります。
8. API のアクセス許可 -> アクセス許可の追加をクリックします。アプリケーションがユーザーコンテキストなしで接続する場合は、アプリケーションの許可を選択します。アプリケーションがサインイン済みのユーザーの代理で認証を行う場合は、委任されたアクセス許可を選択します。
9. 変更を保存します。
10. 管理者の同意が必要なアクセス許可（［アプリケーションの許可］など）を使用することを選択した場合は、API のアクセス許可ページで現在のテナントから付与することができます。それ以外の場合は、 管理者の同意の手順に従ってください。

Azure サービスプリンシパルカスタムアプリケーション

Azure サービスプリンシパルを使用して認証する場合は、カスタムAzureAD アプリケーションと必要なリソースにアクセスできるサービスプリンシパル両方の作成が必要です。次の手順に従って、カスタムAzureAD アプリケーションを作成し、Azure サービスプリンシパル認証用の接続プロパティを取得します。

Azure サービスプリンシパルでカスタムAzureAD アプリを作成

下記の手順に従って、アプリケーションのAzureAD 値を取得します。

1. https://portal.azure.com にログインします。
2. 左側のナビゲーションペインですべてのサービスを選択します。アプリの登録を検索して選択します。
3. 新規登録をクリックします。
4. アプリ名を入力し、［任意のAzure AD ディレクトリ - マルチテナント］を選択します。そして、リダイレクトURL をCloud のデフォルトhttp://localhost:33333 に設定します。
5. アプリ作成後に、［概要］セクションに表示されているアプリケーション（クライアント）Id の値をコピーします。この値はOAuthClientId として使用されます。
6. ［証明書とシークレット］セクションに移動して、アプリの認証タイプを定義します。認証には、クライアントシークレットを使用する方法と、証明書を使用する方法の2種類があります。推奨されている認証方法は証明書による方法です。
   • オプション1 - 証明書をアップロードする：［証明書とシークレット］で証明書のアップロードを選択し、ローカルマシンからアップロードする証明書を選択します。
   • オプション2 - 新しいアプリケーションシークレットを作成する：［証明書とシークレット］で新しいクライアントシークレットを選択し、有効期限を指定します。クライアントシークレットを保存すると、キーの値が表示されます。 表示は一度のみなのでこの値をコピーします。これは、OAuthClientSecret として使用します。
7. 認証タブで、必ずアクセストークン（暗黙的なフローに使用）を選択してください。

OneLake への認証

OneLake への認証には、Azure AD ユーザー、Azure MSI、またはAzure サービスプリンシパルを使用できます。

AzureAD ユーザー

AuthScheme は、すべてのユーザーアカウントフローでAzureAD に設定する必要があります。

Azure サービスプリンシパル

Azure サービスプリンシパルとしての認証は、OAuth クライアントクレデンシャルフローを介して処理されます。直接のユーザー認証は行われません。代わりに、クレデンシャルはアプリケーション自体のためだけに作成されます。アプリケーションで実行されるすべてのタスクは、デフォルトユーザーコンテキストなしで実行されます。リソースへのアプリケーションのアクセスは、割り当てられたロールの権限によって制御されます。

AzureAD アプリとAzure サービスプリンシパルの作成

Azure サービスプリンシパルを使用して認証する場合、Azure AD テナントにAzure AD アプリケーションを作成して登録する必要があります。詳しくは、Entra ID（Azure AD）アプリケーションの作成 を参照してください。

portal.azure.com の［アプリの登録］で［API のアクセス許可］に移動し、Microsoft Graph アクセス許可を選択します。アクセス許可には2つの異なるアクセス許可セットがあります。委任されたアクセス許可とアプリケーションの許可です。クライアントの資格情報認証時に使用されるアクセス許可は、［アプリケーションの許可］の下にあります。

アプリケーションへのロールの割り当て

サブスクリプションのリソースにアクセスするには、アプリケーションにロールを割り当てる必要があります。

1. 検索バーでサブスクリプションサービスを検索・選択して、サブスクリプションページを開きます。
2. アプリケーションを割り当てるサブスクリプションを選択します。
3. アクセス制御 (IAM)を開き、追加 -> ロール割り当ての追加 を選択してロール割り当ての追加ページを開きます。
4. 作成したAzure AD アプリに割り当てるロールとして、所有者を選択します。

認証の完了 クライアントシークレットと証明書のどちらを使用するかを選択し、以下の該当する手順に従ってください。

クライアントシークレット

次の接続プロパティを設定します。

• AuthScheme：クライアントシークレットを使用する場合はAzureServicePrincipal。
• InitiateOAuth： GETANDREFRESH。InitiateOAuth を使えば、繰り返しOAuth の交換を行ったり、手動でOAuthAccessToken を設定する必要はなくなります。
• AzureTenant：接続するテナント。
• OAuthClientId：アプリケーション設定のクライアントId。
• OAuthClientSecret：アプリケーション設定のクライアントシークレット。

証明書

次の接続プロパティを設定します。

• AuthScheme：証明書を使用する場合はAzureServicePrincipalCert。
• InitiateOAuth： GETANDREFRESH。InitiateOAuth を使えば、繰り返しOAuth 交換を行ったり、手動でOAuthAccessToken を設定する必要はなくなります。
• AzureTenant：接続するテナント。
• OAuthJWTCert：JWT 証明書のストア。
• OAuthJWTCertType：OAuthJWTCert で指定された証明書ストアの種類。

これで接続する準備が整いました。クライアント資格情報での認証は、他の接続同様に自動的に行われますが、ユーザーにプロンプトするウィンドウは表示されません。ユーザーコンテキストがないため、ブラウザのポップアップは必要ないからです。接続が行われ、内部的に処理されます。

Azure MSI

Azure Data Lake Storage のアクセス許可を持つAzure VM で接続する場合は、AuthScheme をAzureMSI に設定します。

カスタムAzureAD アプリケーションには、AzureAD とAzure サービスプリンシパルを使用するAzureAD の2種類があります。いずれもOAuth ベースです。

カスタムアプリケーションを作成するタイミング

CData はOAuth アプリケーション認証情報を製品に組み込んでおり、デスクトップアプリケーションまたはヘッドレスマシンから接続する際に使用できます。

以下の場合、独自のAzureAD アプリケーション認証情報を使用することもできます。

• 認証ダイアログのブランディングをコントロールしたいとき
• ユーザー認証後にアプリケーションがユーザーをリダイレクトするためのリダイレクトURI をコントロールしたいとき
• ユーザーからのリクエストに対する許可をカスタマイズしたいとき

カスタムAzureAD アプリケーション

カスタムAzureAD アプリケーションを使用して、サービスアカウントまたはユーザーアカウントで認証できます。カスタムAzureAD アプリケーションはいつでも作成できますが、デスクトップおよびヘッドレス接続は埋め込みOAuth をサポートしており、認証プロセスを簡略化できることに留意してください。埋め込みOAuth アプリケーションを使用するには「接続の確立」を参照してください。

カスタムAzureAD アプリの作成

下記の手順に従って、アプリケーションのAzureAD 値OAuthClientId およびOAuthClientSecret を取得します。

1. https://portal.azure.com にログインします。
2. 左側のナビゲーションペインですべてのサービスを選択します。アプリの登録を検索して選択します。
3. 新規登録をクリックします。
4. アプリケーション名を入力し、目的のテナント設定を選択します。 Azure Active Directory でカスタムAzureAD アプリケーションを作成する場合、アプリケーションをシングルテナントまたはマルチテナントに定義できます。デフォルトのオプション［この組織ディレクトリ内のアカウントのみ］を選択する場合は、CData Cloud への接続を確立するときにAzureTenant 接続プロパティをAzure AD テナントのId に設定する必要があります。それ以外の場合は、認証に失敗しエラーが発生します。アプリケーションが個人使用のみの場合は、［この組織ディレクトリ内のアカウントのみ］で十分です。アプリケーションを配布する場合は、マルチテナントオプションのいずれか1つを選択してください。
5. リダイレクトURL をCloud のデフォルトhttp://localhost:33333 に設定します。あるいは、任意の別のポートを指定して、CallbackURL を定義した正確なリプライURL に設定します。
6. 登録をクリックして新しいアプリケーションを登録します。アプリケーション管理画面が自動的に開きます。OAuthClientId としてApplication (client) ID の値、AzureTenant としてDirectory (tenant) ID の値をメモします。
7. ［証明書とシークレット］セクションに移動して、アプリケーションの認証タイプを定義します。認証には、クライアントシークレットを使用する方法と、証明書を使用する方法の2種類があります。推奨されている認証方法は証明書を使用する方法です。
   • オプション1：証明書をアップロードする：［証明書とシークレット］で証明書のアップロードを選択し、ローカルマシンからアップロードする証明書を選択します。
   • オプション2：新しいアプリケーションシークレットを作成する：［証明書とシークレット］で新しいクライアントシークレットを選択し、有効期限を指定します。クライアントシークレットを保存すると、キーの値が表示されます。 表示は一度のみなのでこの値をコピーします。 これは、OAuthClientSecret として必要になります。
8. API のアクセス許可 -> アクセス許可の追加 -> Azure Storage -> user_impersonation -> アクセス許可の追加を選択します。
9. 変更を保存します。
10. 管理者の同意が必要なアクセス許可（［アプリケーションの許可］など）を使用することを選択した場合は、API のアクセス許可ページで現在のテナントから付与することができます。それ以外の場合は、 管理者の同意の手順に従ってください。

Azure サービスプリンシパルカスタムアプリケーション

Azure サービスプリンシパルを使用して認証する場合は、カスタムAzureAD アプリケーションと必要なリソースにアクセスできるサービスプリンシパル両方の作成が必要です。次の手順に従って、カスタムAzureAD アプリケーションを作成し、Azure サービスプリンシパル認証用の接続プロパティを取得します。

Azure サービスプリンシパルでカスタムAzureAD アプリを作成

下記の手順に従って、アプリケーションのAzureAD 値を取得します。

1. https://portal.azure.com にログインします。
2. 左側のナビゲーションペインですべてのサービスを選択します。アプリの登録を検索して選択します。
3. 新規登録をクリックします。
4. アプリ名を入力し、任意のAzure AD ディレクトリ - マルチテナントを選択します。そして、リダイレクトURL をCloud のデフォルトhttp://localhost:33333 に設定します。
5. アプリ作成後に、［概要］セクションに表示されているアプリケーション（クライアント）Id の値をコピーします。この値はOAuthClientId として使用されます。
6. ［証明書とシークレット］セクションに移動して、アプリの認証タイプを定義します。認証には、クライアントシークレットを使用する方法と、証明書を使用する方法の2種類があります。推奨されている認証方法は証明書による方法です。
   • オプション1 - 証明書をアップロードする：［証明書とシークレット］で証明書のアップロードを選択し、ローカルマシンからアップロードする証明書を選択します。
   • オプション2 - 新しいアプリケーションシークレットを作成する：［証明書とシークレット］で新しいクライアントシークレットを選択し、有効期限を指定します。クライアントシークレットを保存すると、キーの値が表示されます。 表示は一度のみなのでこの値をコピーします。これは、OAuthClientSecret として使用します。
7. 認証タブで、必ずアクセストークン（暗黙的なフローに使用）を選択してください。

ワークスペースへのサービスプリンシパルの追加

以下の手順に従って、ワークスペースにサービスプリンシパルを追加します。

1. Microsoft Fabric にログインします。
2. 右上の歯車アイコン（設定）をクリックします。
3. 管理ポータルを選択します。
4. 左側のナビゲーションペインでテナント設定を選択します。
5. スクロールして開発者向け設定を見つけます。
6. サービスプリンシパルはFabric API を使用できますを展開します。
7. オプションを有効化します。
8. 適用を選択します。
9. サービスプリンシパルを追加するワークスペースを選択します。
10. アクセスの管理をクリックします。
11. ユーザーまたはグループの追加をクリックします。
12. アプリケーションの名前を入力します（同じ名前のアプリケーションが複数ある場合は、ID を確認します）。
13. アプリケーションに許可するアクセスレベルを設定します。 共同作成者は、API 経由でOneLake にアクセスするために必要となる最低セキュリティレベルです。
14. 追加を選択します。

SFTP への接続

SFTP に認証するには、ユーザーとパスワード、またはSSH 証明書を使用します。さらに、認証なしでの接続が有効なSFTP サーバーに接続することもできます。

認証なし

サーバーが認証なしでの接続に対応している場合、接続するには、SSHAuthMode をNone に設定します。

パスワード

SFTP サーバーに紐づいているユーザー資格情報を入力します。

• SSHAuthMode：Password に設定。
• SSHUser：SFTP サーバーに紐づいているユーザー名。
• SSHPassword：ユーザーに紐付けられたパスワード。

SSH 証明書

接続するには以下を設定します。

• SSHAuthMode：Public_Key に設定。
• SSHClientCert：SSH 証明書をSSHClientCertType で指定した形式で指定（この接続プロパティの関連ドキュメントを参照してください）。
• SSHClientCertType：SSHClientCert で指定されたキーストアの種類。
• SSHClientCertPassword（オプション）：証明書ストアパスワード。
• SSHClientCertSubject（オプション）：キーストアに複数のキーがある場合、ここで目的のキーを名前で指定します。

SharePoint Online への接続（REST）

REST API では、以下の認証スキームがサポートされています。

• AzureAD
• MSI
• AzureServicePrincipal

AzureAD

Azure Active Directory（AzureAD）は、OAuth を使用して認証する接続タイプです。OAuth では認証するユーザーにインターネットブラウザでSAS Data Sets との通信を要求します。下記で説明するとおり、本ドライバーはさまざまな方法でこれをサポートします。AuthScheme をAzureAD に設定します。以下で説明するAzure AD フローは、すでに設定済みであることを前提として書かれています。

Azure テナントの新しいAzureAD アプリケーションを承認する際、組織による管理者の同意が必要になる場合があります。すべてのAzureAD フローにおいて、AzureAD アプリケーションの初期インストールと使用の際は、管理者がそのAzure テナントのアプリケーションを承認する必要があります。

Azure サービスプリンシパル

Azure サービスプリンシパルとしての認証は、OAuth クライアントクレデンシャルフローを介して処理されます。直接のユーザー認証は行われません。代わりに、クレデンシャルはアプリケーション自体のためだけに作成されます。アプリケーションで実行されるすべてのタスクは、デフォルトユーザーコンテキストなしで実行されます。リソースへのアプリケーションのアクセスは、割り当てられたロールの権限によって制御されます。

AzureAD アプリとAzure サービスプリンシパルの作成

Azure サービスプリンシパルを使用して認証する場合、Azure AD テナントにAzure AD アプリケーションを作成して登録する必要があります。詳しくは、Entra ID（Azure AD）アプリケーションの作成 を参照してください。

portal.azure.com の［アプリの登録］で［API のアクセス許可］に移動し、Microsoft Graph アクセス許可を選択します。アクセス許可には2つの異なるアクセス許可セットがあります。委任されたアクセス許可とアプリケーションの許可です。クライアントの資格情報認証時に使用されるアクセス許可は、［アプリケーションの許可］の下にあります。

アプリケーションへのロールの割り当て

サブスクリプションのリソースにアクセスするには、アプリケーションにロールを割り当てる必要があります。

1. 検索バーでサブスクリプションサービスを検索・選択して、サブスクリプションページを開きます。
2. アプリケーションを割り当てるサブスクリプションを選択します。
3. アクセス制御 (IAM)を開き、追加 -> ロール割り当ての追加 を選択してロール割り当ての追加ページを開きます。
4. 作成したAzure AD アプリに割り当てるロールとして、所有者を選択します。

認証の完了 クライアントシークレットと証明書のどちらを使用するかを選択し、以下の該当する手順に従ってください。

クライアントシークレット

次の接続プロパティを設定します。

• AuthScheme：クライアントシークレットを使用する場合はAzureServicePrincipal。
• InitiateOAuth： GETANDREFRESH。InitiateOAuth を使えば、繰り返しOAuth の交換を行ったり、手動でOAuthAccessToken を設定する必要はなくなります。
• AzureTenant：接続するテナント。
• OAuthClientId：アプリケーション設定のクライアントId。
• OAuthClientSecret：アプリケーション設定のクライアントシークレット。

証明書

次の接続プロパティを設定します。

• AuthScheme：証明書を使用する場合はAzureServicePrincipalCert。
• InitiateOAuth： GETANDREFRESH。InitiateOAuth を使えば、繰り返しOAuth 交換を行ったり、手動でOAuthAccessToken を設定する必要はなくなります。
• AzureTenant：接続するテナント。
• OAuthJWTCert：JWT 証明書のストア。
• OAuthJWTCertType：OAuthJWTCert で指定された証明書ストアの種類。

これで接続する準備が整いました。クライアント資格情報での認証は、他の接続同様に自動的に行われますが、ユーザーにプロンプトするウィンドウは表示されません。ユーザーコンテキストがないため、ブラウザのポップアップは必要ないからです。接続が行われ、内部的に処理されます。

MSI

Azure VM 上でSAS Data Sets を実行している場合は、Managed Service Identity（MSI）の資格情報を利用して接続が可能です。

• AuthScheme：AzureMSI に設定。

MSI 資格情報が認証用に自動的に取得されます。

Azure サービスプリンシパル

Azure サービスプリンシパルを使用して認証する場合、Azure AD テナントにアプリケーションを登録する必要があります。

アプリケーションへのロールの割り当て

サブスクリプションのリソースにアクセスするには、アプリケーションにロールを割り当てる必要があります。

1. 検索バーでサブスクリプションサービスを検索・選択して、［サブスクリプション］ページを開きます。
2. アプリケーションを割り当てる特定のサブスクリプションを選択します。
3. ［アクセス制御 (IAM)］を開き、［追加］->［ロール割り当ての追加］を選択して［ロール割り当ての追加］ページを開きます。
4. 作成したAzure AD アプリに割り当てるロールとして、［所有者］を選択します。

Azure サービスプリンシパルを使用した認証

設定されたアプリ認証（クライアントシークレットまたは証明書）に応じて、以下のいずれかの接続プロパティグループを設定すると、接続できるようになります。

クライアントシークレットまたは証明書認証を選択する前に、以下を設定します。

• AzureTenant：接続するテナントに設定。
• OAuthClientId：アプリ設定のクライアントId に設定。

オプション1：クライアントシークレットを使用した認証

クライアントシークレットで認証するには、以下のように設定します。

• AuthScheme：アプリ設定のAzureServicePrincipal に設定。
• OAuthClientId：アプリ設定のクライアントId に設定。
• OAuthClientSecret：アプリケーション設定のクライアントシークレットに設定。

オプション2：JWT 証明書を使用した認証

JWT 証明書で認証するには、以下のように設定します。

• AuthScheme：アプリ設定のAzureServicePrincipal に設定。
• OAuthJWTCert：JWT 証明書ストアに設定。
• OAuthJWTCertType：OAuthJWTCert で指定された証明書ストアの種類に設定。

SharePoint Online への接続（SOAP）

SOAP API では、以下の認証がサポートされています。

• ユーザー資格情報
• ADFS
• Okta
• OneLogin

ユーザー資格情報

ADFS

AuthScheme をADFS に設定します。次の接続プロパティを設定する必要があります。

• User：ADFS ユーザーに設定。
• Password：ユーザーのADFS パスワードに設定。
• SSOLoginURL：ADFS サーバーのベースURL に設定。

以下は接続文字列の例です。

AuthScheme=ADFS;User=ADFSUserName;Password=ADFSPassword;URL='http://sharepointserver/mysite';

Okta

AuthScheme をOkta に設定します。Okta に接続するには、次の接続プロパティを使用します。

• User：Okta ユーザーに設定。
• Password：ユーザーのOkta パスワードに設定。
• SSOLoginURL：Okta アプリケーションの埋め込みリンクに設定。

次は接続文字列の例です。

AuthScheme=Okta;User=oktaUserName;Password=oktaPassword;URL='http://sharepointserver/mysite';

OneLogin

AuthScheme をOneLogin に設定します。OneLogin への接続には、次の接続プロパティを使用します。

• User：OneLogin ユーザーに設定。
• Password：ユーザーのOneLogin パスワードに設定。

次は接続文字列の例です。

AuthScheme=OneLogin;User=OneLoginUserName;Password=OneLoginPassword;URL='http://sharepointserver/mysite';

SharePoint オンプレミスへの接続

以下の認証スキームがサポートされています。

• ユーザー資格情報
• ADFS
• NTLM

ユーザー資格情報

AuthScheme をBasic に設定します。次の接続プロパティを設定する必要があります。

• User：SharePoint ユーザーに設定。
• Password：ユーザーのSharePoint パスワードに設定。

以下は接続文字列の例です。

AuthScheme=Basic;User=yourUserName;Password=yourPassword;URL='http://sharepointserver/mysite';SharePointEdition=SharePointOnPremise;

ADFS

AuthScheme をADFS に設定します。次の接続プロパティを設定する必要があります。

• User：ADFS ユーザーに設定。
• Password：ユーザーのADFS パスワードに設定。
• SSOLoginURL：ADFS サーバーのベースURL に設定。

以下は接続文字列の例です。

AuthScheme=ADFS;User=ADFSUserName;Password=ADFSPassword;URL='http://sharepointserver/mysite';SharePointEdition=SharePointOnPremise;

NTLM

AuthScheme をNTLM に設定します。NTLM への接続には、次の接続プロパティを使用します。

• User：NTLM ユーザーに設定。
• Password：ユーザーのNTLM パスワードに設定。

次は接続文字列の例です。

AuthScheme=NTLM;User=NtlmUsername;Password=NtlmPassword;SharePointEdition=SharePointOnPremise;ConnectionType='SharePoint SOAP';URI='sp://Documents/';StorageBaseURL=http://sharePointServer/;

AuthScheme=NTLM;User=NtlmUsername;Password=NtlmPassword;SharePointEdition=SharePointOnPremise;ConnectionType='SharePoint SOAP';URI='sp://Documents/mycars.SAS';StorageBaseURL=http://sharePointServer/;

SSO 認証

サービスプロバイダ	Okta	OneLogin	ADFS	AzureAD
Amazon S3	Y		Y	Y
Azure Blob Storage
Azure Data Lake Store Gen1
Azure Data Lake Store Gen2
Azure Data Lake Store Gen2 with SSL
Google Drive
OneDrive
Box
Dropbox
SharePoint Online SOAP	Y	Y	Y
SharePoint Online REST
Wasabi
Google Cloud Storage
Oracle Cloud Storage
Azure File

AzureAD

Azure AD の設定

この構成の背景にあるメインテーマはOAuth 2.0 On-Behalf-Of flow です。 これにはAzure AD アプリケーションが2つ必要です。

1. 特定のサービスプロバイダーへのシングルサインオンプロセスに使用されるアプリケーション。
   • Amazon S3： このアプリケーションを作成する方法については、こちらのlink詳しい手順を参照してください。接続をテストして、Azure AD からAWS コンソールにログイン可能であることを確認してください。

     "Azure AD テストユーザーの割り当て" の手順は、ユーザーを割り当てる際にAWS ロールを選択できるように、プロビジョニング後まで保存しておきます。

2. 前の手順で作成したSSO アプリケーションに対するuser_impersonation 権限を持つ「コネクタ」プリケーション。 ［Azure Active Directory］->［アプリの登録］に進み、新しいアプリケーションを登録します。アプリケーションを登録したら、SSO アプリケーションへのAPI 呼び出しを許可する必要があります。 登録したアプリのAPI のアクセス許可セクションに移動して、［アクセス許可の追加］ボタンをクリックします。API 名またはアプリケーションId を指定してSSO アプリケーションのAPI を選択し、 user_impersonation アクセス許可を追加します。

CData ドライバーの共通プロパティ

次のSSOProperties がAzure Active Directory への認証に必要です。すべてのサービスプロバイダーに指定する必要があります。

• Resource：アプリ登録の概要セクションにリストされている、SSO アプリケーションのアプリケーションId URI。
• Tenant：アプリケーションが登録されているAzure AD テナントのId。この値はhere で確認できます。

OAuth 2.0 On-Behalf-Of フローからSSO SAML レスポンスを取得するので、次のOAuth 接続プロパティを指定する必要があります。

• OAuthClientId：アプリ登録の概要セクションにリストされている、コネクタアプリケーションのアプリケーションId。
• OAuthClientSecret：コネクタアプリケーションのクライアントシークレット値。新しいクライアントシークレットを作成すると、Azure AD にこれが表示されます（証明書 & シークレットのセクション）。

Amazon S3

Amazon S3 サービスプロバイダーに接続するときは、共通プロパティに加えて、次のプロパティを指定する必要があります。

• AuthScheme：AuthScheme をAzureAD に設定します。
• AWSRoleARN：IAM ロールのARN。IAM ロールの概要ページに示されています。
• AWSPrincipalARN：ID プロバイダーのARN。ID プロバイダーの概要ページに示されています。

次は接続文字列の例です。

AuthScheme=AzureAD;InitiateOAuth=GETANDREFRESH;OAuthClientId=d593a1d-ad89-4457-872d-8d7443aaa655;OauthClientSecret=g9-oy5D_rl9YEKfN-45~3Wm8FgVa2F;SSOProperties='Tenant=94be7-edb4-4fda-ab12-95bfc22b232f;Resource=https://signin.aws.amazon.com/saml;';AWSRoleARN=arn:aws:iam::2153385180:role/AWS_AzureAD;AWSPrincipalARN=arn:aws:iam::215515180:saml-provider/AzureAD;

OneLogin

OneLogin の設定

特定のプロバイダーへのシングルサインオン処理に使用するアプリケーションを、作成する必要があります。

• SharePoint SOAP： このアプリケーションを作成する方法については、こちらのlink詳しい手順を参照してください。接続をテストして、OneLogin からOffice 365 にログイン可能であることを確認してください。 アプリケーション内でWS-Trust を有効化してください。有効化されていない場合、CData ドライバーは接続できません。

SharePoint SOAP

以下のプロパティは、SharePoint SOAP サービスプロバイダーに接続する際には指定する必要があります。

• AuthScheme：AuthScheme をOneLogin に設定。
• User：OneLogin アカウントのユーザー名。
• Password：OneLogin アカウントのパスワード。
• SSOProperties：
  • Domain（オプション）：SSO のドメインで設定されたドメインがUser のドメインと異なる場合には、このプロパティを設定する必要がある場合があります。

次は接続文字列の例です。

AuthScheme='OneLogin';User=test;Password=test;SSOProperties='Domain=test.cdata;';

Okta

Okta の設定

特定のプロバイダーへのシングルサインオン処理に使用するアプリケーションを、作成する必要があります。

• SharePoint SOAP： このアプリケーションを作成してSSO を設定する方法については、こちらのlink詳しい手順を参照してください。接続をテストして、Okta からOffice 365 にログイン可能であることを確認してください。 アプリケーション内でWS-Federation を使用してSSO を設定してください。設定されていない場合、CData ドライバーは接続できません。
• Amazon S3： このアプリケーションを作成してSSO を設定する方法については、こちらのlink詳しい手順を参照してください。接続をテストして、Okta からAWS にログイン可能であることを確認してください。 アプリケーション内でSAML 2.0でSSO を設定してください。設定されていない場合、CData ドライバーは接続できません。 Okta アプリで割り当てられたAWS ロールが、接続するS3バケットにアクセスできることを確認します。

SharePoint SOAP

以下のプロパティは、SharePoint SOAP サービスプロバイダーに接続する際には指定する必要があります。

• AuthScheme：AuthScheme をOkta に設定。
• User：Okta アカウントのユーザー名。
• Password：Okta アカウントのパスワード。
• SSOProperties：
  • Domain（オプション）：SSO のドメインで設定されたドメインがUser のドメインと異なる場合には、このプロパティを設定する必要がある場合があります。

次は接続文字列の例です。

AuthScheme='Okta';User=test;Password=test;SSOProperties='Domain=test.cdata;';

Amazon S3

以下のプロパティは、Amazon S3サービスプロバイダーに接続する際には指定する必要があります。

• AuthScheme：AuthScheme をOkta に設定。
• User：Okta アカウントのユーザー名。
• Password：Okta アカウントのパスワード。
• SSOLoginURL：AWS Okta SSO アプリの埋め込みURL に設定。
• AWSRoleARN（オプション）：IAM ロールのARN。IAM ロールの概要ページに示されています。
• AWSPrincipalARN（オプション）：ID プロバイダーのARN。ID プロバイダーの概要ページに示されています。
• SSOProperties：
  • APIToken（オプション）：顧客がOkta 組織で作成したAPI Token に設定。Okta クライアントリクエストコンテキストをオーバーライドする、信頼されたアプリケーションまたはプロキシ経由でユーザーを認証する場合に使用してください。

次は接続文字列の例です。

AuthScheme=Okta;User=OktaUser;Password=OktaPassword;SSOLoginURL='https://{subdomain}.okta.com/home/amazon_aws/0oan2hZLgQiy5d6/272';

ADFS

ADFS の設定

特定のプロバイダーへのシングルサインオン処理に使用するアプリケーションを、作成する必要があります。

• SharePoint SOAP： Office 365 のシングルサインオン用にADFS を設定するには、こちらのlink詳しい手順を参照してください。接続をテストして、ADFS からOffice 365 にログイン可能であることを確認してください。
• Amazon S3： AWS のシングルサインオン用にADFS を設定するには、こちらのlink詳しい手順を参照してください。接続をテストして、ADFS からAWS にログイン可能であることを確認してください。

SharePoint SOAP

以下のプロパティは、SharePoint SOAP サービスプロバイダーに接続する際には指定する必要があります。

• AuthScheme：AuthScheme をADFS に設定。
• User：ADFS アカウントのユーザー名。
• Password：ADFS アカウントのパスワード。
• SSOProperties：
  • Domain（オプション）：SSO のドメインで設定されたドメインがUser のドメインと異なる場合には、このプロパティを設定する必要がある場合があります。

次は接続文字列の例です。

AuthScheme='ADFS';User=test;Password=test;SSOProperties='Domain=test.cdata;';

Amazon S3

以下のプロパティは、SharePoint SOAP サービスプロバイダーに接続する際には指定する必要があります。

• AuthScheme：AuthScheme をADFS に設定。
• SSOLoginURL：ADFS インスタンスのURL に設定。
• User：ADFS アカウントのユーザー名。
• Password：ADFS アカウントのパスワード。
• AWSRoleARN（オプション）：IAM ロールのARN。IAM ロールの概要ページに示されています。
• AWSPrincipalARN（オプション）：ID プロバイダーのARN。ID プロバイダーの概要ページに示されています。

次は接続文字列の例です。

AuthScheme=ADFS;User=username;Password=password;SSOLoginURL='https://sts.company.com';

ADFS 統合

ADFS 統合フローでは、現在ログインしているWindows ユーザーの資格情報で接続します。 ADFS 統合フローを使用するには、User およびPassword を指定せず、それ以外の設定は上記のADFS ガイドと同じステップを実行してください。

Kerberos

Kerberos でSAS Data Sets への認証を行うには、AuthScheme をNEGOTIATE に設定します。

Kerberos 経由でSAS Data Sets への認証を行うには、認証プロパティを定義し、Kerberos が認証チケットを取得する方法を選択する必要があります。

Kerberos チケットの取得

Kerberos チケットは、依頼者のID を認証するために使用されます。正式なログイン / パスワードの代わりにチケットを使用することで、パスワードをローカルに保存したり、ネットワーク経由で送信したりする必要がなくなります。 ユーザーは、ローカルコンピュータでログインするか、 コマンドプロンプトでkinit USER と入力するたびに、再認証されます（チケットはリフレッシュされます）。

Cloud は、 KRB5CCNAME および / またはKerberosKeytabFile 変数が存在するかどうかに応じて、必要なKerberos チケットを取得する3 つの方法を提供します。

MIT Kerberos 資格情報キャッシュファイル

このオプションを使用すると、MIT Kerberos チケットマネージャーまたはkinit コマンドを使ってチケットを取得できます。このオプションでは、User またはPassword 接続プロパティを設定する必要はありません。

このオプションは、KRB5CCNAME がシステムに作成されている必要があります。

MIT Kerberos 資格情報キャッシュファイル経由でチケット検索を有効にするには：

1. お使いの環境にKRB5CCNAME 変数が存在することを確認します。
2. KRB5CCNAME を資格情報キャッシュファイルを指すパスに設定します。（例えば、C:\krb_cache\krb5cc_0 または/tmp/krb5cc_0 です。）資格情報キャッシュファイルは、MIT Kerberos チケットマネージャーを使用してチケットを生成するときに作成されます。
3. チケットを取得するには：
   1. MIT Kerberos チケットマネージャーアプリケーションを開きます。
   2. Get Ticket をクリックします。
   3. プリンシパル名とパスワードを入力します。
   4. OK をクリックします。

   チケットの取得に成功すると、チケット情報がKerberos チケットマネージャーに表示され、クレデンシャルキャッシュファイルに保存されます。

Cloud はキャッシュファイルを使用してSAS Data Sets に接続するためのKerberos チケットを取得します。

Note： KRB5CCNAME を編集したくない場合は、KerberosTicketCache プロパティを使用してファイルパスを手動で設定することができます。この設定後に、Cloud は指定されたキャッシュファイルを使用してSAS Data Sets に接続するためのKerberos チケットを取得します。

Keytab ファイル

お使いの環境にKRB5CCNAME 環境変数がない場合、Keytab ファイルを使用してKerberos チケットを取得できます。

この方法を使用するには、User プロパティを目的のユーザー名に設定し、KerberosKeytabFile プロパティをユーザーに関連付けられたキータブファイルを指すファイルパスに設定します。

User およびPassword

お使いの環境にKRB5CCNAME 環境変数およびKerberosKeytabFile プロパティが設定されていない場合、ユーザーとパスワードの組み合わせを使用してチケットを取得できます。

この方法を使用するには、User およびPassword プロパティを、SAS Data Sets での認証に使用するユーザー / パスワードの組み合わせに設定します。

クロスレルム認証の有効化

より複雑なKerberos 環境では、複数のレルムおよびKDC サーバーが使用されるクロスレルム認証が必要になる場合があります。例えば、1つのレルム / KDC がユーザー認証に使用され、別のレルム / KDC がサービスチケットの取得に使用される場合です。

このようなクロスレルム認証を有効にするには、KerberosRealm およびKerberosKDC プロパティをユーザー認証に必要な値に設定します。また、KerberosServiceRealm およびKerberosServiceKDC プロパティを、 サービスチケットの取得に必要な値に設定します。

ストアドプロシージャはファンクションライクなインターフェースで、SAS Data Sets の単純なSELECT/INSERT 処理にとどまらずCloud の機能を拡張します。

ストアドプロシージャは、パラメータのリストを受け取り、目的の機能を実行し、プロシージャが成功したか失敗したかを示すとともにSAS Data Sets から関連するレスポンスデータを返します。

CData Cloud - SAS Data Sets ストアドプロシージャ

Name	Description
DeleteFile	Delete a file from a local or cloud storage.

Delete a file from a local or cloud storage.

Procedure-Specific Information

The Path input accepts paths relative to the URI provided in the connection string.

If URI is set to: gs://test-bucket/folder2 and Path='file1.txt', the file /folder2/file1.txt will be deleted.

The procedure is executed as below:

    EXEC DeleteFile Path='/hello-cdata.txt'

Input

Name	Type	Description
Path	String	The full path of the file to delete. Relative to the path provided in the URI connection property.

Result Set Columns

Name	Type	Description
Success	Bool	Boolean indicating if the procedure was executed successfully. If false, the output parameter 'Details' will contain the failure details.
Details	String	Details of execution failure. NULL if success=true.

このセクションで説明されているシステムテーブルをクエリして、スキーマ情報、データソース機能に関する情報、およびバッチ操作の統計にアクセスできます。

スキーマテーブル

以下のテーブルは、SAS Data Sets のデータベースメタデータを返します。

• sys_catalogs：利用可能なデータベースをリスト。
• sys_schemas：利用可能なスキーマをリスト。
• sys_tables：利用可能なテーブルおよびビューをリスト。
• sys_tablecolumns：利用可能なテーブルおよびビューのカラムについて説明。
• sys_procedures：利用可能なストアドプロシージャについて説明。
• sys_procedureparameters：ストアドプロシージャパラメータについて説明。
• sys_keycolumns：主キーおよび外部キーについて説明。
• sys_indexes：利用可能なインデックスについて説明。

データソーステーブル

以下のテーブルは、データソースへの接続方法およびクエリ方法についての情報を返します。

• sys_connection_props：利用可能な接続プロパティについての情報を返す。
• sys_sqlinfo：Cloud がデータソースにオフロードできるSELECT クエリについて説明。

クエリ情報テーブル

次のテーブルは、データ変更クエリ（バッチ処理を含む）のクエリ統計を返します。

• sys_identity：バッチ処理または単一の更新に関する情報を返す。

利用可能なデータベースをリストします。

次のクエリは、接続文字列で決定されるすべてのデータベースを取得します。

SELECT * FROM sys_catalogs

Columns

Name	Type	Description
CatalogName	String	データベース名。

利用可能なスキーマをリストします。

次のクエリは、すべての利用可能なスキーマを取得します。

          SELECT * FROM sys_schemas
          

Columns

Name	Type	Description
CatalogName	String	データベース名。
SchemaName	String	スキーマ名。

利用可能なテーブルをリストします。

次のクエリは、利用可能なテーブルおよびビューを取得します。

          SELECT * FROM sys_tables
          

Columns

Name	Type	Description
CatalogName	String	テーブルまたはビューを含むデータベース。
SchemaName	String	テーブルまたはビューを含むスキーマ。
TableName	String	テーブル名またはビュー名。
TableType	String	テーブルの種類（テーブルまたはビュー）。
Description	String	テーブルまたはビューの説明。
IsUpdateable	Boolean	テーブルが更新可能かどうか。

利用可能なテーブルおよびビューのカラムについて説明します。

次のクエリは、Account テーブルのカラムとデータ型を返します。

SELECT ColumnName, DataTypeName FROM sys_tablecolumns WHERE TableName='Account' 

Columns

Name	Type	Description
CatalogName	String	テーブルまたはビューを含むデータベースの名前。
SchemaName	String	テーブルまたはビューを含むスキーマ。
TableName	String	カラムを含むテーブルまたはビューの名前。
ColumnName	String	カラム名。
DataTypeName	String	データ型の名前。
DataType	Int32	データ型を示す整数値。この値は、実行時に環境に基づいて決定されます。
Length	Int32	カラムのストレージサイズ。
DisplaySize	Int32	指定されたカラムの通常の最大幅（文字数）。
NumericPrecision	Int32	数値データの最大桁数。文字データおよび日時データの場合は、カラムの長さ（文字数）。
NumericScale	Int32	カラムのスケール（小数点以下の桁数）。
IsNullable	Boolean	カラムがNull を含められるかどうか。
Description	String	カラムの簡単な説明。
Ordinal	Int32	カラムのシーケンスナンバー。
IsAutoIncrement	String	カラムに固定増分値が割り当てられるかどうか。
IsGeneratedColumn	String	生成されたカラムであるかどうか。
IsHidden	Boolean	カラムが非表示かどうか。
IsArray	Boolean	カラムが配列かどうか。
IsReadOnly	Boolean	カラムが読み取り専用かどうか。
IsKey	Boolean	sys_tablecolumns から返されたフィールドがテーブルの主キーであるかどうか。
ColumnType	String	スキーマ内のカラムの役割または分類。可能な値は、SYSTEM、LINKEDCOLUMN、NAVIGATIONKEY、REFERENCECOLUMN、およびNAVIGATIONPARENTCOLUMN が含まれます。

利用可能なストアドプロシージャをリストします。

次のクエリは、利用可能なストアドプロシージャを取得します。

          SELECT * FROM sys_procedures
          

Columns

Name	Type	Description
CatalogName	String	ストアドプロシージャを含むデータベース。
SchemaName	String	ストアドプロシージャを含むスキーマ。
ProcedureName	String	ストアドプロシージャの名前。
Description	String	ストアドプロシージャの説明。
ProcedureType	String	PROCEDURE やFUNCTION などのプロシージャのタイプ。

ストアドプロシージャパラメータについて説明します。

次のクエリは、SelectEntries ストアドプロシージャのすべての入力パラメータについての情報を返します。

SELECT * FROM sys_procedureparameters WHERE ProcedureName = 'SelectEntries' AND Direction = 1 OR Direction = 2

パラメータに加えて結果セットのカラムを含めるには、IncludeResultColumns 擬似カラムをTrue に設定します。

SELECT * FROM sys_procedureparameters WHERE ProcedureName = 'SelectEntries' AND IncludeResultColumns='True'

Columns

Name	Type	Description
CatalogName	String	ストアドプロシージャを含むデータベースの名前。
SchemaName	String	ストアドプロシージャを含むスキーマの名前。
ProcedureName	String	パラメータを含むストアドプロシージャの名前。
ColumnName	String	ストアドプロシージャパラメータの名前。
Direction	Int32	パラメータのタイプに対応する整数値：input (1)。input/output (2)、またはoutput(4)。input/output タイプパラメータは、入力パラメータと出力パラメータの両方になれます。
DataType	Int32	データ型を示す整数値。この値は、実行時に環境に基づいて決定されます。
DataTypeName	String	データ型の名前。
NumericPrecision	Int32	数値データの場合は最大精度。文字データおよび日時データの場合は、カラムの長さ（文字数）。
Length	Int32	文字データの場合は、許可される文字数。数値データの場合は、許可される桁数。
NumericScale	Int32	数値データの小数点以下の桁数。
IsNullable	Boolean	パラメータがNull を含められるかどうか。
IsRequired	Boolean	プロシージャの実行にパラメータが必要かどうか。
IsArray	Boolean	パラメータが配列かどうか。
Description	String	パラメータの説明。
Ordinal	Int32	パラメータのインデックス。
Values	String	このパラメータで設定できる値は、このカラムに表示されるものに限られます。指定できる値はカンマ区切りです。
SupportsStreams	Boolean	パラメータがファイルを表すかどうか。ファイルは、ファイルパスとして渡すことも、ストリームとして渡すこともできます。
IsPath	Boolean	パラメータがスキーマ作成操作のターゲットパスかどうか。
Default	String	何も値が指定されていない場合に、このパラメータで使用される値。
SpecificName	String	複数のストアドプロシージャが同じ名前を持つ場合、それぞれの同名のストアドプロシージャを一意に識別するラベル。特定の名前を持つプロシージャが1つだけの場合は、その名前がここに単純に反映されます。
IsCDataProvided	Boolean	プロシージャがネイティブのSAS Data Sets プロシージャではなく、CData によって追加 / 実装されているかどうか。

Pseudo-Columns

Name	Type	Description
IncludeResultColumns	Boolean	出力にパラメータに加えて結果セットのカラムを含めるかどうか。デフォルトはFalse です。

主キーおよび外部キーについて説明します。

次のクエリは、Account テーブルの主キーを取得します。

         SELECT * FROM sys_keycolumns WHERE IsKey='True' AND TableName='Account' 
          

Columns

Name	Type	Description
CatalogName	String	キーを含むデータベースの名前。
SchemaName	String	キーを含むスキーマの名前。
TableName	String	キーを含むテーブルの名前。
ColumnName	String	キーカラムの名前
IsKey	Boolean	カラムがTableName フィールドで参照されるテーブル内の主キーかどうか。
IsForeignKey	Boolean	カラムがTableName フィールドで参照される外部キーかどうか。
PrimaryKeyName	String	主キーの名前。
ForeignKeyName	String	外部キーの名前。
ReferencedCatalogName	String	主キーを含むデータベース。
ReferencedSchemaName	String	主キーを含むスキーマ。
ReferencedTableName	String	主キーを含むテーブル。
ReferencedColumnName	String	主キーのカラム名。

外部キーについて説明します。

次のクエリは、他のテーブルを参照するすべての外部キーを取得します。

         SELECT * FROM sys_foreignkeys WHERE ForeignKeyType = 'FOREIGNKEY_TYPE_IMPORT'
          

カラム

名前	タイプ	説明
CatalogName	String	キーを含むデータベースの名前。
SchemaName	String	キーを含むスキーマの名前。
TableName	String	キーを含むテーブルの名前。
ColumnName	String	キーカラムの名前
PrimaryKeyName	String	主キーの名前。
ForeignKeyName	String	外部キーの名前。
ReferencedCatalogName	String	主キーを含むデータベース。
ReferencedSchemaName	String	主キーを含むスキーマ。
ReferencedTableName	String	主キーを含むテーブル。
ReferencedColumnName	String	主キーのカラム名。
ForeignKeyType	String	外部キーがインポート（他のテーブルを指す）キーかエクスポート（他のテーブルから参照される）キーかを指定します。

主キーについて説明します。

次のクエリは、すべてのテーブルとビューから主キーを取得します。

         SELECT * FROM sys_primarykeys
          

Columns

Name	Type	Description
CatalogName	String	キーを含むデータベースの名前。
SchemaName	String	キーを含むスキーマの名前。
TableName	String	キーを含むテーブルの名前。
ColumnName	String	キーカラムの名前。
KeySeq	String	主キーのシーケンス番号。
KeyName	String	主キーの名前。

利用可能なインデックスについて説明します。インデックスをフィルタリングすることで、より高速なクエリ応答時間でセレクティブクエリを記述できます。

次のクエリは、主キーでないすべてのインデックスを取得します。

          SELECT * FROM sys_indexes WHERE IsPrimary='false'
          

Columns

Name	Type	Description
CatalogName	String	インデックスを含むデータベースの名前。
SchemaName	String	インデックスを含むスキーマの名前。
TableName	String	インデックスを含むテーブルの名前。
IndexName	String	インデックス名。
ColumnName	String	インデックスに関連付けられたカラムの名前。
IsUnique	Boolean	インデックスが固有の場合はTrue。そうでない場合はFalse。
IsPrimary	Boolean	インデックスが主キーの場合はTrue。そうでない場合はFalse。
Type	Int16	インデックスタイプに対応する整数値：statistic (0)、clustered (1)、hashed (2)、またはother (3)。
SortOrder	String	並べ替え順序：A が昇順、D が降順。
OrdinalPosition	Int16	インデックスのカラムのシーケンスナンバー。

利用可能な接続プロパティと、接続文字列に設定されている接続プロパティに関する情報を返します。

次のクエリは、接続文字列に設定されている、あるいはデフォルト値で設定されているすべての接続プロパティを取得します。

SELECT * FROM sys_connection_props WHERE Value <> ''

Columns

Name	Type	Description
Name	String	接続プロパティ名。
ShortDescription	String	簡単な説明。
Type	String	接続プロパティのデータ型。
Default	String	明示的に設定されていない場合のデフォルト値。
Values	String	可能な値のカンマ区切りリスト。別な値が指定されていると、検証エラーがスローされます。
Value	String	設定した値またはあらかじめ設定されたデフォルト。
Required	Boolean	プロパティが接続に必要かどうか。
Category	String	接続プロパティのカテゴリ。
IsSessionProperty	String	プロパティが、現在の接続に関する情報を保存するために使用されるセッションプロパティかどうか。
Sensitivity	String	プロパティの機密度。これは、プロパティがロギングおよび認証フォームで難読化されているかどうかを通知します。
PropertyName	String	キャメルケースの短縮形の接続プロパティ名。
Ordinal	Int32	パラメータのインデックス。
CatOrdinal	Int32	パラメータカテゴリのインデックス。
Hierarchy	String	このプロパティと一緒に設定する必要がある、関連のある依存プロパティを表示します。
Visible	Boolean	プロパティが接続UI に表示されるかどうかを通知します。
ETC	String	プロパティに関するその他のさまざまな情報。

Cloud がデータソースにオフロードできるSELECT クエリ処理について説明します。

SQL 構文の詳細については、SQL 準拠 を参照してください。

データソースのSELECT 機能

以下はSQL 機能のサンプルデータセットです。 SELECT 機能のいくつかの側面がサポートされている場合には、カンマ区切りのリストで返されます。サポートされていない場合、カラムにはNO が入ります。

名前	説明	有効な値
AGGREGATE_FUNCTIONS	サポートされている集計関数。	AVG, COUNT, MAX, MIN, SUM, DISTINCT
COUNT	COUNT 関数がサポートされているかどうか。	YES, NO
IDENTIFIER_QUOTE_OPEN_CHAR	識別子をエスケープするための開始文字。	[
IDENTIFIER_QUOTE_CLOSE_CHAR	識別子をエスケープするための終了文字。	]
SUPPORTED_OPERATORS	サポートされているSQL 演算子。	=, >, <, >=, <=, <>, !=, LIKE, NOT LIKE, IN, NOT IN, IS NULL, IS NOT NULL, AND, OR
GROUP_BY	GROUP BY がサポートされているかどうか。サポートされている場合、どのレベルでサポートされているか。	NO, NO_RELATION, EQUALS_SELECT, SQL_GB_COLLATE
OJ_CAPABILITIES	サポートされている外部結合の種類。	NO, LEFT, RIGHT, FULL, INNER, NOT_ORDERED, ALL_COMPARISON_OPS
OUTER_JOINS	外部結合がサポートされているかどうか。	YES, NO
SUBQUERIES	サブクエリがサポートされているかどうか。サポートされていれば、どのレベルでサポートされているか。	NO, COMPARISON, EXISTS, IN, CORRELATED_SUBQUERIES, QUANTIFIED
STRING_FUNCTIONS	サポートされている文字列関数。	LENGTH, CHAR, LOCATE, REPLACE, SUBSTRING, RTRIM, LTRIM, RIGHT, LEFT, UCASE, SPACE, SOUNDEX, LCASE, CONCAT, ASCII, REPEAT, OCTET, BIT, POSITION, INSERT, TRIM, UPPER, REGEXP, LOWER, DIFFERENCE, CHARACTER, SUBSTR, STR, REVERSE, PLAN, UUIDTOSTR, TRANSLATE, TRAILING, TO, STUFF, STRTOUUID, STRING, SPLIT, SORTKEY, SIMILAR, REPLICATE, PATINDEX, LPAD, LEN, LEADING, KEY, INSTR, INSERTSTR, HTML, GRAPHICAL, CONVERT, COLLATION, CHARINDEX, BYTE
NUMERIC_FUNCTIONS	サポートされている数値関数。	ABS, ACOS, ASIN, ATAN, ATAN2, CEILING, COS, COT, EXP, FLOOR, LOG, MOD, SIGN, SIN, SQRT, TAN, PI, RAND, DEGREES, LOG10, POWER, RADIANS, ROUND, TRUNCATE
TIMEDATE_FUNCTIONS	サポートされている日付および時刻関数。	NOW, CURDATE, DAYOFMONTH, DAYOFWEEK, DAYOFYEAR, MONTH, QUARTER, WEEK, YEAR, CURTIME, HOUR, MINUTE, SECOND, TIMESTAMPADD, TIMESTAMPDIFF, DAYNAME, MONTHNAME, CURRENT_DATE, CURRENT_TIME, CURRENT_TIMESTAMP, EXTRACT
REPLICATION_SKIP_TABLES	レプリケーション中にスキップされたテーブルを示します。
REPLICATION_TIMECHECK_COLUMNS	レプリケーション中に更新判断のカラムとして使用するかどうかを、（指定された順に）チェックするカラムのリストを含む文字列の配列。
IDENTIFIER_PATTERN	識別子としてどの文字列が有効かを示す文字列値。
SUPPORT_TRANSACTION	プロバイダーが、コミットやロールバックなどのトランザクションをサポートしているかどうかを示します。	YES, NO
DIALECT	使用するSQL ダイアレクトを示します。
KEY_PROPERTIES	Uniform データベースを特定するプロパティを示します。
SUPPORTS_MULTIPLE_SCHEMAS	プロバイダー用に複数のスキームが存在するかどうかを示します。	YES, NO
SUPPORTS_MULTIPLE_CATALOGS	プロバイダー用に複数のカタログが存在するかどうかを示します。	YES, NO
DATASYNCVERSION	このドライバーにアクセスするために必要な、CData Sync のバージョン。	Standard, Starter, Professional, Enterprise
DATASYNCCATEGORY	このドライバーのCData Sync カテゴリ。	Source, Destination, Cloud Destination
SUPPORTSENHANCEDSQL	API で提供されている以上の、追加SQL 機能がサポートされているかどうか。	TRUE, FALSE
SUPPORTS_BATCH_OPERATIONS	バッチ操作がサポートされているかどうか。	YES, NO
SQL_CAP	このドライバーでサポートされているすべてのSQL 機能。	SELECT, INSERT, DELETE, UPDATE, TRANSACTIONS, ORDERBY, OAUTH, ASSIGNEDID, LIMIT, LIKE, BULKINSERT, COUNT, BULKDELETE, BULKUPDATE, GROUPBY, HAVING, AGGS, OFFSET, REPLICATE, COUNTDISTINCT, JOINS, DROP, CREATE, DISTINCT, INNERJOINS, SUBQUERIES, ALTER, MULTIPLESCHEMAS, GROUPBYNORELATION, OUTERJOINS, UNIONALL, UNION, UPSERT, GETDELETED, CROSSJOINS, GROUPBYCOLLATE, MULTIPLECATS, FULLOUTERJOIN, MERGE, JSONEXTRACT, BULKUPSERT, SUM, SUBQUERIESFULL, MIN, MAX, JOINSFULL, XMLEXTRACT, AVG, MULTISTATEMENTS, FOREIGNKEYS, CASE, LEFTJOINS, COMMAJOINS, WITH, LITERALS, RENAME, NESTEDTABLES, EXECUTE, BATCH, BASIC, INDEX
PREFERRED_CACHE_OPTIONS	使用したいcacheOptions を指定する文字列値。
ENABLE_EF_ADVANCED_QUERY	ドライバーがEntity Framework の高度なクエリをサポートしているかどうかを示します。サポートしていなければ、クエリはクライアントサイドで処理されます。	YES, NO
PSEUDO_COLUMNS	利用可能な疑似カラムを示す文字列の配列。
MERGE_ALWAYS	値がtrue であれば、CData Sync 内でMerge Model が強制的に実行されます。	TRUE, FALSE
REPLICATION_MIN_DATE_QUERY	レプリケート開始日時を返すSELECT クエリ。
REPLICATION_MIN_FUNCTION	サーバーサイドでmin を実行するために使用する式名を、プロバイダーが指定できるようになります。
REPLICATION_START_DATE	レプリケート開始日を、プロバイダーが指定できるようになります。
REPLICATION_MAX_DATE_QUERY	レプリケート終了日時を返すSELECT クエリ。
REPLICATION_MAX_FUNCTION	サーバーサイドでmax を実行するために使用する式名を、プロバイダーが指定できるようになります。
IGNORE_INTERVALS_ON_INITIAL_REPLICATE	初回のレプリケートで、レプリケートをチャンクに分割しないテーブルのリスト。
CHECKCACHE_USE_PARENTID	CheckCache 構文を親キーカラムに対して実行するかどうかを示します。	TRUE, FALSE
CREATE_SCHEMA_PROCEDURES	スキーマファイルの生成に使用できる、ストアドプロシージャを示します。

次のクエリは、WHERE 句で使用できる演算子を取得します。

SELECT * FROM sys_sqlinfo WHERE Name = 'SUPPORTED_OPERATORS'

WHERE 句では、個々のテーブルの制限や要件が異なる場合がありますので注意してください。詳しくは、データモデル セクションを参照してください。

Columns

Name	Type	Description
NAME	String	SQL 構文のコンポーネント、またはサーバー上で処理できる機能。
VALUE	String	サポートされるSQL またはSQL 構文の詳細。

試行された変更に関する情報を返します。

次のクエリは、バッチ処理で変更された行のId を取得します。

         SELECT * FROM sys_identity
          

Columns

Name	Type	Description
Id	String	データ変更処理から返された、データベース生成Id。
Batch	String	バッチの識別子。1 は単一処理。
Operation	String	バッチ内の処理の結果：INSERTED、UPDATED、またはDELETED。
Message	String	SUCCESS、またはバッチ内の更新が失敗した場合のエラーメッセージ。

利用可能なシステム情報を説明します。

次のクエリは、すべてのカラムを取得します。

SELECT * FROM sys_information

Columns

Name	Type	Description
Product	String	製品名。
Version	String	製品のバージョン番号。
Datasource	String	製品が接続するデータソースの名前。
NodeId	String	製品がインストールされているマシンの固有識別子。
HelpURL	String	製品のヘルプドキュメントのURL。
License	String	製品のライセンス情報。（この情報が利用できない場合、この項目は空白のままか「N/A」と表示されます。）
Location	String	製品のライブラリが格納されているファイルパスの場所。
Environment	String	製品が現在稼働している環境またはランタイムのバージョン。
DataSyncVersion	String	本コネクタを使用するために必要なCData Sync のティア。
DataSyncCategory	String	CData Sync 機能のカテゴリ（例：Source、Destination）。

接続文字列プロパティは、接続を確立するために使用できるさまざまなオプションです。このセクションでは、本プロバイダーの接続文字列で設定できるオプションの一覧を示します。詳細については各リンクをクリックしてください。

Authentication

---

プロパティ	説明
AuthScheme	リモートサービスに接続する際に使用する認証の種類。
AccessKey	SAS Data Sets への認証に使用されるアクセスキー。この値にはセキュリティ認証情報ページからアクセスできます。
SecretKey	アカウントのシークレットキー。この値にはセキュリティ認証情報ページからアクセスできます。
ApiKey	IBM Cloud にユーザーを識別させるためのAPI キー。
User	The user account used to authenticate.
Password	The password used to authenticate the user.
SharePointEdition	使用しているSharePoint のエディション。SharePointOnline またはSharePointOnPremise のいずれかに設定します。
ImpersonateUserMode	Specify the type of the user impersonation. It should be whether the User mode or the Admin mode.

Connection

---

プロパティ	説明
ConnectionType	SAS Data Sets のファイルが保存および取得されるファイルストレージサービス、サーバー、またはファイルアクセスプロトコルを指定します。
URI	SAS リソースロケーションのUniform Resource Identifier (URI)。
Region	S3ライクなWeb サービスのホスティングリージョン。
OracleNamespace	使用するOracle Cloud Object Storage ネームスペース。
StorageBaseURL	クラウドストレージサービスプロバイダーのURL を指定します。
UseVirtualHosting	True（デフォルト）の場合、バケットはホスト形式のリクエストを使用してリクエストで参照されます：http://yourbucket.s3.amazonaws.com/yourobject。False に設定した場合、Bean はパス形式のリクエストを使用します：http://s3.amazonaws.com/yourbucket/yourobject。S3ベースのカスタムサービスの場合、CustomURL が指定されていると、このプロパティはFalse に設定されることに注意してください。
TestConnectionBehavior	テスト接続操作の動作を指定します。
UseLakeFormation	このプロパティがtrue に設定される場合、AWSLakeFormation サービスは、設定されたIAM ロールに基づくユーザーに対してアクセスポリシーを適用する一時的な資格情報を取得するために使用されます。このサービスは、SAML アサーションを提供した上で、OKTA、ADFS、AzureAD、PingFederate 経由で認証する場合に使用できます。

AWS Authentication

---

プロパティ	説明
AWSAccessKey	AWS アカウントのアクセスキーを指定します。この値には、AWS セキュリティ認証情報ページからアクセスできます。
AWSSecretKey	AWS アカウントのシークレットキー。この値には、［AWS セキュリティ認証情報］ページからアクセスできます。
AWSRoleARN	認証時に使用するロールのAmazon リソースネーム。
AWSPrincipalARN	AWS アカウントのSAML ID プロバイダーのARN。
AWSRegion	Amazon Web サービスのホスティングリージョン。
AWSSessionToken	AWS のセッショントークン。
AWSExternalId	他のアカウントでロールを引き受ける際に必要となる一意の識別子。
MFASerialNumber	MFA デバイスが使用されている場合は、そのシリアル番号。
MFAToken	MFA デバイスから利用できる一時トークン。
TemporaryTokenDuration	一時トークンが持続する時間（秒単位）。
AWSWebIdentityToken	ID プロバイダーが提供するOAuth 2.0 アクセストークンまたはOpenID Connect ID トークン。
ServerSideEncryption	有効にすると、Amazon S3バケットへのファイルアップロードがサーバー側で暗号化されます。
SSEContext	A BASE64-encoded UTF-8 string holding JSON which represents a string-string (key-value) map.
SSEEnableS3BucketKeys	Configuration to use an S3 Bucket Key at the object level when encrypting data with AWS KMS. Enabling this will reduce the cost of server-side encryption by lowering calls to AWS KMS.
SSEKey	A symmetric encryption KeyManagementService key, that is used to protect the data when using ServerSideEncryption.

Azure Authentication

---

プロパティ	説明
AzureStorageAccount	Azure ストレージアカウント名。
AzureAccessKey	Azure アカウントに関連付けられているストレージキー。
AzureSharedAccessSignature	認証に使用可能な共有アクセスキー署名。
AzureTenant	データにアクセスするために使用されているSAS Data Sets テナントを識別します。テナントのドメイン名（例： contoso.onmicrosoft.com ）またはディレクトリ（テナント）ID のいずれかを受け付けます。
AzureEnvironment	接続するAzure ネットワーク環境を指定します。Azure アカウントが追加されたネットワークと同じである必要があります。

Keycloak Authentication

---

プロパティ	説明
KeycloakRealmURL	認証と認可に使用される特定のレルムを含むKeycloak サーバーへの完全なURL を指定します。

SSO

---

プロパティ	説明
SSOLoginURL	ID プロバイダーのログインURL。
SSOProperties	ID プロバイダーへの接続に必要な追加プロパティを、セミコロンで区切ったリスト形式で指定します。
SSOExchangeURL	SAML 応答を処理してサービスの資格情報と交換するために使用するURL。

JWT OAuth

---

プロパティ	説明
OAuthJWTCert	クライアント証明書のJWT 証明書ストアの名前を指定します。
OAuthJWTCertType	JWT 証明書を格納しているキーストアの種類を指定します。
OAuthJWTCertPassword	パスワードで保護された証明書ストアにアクセスするために使用されるOAuth JWT 証明書のパスワードを指定します。証明書ストアがパスワードを必要としない場合は、このプロパティを空白のままにします。
OAuthJWTCertSubject	ストアで一致する証明書を検索するために使用される、OAuth JWT 証明書のサブジェクトを指定します。部分一致と、先頭の証明書を選択するためのワイルドカード '*' をサポートします。
OAuthJWTSubject	アプリケーションからデリゲートアクセスの要求対象となるユーザーサブジェクト。
OAuthJWTSubjectType	JWT 認証のサブタイプ。
OAuthJWTPublicKeyId	JWT の公開キーのID。

OAuth

---

プロパティ	説明
OAuthClientId	カスタムOAuth アプリケーションに割り当てられたクライアントID（コンシューマーキーとも呼ばれます）を指定します。このID は、認証時にOAuth 認可サーバーにアプリケーションを識別させるために必要です。
OAuthClientSecret	カスタムOAuth アプリケーションに割り当てられたクライアントシークレットを指定します。この機密情報は、OAuth 認可サーバーに対してアプリケーションを認証するために使用されます。（カスタムOAuth アプリケーションのみ）
SubjectId	The user subject for which the application is requesting delegated access.
SubjectType	The Subject Type for the Client Credentials authentication.
Scope	データへの適切なアクセスを確実にするために、認証ユーザーのアプリケーションへのアクセス範囲を指定します。 カスタムOAuth アプリケーションが必要な場合は、通常、アプリケーションの作成時に指定します。

SSL

---

プロパティ	説明
SSLMode	FTP またはFTPS サーバーに接続する際の認証メカニズム。
SSLServerCert	TLS/SSL を使用して接続する際に、サーバーが受け入れ可能な証明書を指定します。

SSH

---

プロパティ	説明
SSHAuthMode	サービスへのSSH トンネルを確立する際に使用される認証方法。
SSHClientCert	SSHUser の認証に使用する証明書。
SSHClientCertPassword	SSHClientCert キーのパスワード（ある場合）。
SSHClientCertSubject	SSH クライアント証明書のサブジェクト。
SSHClientCertType	SSHClientCert 秘密鍵の種類。
SSHUser	SSH ユーザー。
SSHPassword	SSH パスワード。

Logging

---

プロパティ	説明
Verbosity	ログファイルのVerbosity レベルを指定し、記録される情報の詳細度を制御します。サポートされる値の範囲は1から5までです。

Schema

---

プロパティ	説明
BrowsableSchemas	レポートされるスキーマを利用可能なすべてのスキーマのサブセットに制限するオプション設定。例えば、 BrowsableSchemas=SchemaA,SchemaB,SchemaC です。

Miscellaneous

---

プロパティ	説明
AWSCertificate	The absolute path to the certificate file or the certificate content in PEM format encoded in base64.
AWSCertificatePassword	The password for the certificate if applicable, otherwise leave blank.
AWSCertificateType	The type of AWSCertificate .
AWSPrivateKey	The absolute path to the private key file or the private key content in PEM format encoded in base64.
AWSPrivateKeyPassword	The password for the private key if it is encrypted, otherwise leave blank.
AWSPrivateKeyType	The type of AWSPrivateKey .
AWSProfileARN	Profile to pull policies from.
AWSSessionDuration	Duration, in seconds, for the resulting session.
AWSTrustAnchorARN	Trust anchor to use for authentication.
Charset	SAS Data Sets ファイルに移行、またはSAS Data Sets ファイルから移行した文字データをエンコードおよびデコードするための、セッション毎の文字セットを指定します。デフォルト値はUTF-8 です。
ClientCulture	このプロパティを使用して、クライアントアプリケーションが受け取るデータの形式（通貨値など）を指定できます。このプロパティは、クライアントアプリケーションがマシンの現在のカルチャ設定をサポートしていない場合に使用できます。例えば、Microsoft Access では'en-US' が必要です。
Culture	この設定を使用して、provider に渡された特定のデータ型をprovider が解釈する方法を決定するカルチャ設定を指定できます。例えば、Culture='de-DE' の設定にすると、米国のマシンでもドイツ語形式で出力されます。
DeleteDownloadedFiles	When set to true, the provider will delete parsed .sas7bdat files downloaded from cloud sources.
DirectoryRetrievalDepth	IncludeSubdirectories が有効の場合に、再帰的にスキャンされるサブフォルダを制限します。
ExcludeFiles	テーブルとしてモデル化されたファイル一式から除外するファイル拡張子のカンマ区切りリスト。
ExcludeStorageClasses	無視するストレージクラスのカンマ区切りリスト。
FolderId	Google Drive のフォルダID。設定すると、URI で指定されたリソースの位置はすべての操作においてFolder ID からの相対位置となります。
IncludeDropboxTeamResources	Dropbox チームフォルダやファイルを含めるかどうかを示します。
IncludeFiles	テーブルとしてモデル化されたファイル一式に含めるファイル拡張子のカンマ区切りリスト。
IncludeItemsFromAllDrives	Google Drive の共有ドライブ項目を結果に含めるかどうか。存在しないかfalse に設定されている場合、共有ドライブ項目は返されません。
IncludeSubdirectories	ネストされたフォルダからファイルを読み出すかどうか。名前衝突が起こった場合は、テーブル名の前にアンダースコアで区切られたフォルダ名が付けられます。
MaxRows	集計やGROUP BY を含まないクエリで返される最大行数を指定します。
PseudoColumns	テーブルカラムとして公開する擬似カラムを、'TableName=ColumnName;TableName=ColumnName' の形式の文字列で指定します。
TemporaryLocalFolder	The path, or URI, to the folder that is used to temporarily download SAS file(s).
ThrowsKeyNotFound	更新された行がない場合に例外をスローするかどうかを指定します。
Timeout	provider がタイムアウトエラーを返すまでにサーバーからの応答を待機する最大時間を秒単位で指定します。

このセクションでは、本プロバイダーの接続文字列で設定可能なAuthentication プロパティの全リストを提供します。

---

プロパティ	説明
AuthScheme	リモートサービスに接続する際に使用する認証の種類。
AccessKey	SAS Data Sets への認証に使用されるアクセスキー。この値にはセキュリティ認証情報ページからアクセスできます。
SecretKey	アカウントのシークレットキー。この値にはセキュリティ認証情報ページからアクセスできます。
ApiKey	IBM Cloud にユーザーを識別させるためのAPI キー。
User	The user account used to authenticate.
Password	The password used to authenticate the user.
SharePointEdition	使用しているSharePoint のエディション。SharePointOnline またはSharePointOnPremise のいずれかに設定します。
ImpersonateUserMode	Specify the type of the user impersonation. It should be whether the User mode or the Admin mode.

リモートサービスに接続する際に使用する認証の種類。

Possible Values

AwsRootKeys, AwsEC2Roles, AwsIAMRoles, ADFS, Okta, PingFederate, AwsTempCredentials, AwsCredentialsFile, AzureAD, Keycloak, AzureMSI, AzureServicePrincipal, AzureServicePrincipalCert, AccessKey, AzureStorageSAS, IAMSecretKey, HMAC, OAuth, Basic, OneLogin, NTLM, SFTP, None, Negotiate, OAuthClient, OAuthJWT, OAuthPKCE, GCPInstanceAccount, Digest, OAuthPassword, NONE

データ型

string

デフォルト値

"NONE"

解説

Amazon S3

ConnectionType をAmazon S3 に設定する場合、以下のオプションが利用できます。

• AwsRootKeys：ルートユーザーのアクセスキーおよびシークレットを使用する場合に設定。簡易なテストには便利ですが、本番環境のユースケースでは、権限を絞ったものを使用することをお勧めします。
• AwsEC2Roles：CData Cloud が現在実行されているEC2 マシンに割り当てられたIAM ロールを、自動的に使用する場合に設定。
• AwsIAMRoles：接続にIAM ロールを使用する場合に設定。
• ADFS：ADFS をID プロバイダーとしたシングルサインオン接続を使用する場合に設定。
• OKTA：OKTA をID プロバイダーとしたシングルサインオン接続を使用する場合に設定。
• PingFederate：PingFederate をID プロバイダーとしたシングルサインオン接続を使用する場合に設定。
• AwsTempCredentials：一時的なセキュリティ認証情報を、セッショントークンと一緒に利用して接続する場合に設定。
• AwsCredentialsFile：認証に認証情報ファイルを使用する場合に設定。
• AzureAD：AzureAD をID プロバイダーとしたシングルサインオン接続を使用する場合に設定。
• Keycloak：Keycloak をID プロバイダーとしたシングルサインオン接続を使用する場合に設定。

Azure サービス

ConnectionType をAzure Blob Storage、Azure Data Lake Storage Gen1、Azure Data Lake Storage Gen2、Azure Data Lake Storage Gen2 SSL、OneDrive のいずれかに設定する場合、以下のオプションが利用可能です。

• AzureAD：Azure Active Directory OAuth 認証を実行する場合に設定。
• AzureMSI：Azure VM で実行しているときに、マネージドサービスID の資格情報を自動的に取得する場合に設定。
• AzureServicePrincipal：Azure サービスプリンシパルとして認証する場合に設定。
• AzureServicePrincipalCert：証明書を使用してAzure サービスプリンシパルとして認証する場合に設定。
• AccessKey：SAS Data Sets アカウントに関連付けられているストレージキーで認証する場合に設定。
• AzureStorageSAS：共有アクセス署名（SAS）で認証する場合に設定。

OneLake

ConnectionType をOneLake に設定する場合、以下のオプションが利用できます。

• AzureAD：Azure Active Directory OAuth 認証を実行する場合に設定。
• AzureMSI：Azure VM で実行しているときに、マネージドサービスID の資格情報を自動的に取得する場合に設定。
• AzureServicePrincipal：Azure サービスプリンシパルとして認証する場合に設定。
• AzureServicePrincipalCert：証明書を使用してAzure サービスプリンシパルとして認証する場合に設定。

Azure Files

ConnectionType をAzure Files に設定する場合、以下のオプションのみ利用できます。

• AccessKey：SAS Data Sets アカウントに関連付けられているストレージキーで認証する場合に設定。
• AzureStorageSAS：共有アクセス署名（SAS）で認証する場合に設定。

Box

ConnectionType をBox に設定する場合、以下のオプションが利用できます。

• OAuth：標準ユーザーアカウントを使用してOAuth2 を利用します。OAuthVersion 2.0に設定する必要があります。
• OAuthClient：クライアント資格情報グラントタイプでOAuth2 を使用します。OAuthClientId およびOAuthClientSecret は資格情報です。OAuthVersion は2.0に設定する必要があります。
• OAuthJWT：JWT ベアラーグラント種別でOAuth2 を使用します。OAuthJWTCertType およびOAuthJWTCert は、JWT がどの証明書で署名されるかを決定します。OAuthVersion は2.0に設定する必要があります。

Dropbox

ConnectionType をDropbox に設定する場合、以下のオプションのみ利用できます。

OAuth：認可コードグラント種別でOAuth2 を使用します。OAuthVersion は2.0に設定する必要があります。

FTP(S)

ConnectionType をFTP またはFTPS に設定する場合、以下のオプションのみ利用できます。

Basic：基本的なユーザー資格情報（ユーザー / パスワード）。

Google の各種サービス

ConnectionType がGoogle Cloud Storage またはGoogle Drive を指している場合、以下のオプションが利用できます。

• OAuth：標準ユーザーアカウントを使用してOAuth2 を利用します。OAuthVersion 2.0に設定する必要があります。
• OAuthPKCE：認可コードグラントタイプとPKCE 拡張機能を持つOAuth2 を使用します。OAuthVersion は2.0に設定する必要があります。
• OAuthJWT：JWT ベアラーグラント種別でOAuth2 を使用します。OAuthJWTCertType およびOAuthJWTCert は、JWT がどの証明書で署名されるかを決定します。OAuthVersion は2.0に設定する必要があります。
• GCPInstanceAccount：GCP 仮想マシン上で実行している場合は、プロバイダーは仮想マシンに関連付けられたサービスアカウントを使用して認証できます。

HDFS

ConnectionType をHDFS またはHDFS Secure に設定する場合、以下のオプションが利用できます。

• None：認証なし。
• Negotiate：Kerberos 認証。

HTTP

ConnectionType をHTTP またはHTTPS に設定する場合、以下のオプションが利用できます。

• None：認証なし。
• Basic：基本的なユーザー / パスワード認証。
• Digest：User およびPassword でHTTP Digest 認証を使用します。
• OAuth：OAuth1.0 またはOAuth2.0 のいずれかを使用します。OAuth のどのバージョンを使用するかを決定するには、OAuthVersion を設定する必要があります。
  • ベアラートークン認証：AuthScheme=OAuth、InitiateOAuth=Off、およびOAuthAccessToken=Bearer token value。
• OAuthJWT：JWT ベアラーグラント種別でOAuth2 を使用します。OAuthJWTCertType およびOAuthJWTCert は、JWT がどの証明書で署名されるかを決定します。OAuthVersion は2.0に設定する必要があります。
• OAuthPassword：パスワードグラント種別でOAuth2 を使用します。User およびPassword は資格情報です。OAuthVersion は2.0に設定する必要があります。
• OAuthClient：クライアント資格情報グラント種別でOAuth2 を使用します。OAuthClientId およびOAuthClientSecret は資格情報です。OAuthVersion は2.0に設定する必要があります。
• OAuthPKCE：認証コードグラント種別とPKCE 拡張仕様でOAuth2 を使用します。OAuthClientId は資格情報です。OAuthVersion は2.0に設定する必要があります。

IBM Cloud Object Storage

ConnectionType をIBM Object Storage Source に設定する場合、以下のオプションも利用できます。

• OAuth：InitiateOAuth によって決定された特定のフローでOAuthを使用します。ApiKey が設定されていないと、このフローは正常に終了しません。
• IAMSecretKey：AccessKey およびSecretKey を使用して、IBM Cloud Object Storage を認証します。

Oracle Cloud Storage

ConnectionType をOracle Cloud Storage に設定する場合、以下のオプションのみ利用できます。

IAMSecretKey：AccessKey およびSecretKey を使用して、Oracle Cloud Storage を認証します。

SFTP

ConnectionType をSFTP に設定する場合、Cloud はAuthScheme をSFTP に設定します。AuthScheme をSFTP に設定する場合、正確な認証方法はSSHAuthMode プロパティを使って制御します。詳しくは、このプロパティのドキュメントを参照してください。

SharePoint REST

ConnectionType をSharePoint REST に設定する場合、以下のオプションも利用できます。

• AzureAD：Azure Active Directory OAuth 認証を実行する場合に設定。
• AzureMSI：Azure VM で実行しているときに、マネージドサービスID の資格情報を自動的に取得する場合に設定。
• AzureServicePrincipal：Azure サービスプリンシパルとして認証する場合に設定。
• AzureServicePrincipalCert：証明書を使用してAzure サービスプリンシパルとして認証する場合に設定。

SharePoint SOAP

ConnectionType をSharePoint SOAP に設定する場合、以下のオプションも利用できます。

• Basic：認証には、基本的なユーザー / パスワード資格情報を使用。
• ADFS：ADFS をID プロバイダーとしたシングルサインオン接続を使用する場合に設定。
• Okta：OKTA をID プロバイダーとしたシングルサインオン接続を使用する場合に設定。
• OneLogin：OneLogin をID プロバイダーとしたシングルサインオン接続を使用する場合に設定。
• NTLM：認証にWindows 資格情報を使用する場合に設定。

SAS Data Sets への認証に使用されるアクセスキー。この値にはセキュリティ認証情報ページからアクセスできます。

データ型

string

デフォルト値

""

解説

User は、AccessKey と組み合わせてSAS Data Sets サーバーに対してユーザーを認証するために使用されます。

アカウントのシークレットキー。この値にはセキュリティ認証情報ページからアクセスできます。

データ型

string

デフォルト値

""

解説

アカウントのシークレットキー。この値には、使用しているサービスに応じたセキュリティ認証情報ページからアクセスできます。

IBM Cloud にユーザーを識別させるためのAPI キー。

データ型

string

デフォルト値

""

解説

SAS Data Sets REST API のリソースへのアクセスは、トークンを取得するためのAPI キーで管理されています。API キーは、［Manage（管理）］->［Access（IAM）］->［Users（ユーザー）］と移動して、［Create（作成）］をクリックすることで作成できます。

The user account used to authenticate.

データ型

string

デフォルト値

""

解説

Together with Password, this field is used to authenticate against the server.

This property will refer to different things based on the context, namely the value of ConnectionType and AuthScheme:

• ConnectionType=AmazonS3
  • AuthScheme=ADFS: This refers to your ADFS username.
  • AuthScheme=Okta: This refers to your Okta username.
  • AuthScheme=PingFederate: This refers to your PingFederate username.
• ConnectionType=FTP(S)
  • AuthScheme=Basic: This refers to your FTP(S) server username.
• ConnectionType=HDFS/HDFS Secure
  • AuthScheme=Negotiate: This refers to your HDFS intance username.
• ConnectionType=HTTP(S)
  • AuthScheme=Basic: This refers to the username associated with the HTTP stream.
  • AuthScheme=Digest: This refers to the username associated with the HTTP stream.
  • AuthScheme=OAuthPassword: This refers to the username associated with the HTTP stream.
• ConnectionType=SharePoint SOAP
  • AuthScheme=Basic: This refers to your SharePoint account username.
  • AuthScheme=ADFS: This refers to your ADFS username.
  • AuthScheme=Okta: This refers to your Okta username.
  • AuthScheme=OneLogin: This refers to your OneLogin username.

The password used to authenticate the user.

データ型

string

デフォルト値

""

解説

The User and Password are together used to authenticate with the server.

This property will refer to different things based on the context, namely the value of ConnectionType and AuthScheme:

• ConnectionType=AmazonS3
  • AuthScheme=ADFS: This refers to your ADFS password.
  • AuthScheme=Okta: This refers to your Okta password.
  • AuthScheme=PingFederate: This refers to your PingFederate password.
• ConnectionType=FTP(S)
  • AuthScheme=Basic: This refers to your FTP(S) server password.
• ConnectionType=HDFS/HDFS Secure
  • AuthScheme=Negotiate: This refers to your HDFS intance password.
• ConnectionType=HTTP(S)
  • AuthScheme=Basic: This refers to the password associated with the HTTP stream.
  • AuthScheme=Digest: This refers to the password associated with the HTTP stream.
  • AuthScheme=OAuthPassword: This refers to the password associated with the HTTP stream.
• ConnectionType=SharePoint SOAP
  • AuthScheme=Basic: This refers to your SharePoint account password.
  • AuthScheme=ADFS: This refers to your ADFS password.
  • AuthScheme=Okta: This refers to your Okta password.
  • AuthScheme=OneLogin: This refers to your OneLogin password.

使用しているSharePoint のエディション。SharePointOnline またはSharePointOnPremise のいずれかに設定します。

Possible Values

SharePointOnline, SharePointOnPremise

データ型

string

デフォルト値

"SharePointOnline"

解説

使用しているSharePoint のエディション。SharePointOnline またはSharePointOnPremise のいずれかに設定します。

Specify the type of the user impersonation. It should be whether the User mode or the Admin mode.

Possible Values

User, Admin

データ型

string

デフォルト値

"User"

解説

Specify the type of the user impersonation. It should be whether the User mode or the Admin mode. The Admin mode is available only for Enterprise with Governance accounts and will be upon request. It will not work for any other accounts.

このセクションでは、本プロバイダーの接続文字列で設定可能なConnection プロパティの全リストを提供します。

---

プロパティ	説明
ConnectionType	SAS Data Sets のファイルが保存および取得されるファイルストレージサービス、サーバー、またはファイルアクセスプロトコルを指定します。
URI	SAS リソースロケーションのUniform Resource Identifier (URI)。
Region	S3ライクなWeb サービスのホスティングリージョン。
OracleNamespace	使用するOracle Cloud Object Storage ネームスペース。
StorageBaseURL	クラウドストレージサービスプロバイダーのURL を指定します。
UseVirtualHosting	True（デフォルト）の場合、バケットはホスト形式のリクエストを使用してリクエストで参照されます：http://yourbucket.s3.amazonaws.com/yourobject。False に設定した場合、Bean はパス形式のリクエストを使用します：http://s3.amazonaws.com/yourbucket/yourobject。S3ベースのカスタムサービスの場合、CustomURL が指定されていると、このプロパティはFalse に設定されることに注意してください。
TestConnectionBehavior	テスト接続操作の動作を指定します。
UseLakeFormation	このプロパティがtrue に設定される場合、AWSLakeFormation サービスは、設定されたIAM ロールに基づくユーザーに対してアクセスポリシーを適用する一時的な資格情報を取得するために使用されます。このサービスは、SAML アサーションを提供した上で、OKTA、ADFS、AzureAD、PingFederate 経由で認証する場合に使用できます。

SAS Data Sets のファイルが保存および取得されるファイルストレージサービス、サーバー、またはファイルアクセスプロトコルを指定します。

Possible Values

Local, Amazon S3, Azure Blob Storage, Azure Data Lake Storage Gen2, Azure Data Lake Storage Gen2 SSL, Azure Files, Box, Dropbox, FTP, FTPS, Google Cloud Storage, Google Drive, HDFS, HDFS Secure, HTTP, HTTPS, IBM Object Storage Source, OneDrive, OneLake, Oracle Cloud Storage, SFTP, SharePoint REST, SharePoint SOAP

データ型

string

デフォルト値

"Local"

解説

ConnectionType を以下のいずれかに設定します。

• Local：SAS Data Sets のファイルはローカルマシンに保存されます。
• Amazon S3
• Azure Blob Storage
• Azure Data Lake Storage Gen2
• Azure Data Lake Storage Gen2 SSL
• Azure Files
• Box
• Dropbox
• FTP
• FTPS
• Google Cloud Storage
• Google Drive
• HDFS
• HDFS Secure
• HTTP：HTTP Streams でホストされているSAS Data Sets ファイルに接続します。
• HTTPS：HTTPS Streams でホストされているSAS Data Sets ファイルに接続します。
• IBM Object Storage Source
• OneDrive
• OneLake
• Oracle Cloud Storage
• SFTP
• SharePoint REST
• SharePoint SOAP

SAS リソースロケーションのUniform Resource Identifier (URI)。

データ型

string

デフォルト値

""

解説

URI プロパティを設定して、ファイルまたはストリームへのパスを指定します。

NOTE：

• この接続プロパティでは、ConnectionType を設定する必要があります。
• ディレクトリパスを指定する場合は、一般的に'folder1' ではなく'folder1/' のように、URI の末尾にパス区切り文字を付けることが推奨されます。

複数ファイルのパースおよびマージに使用できる、より高度な機能については、 を参照してください。

以下は、使用可能なデータソースのURI 形式の例です。

サービスプロバイダ	URI 形式
Local	Single File Path One table localPath file://localPath Directory Path (one table per file) localPath file://localPath
HTTP またはHTTPS	http://remoteStream https://remoteStream
Amazon S3	Single File Path One table s3://remotePath Directory Path (one table per file) s3://remotePath
Azure Blob Storage	Single File Path One table azureblob://mycontainer/myblob/ Directory Path (one table per file) azureblob://mycontainer/myblob/
OneDrive	Single File Path One table onedrive://remotePath Directory Path (one table per file) onedrive://remotePath
Google Cloud Storage	Single File Path One table gs://bucket/remotePath Directory Path (one table per file) gs://bucket/remotePath
Google Drive	Single File Path One table gdrive://remotePath Directory Path (one table per file) gdrive://remotePath
Box	Single File Path One table box://remotePath Directory Path (one table per file) box://remotePath
FTP またはFTPS	Single File Path One table ftp://server:port/remotePath Directory Path (one table per file) ftp://server:port/remotePath
SFTP	Single File Path One table sftp://server:port/remotePath Directory Path (one table per file) sftp://server:port/remotePath
Sharepoint	Single File Path One table sp://https://server/remotePath Directory Path (one table per file) sp://https://server/remotePath リモートパスにはSharepoint URL を使用します。表示名ではありません。

接続文字列とクエリの例

以下は、SAS ファイルまたはストリームへの接続文字列の例です。

サービスプロバイダ	URI 形式	Connection example
Local	Single File Path One table localPath file://localPath Directory Path (one table per file) localPath file://localPath	URI=C:\folder1
Amazon S3	Single File Path One table s3://bucket1/folder1 Directory Path (one table per file) s3://bucket1/folder1	URI=s3://bucket1/folder1; AWSAccessKey=token1; AWSSecretKey=secret1; AWSRegion=OHIO;
Azure Blob Storage	Single File Path One table azureblob://mycontainer/myblob/ Directory Path (one table per file) azureblob://mycontainer/myblob/	URI=azureblob://mycontainer/myblob/; AzureStorageAccount=myAccount; AzureAccessKey=myKey; URI=azureblob://mycontainer/myblob/; AzureStorageAccount=myAccount; AuthScheme=OAuth;
OneDrive	Single File Path One table onedrive://remotePath Directory Path (one table per file) onedrive://remotePath	URI=onedrive://folder1; AuthScheme=OAuth; URI=onedrive://SharedWithMe/folder1; AuthScheme=OAuth;
Google Cloud Storage	Single File Path One table gs://bucket/remotePath Directory Path (one table per file) gs://bucket/remotePath	URI=gs://bucket/folder1; AuthScheme=OAuth; ProjectId=test;
Google Drive	Single File Path One table gdrive://remotePath Directory Path (one table per file) gdrive://remotePath	URI=gdrive://folder1;
Box	Single File Path One table box://remotePath Directory Path (one table per file) box://remotePath	URI=box://folder1; OAuthClientId=oauthclientid1; OAuthClientSecret=oauthcliensecret1; CallbackUrl=http://localhost:12345;
FTP or FTPS	Single File Path One table ftp://server:port/remotePath Directory Path (one table per file) ftp://server:port/remotePath	URI=ftps://localhost:990/folder1; User=user1; Password=password1;
SFTP	sftp://server:port/remotePath	URI=sftp://127.0.0.1:22/remotePath; User=user1; Password=password1;
Sharepoint	sp://https://server/remotePath リモートパスにはSharepoint URL を使用します。表示名ではありません。	URI=sp://https://domain.sharepoint.com/Documents; User=user1; Password=password1;

S3ライクなWeb サービスのホスティングリージョン。

データ型

string

デフォルト値

""

解説

S3ライクなWeb サービスのホスティングリージョン。

Oracle Cloud Object Storage のリージョン

値	リージョン
商用クラウドリージョン
ap-hyderabad-1	India South (Hyderabad)
ap-melbourne-1	Australia Southeast (Melbourne)
ap-mumbai-1	India West (Mumbai)
ap-osaka-1	Japan Central (Osaka)
ap-seoul-1	South Korea Central (Seoul)
ap-sydney-1	Australia East (Sydney)
ap-tokyo-1	Japan East (Tokyo)
ca-montreal-1	Canada Southeast (Montreal)
ca-toronto-1	Canada Southeast (Toronto)
eu-amsterdam-1	Netherlands Northwest (Amsterdam)
eu-frankfurt-1	Germany Central (Frankfurt)
eu-zurich-1	Switzerland North (Zurich)
me-jeddah-1	Saudi Arabia West (Jeddah)
sa-saopaulo-1	Brazil East (Sao Paulo)
uk-london-1	UK South (London)
us-ashburn-1 (default)	US East (Ashburn, VA)
us-phoenix-1	US West (Phoenix, AZ)
US Gov FedRAMP High Regions
us-langley-1	US Gov East (Ashburn, VA)
us-luke-1	US Gov West (Phoenix, AZ)
US Gov DISA IL5 Regions
us-gov-ashburn-1	US DoD East (Ashburn, VA)
us-gov-chicago-1	US DoD North (Chicago, IL)
us-gov-phoenix-1	US DoD West (Phoenix, AZ)

Wasabi のリージョン

値	リージョン
eu-central-1	Europe (Amsterdam)
us-east-1 (Default)	US East (Ashburn, VA)
us-east-2	US East (Manassas, VA)
us-west-1	US West (Hillsboro, OR)

使用するOracle Cloud Object Storage ネームスペース。

データ型

string

デフォルト値

""

解説

使用するOracle Cloud Object Storage ネームスペース。リクエストを行う前に、この設定をOracle Cloud アカウントに関連付けられてたOracle Cloud Object Storage ネームスペースに設定する必要があります。お使いのアカウントのObject Storage ネームスペースを検索する方法については、Oracle Cloud ドキュメントのUnderstanding Object Storage Namespaces ページを参照してください。

クラウドストレージサービスプロバイダーのURL を指定します。

データ型

string

デフォルト値

""

解説

このプロパティは、以下を指定するために使われます。

• カスタムS3 サービスのURL。
• SharePoint SOAP / REST クラウドストレージサービスプロバイダーに必要なURL。

  このオプションのドメインが-my で終わる場合（例えば、https://bigcorp-my.sharepoint.com）、sp:// またはsprest:// スキームの代わりに onedrive:// スキームを使用する必要がある場合があります。

非ルートレベルのSharePoint Online サイト（/sites/<your site>/ の下など）内のファイルに接続する場合は、このプロパティをフルサイトパスに設定します。次に例を示します。 StorageBaseURL=https://<your domain>.sharepoint.com/sites/<your site>/

完全なSharePoint サイトURL を使用することで、コネクタはサブサイトやその他の非ルートレベルのサイト構造に格納されたファイルを確実に検索できます。

True（デフォルト）の場合、バケットはホスト形式のリクエストを使用してリクエストで参照されます：http://yourbucket.s3.amazonaws.com/yourobject。False に設定した場合、Bean はパス形式のリクエストを使用します：http://s3.amazonaws.com/yourbucket/yourobject。S3ベースのカスタムサービスの場合、CustomURL が指定されていると、このプロパティはFalse に設定されることに注意してください。

データ型

bool

デフォルト値

true

解説

True（デフォルト）の場合、バケットはホスト形式のリクエストを使用してリクエストで参照されます：http://yourbucket.s3.amazonaws.com/yourobject。False に設定した場合、Bean はパス形式のリクエストを使用します：http://s3.amazonaws.com/yourbucket/yourobject。S3ベースのカスタムサービスの場合、CustomURL が指定されていると、このプロパティはFalse に設定されることに注意してください。

テスト接続操作の動作を指定します。

Possible Values

LIST_AND_READ_FILES, READ_FILE, LIST_FILES, NO_OPERATION, AUTHENTICATE, LIST_OR_READ_FILES

データ型

string

デフォルト値

"LIST_OR_READ_FILES"

解説

統合シナリオに基づいて、Cloud がテスト接続操作に応答する方法を変更します。

• LIST_AND_READ_FILES：非推奨。LIST_OR_READ_FILES に名称変更されました。設定されたストレージソースからファイルを一覧表示または読み取り、少なくとも1つがパースされるまで続けます。どのファイルもパースできない場合は失敗します。注意：このモードではサブディレクトリ内のファイルは読み取りません。
• READ_FILE：URI で指定されたファイルを読み取ります。ファイルが読み取り可能でパースできる場合は成功します。URI がディレクトリではなくファイルを指している場合は、このモードを使用してください。
• LIST_FILES：指定されたURI からファイルを一覧表示します。
• NO_OPERATION：ストレージソースに対して何も操作を実行しません。
• AUTHENTICATE：メタデータまたはリスト呼び出しを行い、資格情報が有効かどうかをテストします。
• LIST_OR_READ_FILES：設定されたストレージソースからファイルを一覧表示または読み取り、少なくとも1つがパースされるまで続けます。どのファイルもパースできない場合は失敗します。注意：このモードではサブディレクトリ内のファイルは読み取りません。

このプロパティがtrue に設定される場合、AWSLakeFormation サービスは、設定されたIAM ロールに基づくユーザーに対してアクセスポリシーを適用する一時的な資格情報を取得するために使用されます。このサービスは、SAML アサーションを提供した上で、OKTA、ADFS、AzureAD、PingFederate 経由で認証する場合に使用できます。

データ型

bool

デフォルト値

false

解説

このプロパティがtrue に設定される場合、AWSLakeFormation サービスは、設定されたIAM ロールに基づくユーザーに対してアクセスポリシーを適用する一時的な資格情報を取得するために使用されます。このサービスは、SAML アサーションを提供した上で、OKTA、ADFS、AzureAD、PingFederate 経由で認証する場合に使用できます。

このセクションでは、本プロバイダーの接続文字列で設定可能なAWS Authentication プロパティの全リストを提供します。

---

プロパティ	説明
AWSAccessKey	AWS アカウントのアクセスキーを指定します。この値には、AWS セキュリティ認証情報ページからアクセスできます。
AWSSecretKey	AWS アカウントのシークレットキー。この値には、［AWS セキュリティ認証情報］ページからアクセスできます。
AWSRoleARN	認証時に使用するロールのAmazon リソースネーム。
AWSPrincipalARN	AWS アカウントのSAML ID プロバイダーのARN。
AWSRegion	Amazon Web サービスのホスティングリージョン。
AWSSessionToken	AWS のセッショントークン。
AWSExternalId	他のアカウントでロールを引き受ける際に必要となる一意の識別子。
MFASerialNumber	MFA デバイスが使用されている場合は、そのシリアル番号。
MFAToken	MFA デバイスから利用できる一時トークン。
TemporaryTokenDuration	一時トークンが持続する時間（秒単位）。
AWSWebIdentityToken	ID プロバイダーが提供するOAuth 2.0 アクセストークンまたはOpenID Connect ID トークン。
ServerSideEncryption	有効にすると、Amazon S3バケットへのファイルアップロードがサーバー側で暗号化されます。
SSEContext	A BASE64-encoded UTF-8 string holding JSON which represents a string-string (key-value) map.
SSEEnableS3BucketKeys	Configuration to use an S3 Bucket Key at the object level when encrypting data with AWS KMS. Enabling this will reduce the cost of server-side encryption by lowering calls to AWS KMS.
SSEKey	A symmetric encryption KeyManagementService key, that is used to protect the data when using ServerSideEncryption.

AWS アカウントのアクセスキーを指定します。この値には、AWS セキュリティ認証情報ページからアクセスできます。

データ型

string

デフォルト値

""

解説

AWS アカウントのアクセスキーを見つけるには、次の手順に従います。

1. ルートアカウントの認証情報を使用してAWS 管理コンソールにサインインします。
2. アカウント名または番号を選択します。
3. メニューでMy Security Credentials を選択します。
4. Continue to Security Credentials をクリックします。
5. ルートアカウントのアクセスキーを表示または管理するには、Access Keys セクションを展開します。

AWS アカウントのシークレットキー。この値には、［AWS セキュリティ認証情報］ページからアクセスできます。

データ型

string

デフォルト値

""

解説

AWS アカウントのシークレットキー。この値には、［AWS セキュリティ認証情報］ページからアクセスできます。

1. ルートアカウントの認証情報を使用してAWS 管理コンソールにサインインします。
2. アカウント名または番号を選択し、表示されたメニューで［My Security Credentials］を選択します。
3. ［Continue to Security Credentials］をクリックし、［Access Keys］セクションを展開して、ルートアカウントのアクセスキーを管理または作成します。

認証時に使用するロールのAmazon リソースネーム。

データ型

string

デフォルト値

""

解説

AWS の外部で認証する場合は、AWS アカウント認証情報ではなく、ロールを認証に使用するのが 一般的です。AWSRoleARN を入力すると、CData Cloud はAWSAccessKey とAWSSecretKey を直接 使用する代わりに、ロールベースの認証を実行します。この認証を実行するためには、AWSAccessKey と AWSSecretKey を指定する必要があります。RoleARN を設定するときは、AWS ルートユーザーの 認証情報を使用できません。AWSAccessKey およびAWSSecretKey はIAM ユーザーのものである必要があります。

AWS アカウントのSAML ID プロバイダーのARN。

データ型

string

デフォルト値

""

解説

AWS アカウントのSAML ID プロバイダーのARN。

Amazon Web サービスのホスティングリージョン。

Possible Values

OHIO, NORTHERNVIRGINIA, NORTHERNCALIFORNIA, OREGON, CAPETOWN, HONGKONG, TAIPEI, HYDERABAD, JAKARTA, MALAYSIA, MELBOURNE, MUMBAI, OSAKA, SEOUL, SINGAPORE, SYDNEY, THAILAND, TOKYO, CENTRAL, CALGARY, BEIJING, NINGXIA, FRANKFURT, IRELAND, LONDON, MILAN, PARIS, SPAIN, STOCKHOLM, ZURICH, TELAVIV, MEXICOCENTRAL, BAHRAIN, UAE, SAOPAULO, GOVCLOUDEAST, GOVCLOUDWEST, ISOLATEDUSEAST, ISOLATEDUSEASTB, ISOLATEDUSEASTF, ISOLATEDUSSOUTHF, ISOLATEDUSWEST, ISOLATEDEUWEST

データ型

string

デフォルト値

"NORTHERNVIRGINIA"

解説

Amazon Web サービスのホスティングリージョン。利用可能な値は、OHIO、NORTHERNVIRGINIA、NORTHERNCALIFORNIA、OREGON、CAPETOWN、HONGKONG、TAIPEI、HYDERABAD、JAKARTA、MALAYSIA、MELBOURNE、MUMBAI、OSAKA、SEOUL、SINGAPORE、SYDNEY、THAILAND、TOKYO、CENTRAL、CALGARY、BEIJING、NINGXIA、FRANKFURT、IRELAND、LONDON、MILAN、PARIS、SPAIN、STOCKHOLM、ZURICH、TELAVIV、MEXICOCENTRAL、BAHRAIN、UAE、SAOPAULO、GOVCLOUDEAST、GOVCLOUDWEST、ISOLATEDUSEAST、ISOLATEDUSEASTB、ISOLATEDUSEASTF、ISOLATEDUSSOUTHF、ISOLATEDUSWEST、およびISOLATEDEUWEST です。

AWS のセッショントークン。

データ型

string

デフォルト値

""

解説

AWS のセッショントークン。この値はさまざまな方法で取得できます。詳しくは、this link を参照してください。

他のアカウントでロールを引き受ける際に必要となる一意の識別子。

データ型

string

デフォルト値

""

解説

他のアカウントでロールを引き受ける際に必要となる一意の識別子。

MFA デバイスが使用されている場合は、そのシリアル番号。

データ型

string

デフォルト値

""

解説

AWS マネジメントコンソールにアクセスしてユーザーのセキュリティ認証情報を表示することで、IAM ユーザーのデバイスを見つけることができます。 仮想デバイスの場合、これは実際にはAmazon リソースネームです（ arn:aws:iam::123456789012:mfa/user など）。

MFA デバイスから利用できる一時トークン。

データ型

string

デフォルト値

""

解説

MFA が必要な場合、この値はログインのためのテンポラリクレデンシャルを取得するためにMFASerialNumber とともに使用されます。 AWS から入手可能な一時的な認証情報はデフォルトで最長1時間しか持続しません（TemporaryTokenDuration を参照してください）。時間が経過したら、新しい認証情報を取得できるように、接続を 更新して新しいMFA トークンを指定する必要があります。 %AWSpSecurityToken; %AWSpTemporaryTokenDuration;

一時トークンが持続する時間（秒単位）。

データ型

string

デフォルト値

"3600"

解説

一時トークンは、MFA 認証とロールベース認証の両方で使用されます。一時トークンは、やがてタイムアウトします。 そのときには、新しい一時トークンを取得する必要があります。MFA が使用されていない状況では、これは大したこと ではありません。一時トークンが期限切れになると、CData Cloud は内部的に新しい一時トークンをリクエストします。

ただし、MFA が必要な接続の場合は、新しい一時トークンを取得するために新しいMFAToken を接続で指定 する必要があります。これは、ユーザーによる接続の更新が必要になるため、より煩わしい問題です。指定できる 最大値と最小値は、使用されている接続によって大きく異なります。

ロールベース認証の場合は、最小期間は900秒（15分）で、最大期間は3600秒（1時間）です。 ロールベース認証でMFA が使用されている場合でも、3600秒が依然として最大です。

MFA 認証自体では（IAM ユーザーまたはルートユーザーを使用）、最小値は900秒（15分）、 最大値は129600（36時間）です。

ID プロバイダーが提供するOAuth 2.0 アクセストークンまたはOpenID Connect ID トークン。

データ型

string

デフォルト値

""

解説

ID プロバイダーが提供するOAuth 2.0 アクセストークンまたはOpenID Connect ID トークン。 アプリケーションは、Web ID プロバイダーでユーザーを認証することで、このトークンを取得できます。 指定しない場合、この接続プロパティの値は、 環境変数'AWS_WEB_IDENTITY_TOKEN_FILE' の値から自動的に取得されます。

有効にすると、Amazon S3バケットへのファイルアップロードがサーバー側で暗号化されます。

Possible Values

OFF, S3-Managed Keys, Key Management Service Keys

データ型

string

デフォルト値

"OFF"

解説

サーバー側の暗号化とは、データを受信するアプリケーションまたはサービスによって、送信先でデータを暗号化することです。Amazon S3は、データセンターのディスクに書き込まれるときにデータをオブジェクトレベルで暗号化し、ユーザーがデータにアクセスするときに復号します。詳しくは、こちらを参照してください。https://docs.aws.amazon.com/ja_jp/AmazonS3/latest/userguide/serv-side-encryption.html

A BASE64-encoded UTF-8 string holding JSON which represents a string-string (key-value) map.

データ型

string

デフォルト値

""

解説

Example of what the JSON may look decoded: {"aws:s3:arn": "arn:aws:s3:::_bucket_/_object_"}.

Configuration to use an S3 Bucket Key at the object level when encrypting data with AWS KMS. Enabling this will reduce the cost of server-side encryption by lowering calls to AWS KMS.

データ型

bool

デフォルト値

false

解説

Configuration to use an S3 Bucket Key at the object level when encrypting data with AWS KMS. Enabling this will reduce the cost of server-side encryption by lowering calls to AWS KMS.

A symmetric encryption KeyManagementService key, that is used to protect the data when using ServerSideEncryption.

データ型

string

デフォルト値

""

解説

A symmetric encryption KeyManagementService key, that is used to protect the data when using ServerSideEncryption.

このセクションでは、本プロバイダーの接続文字列で設定可能なAzure Authentication プロパティの全リストを提供します。

---

プロパティ	説明
AzureStorageAccount	Azure ストレージアカウント名。
AzureAccessKey	Azure アカウントに関連付けられているストレージキー。
AzureSharedAccessSignature	認証に使用可能な共有アクセスキー署名。
AzureTenant	データにアクセスするために使用されているSAS Data Sets テナントを識別します。テナントのドメイン名（例： contoso.onmicrosoft.com ）またはディレクトリ（テナント）ID のいずれかを受け付けます。
AzureEnvironment	接続するAzure ネットワーク環境を指定します。Azure アカウントが追加されたネットワークと同じである必要があります。

Azure ストレージアカウント名。

データ型

string

デフォルト値

""

解説

Azure ストレージアカウントの名前。

Azure アカウントに関連付けられているストレージキー。

データ型

string

デフォルト値

""

解説

SAS Data Sets アカウントに関連付けられているストレージキー。以下のように取得できます：

1. ルートアカウントの資格情報を使用してAzure ポータルにサインインします。（https://portal.azure.com/）
2. ストレージアカウントをクリックして、使用するストレージアカウントを選択します。
3. 設定で［アクセスキー］をクリックします。
4. ページ上にストレージアカウント名とキーが表示されます。

認証に使用可能な共有アクセスキー署名。

データ型

string

デフォルト値

""

解説

共有アクセス署名。以下の手順で作成することができます。

1. ルートアカウントの資格情報を使用してAzure ポータルにサインインします。（https://portal.azure.com/）
2. ストレージアカウントをクリックして、使用するストレージアカウントを選択します。
3. 設定で［Shared Access Signature］をクリックします。
4. 権限およびトークンの有効期限を設定します。
5. ［Generate SAS］をクリックするとトークンをコピーできます。

データにアクセスするために使用されているSAS Data Sets テナントを識別します。テナントのドメイン名（例： contoso.onmicrosoft.com ）またはディレクトリ（テナント）ID のいずれかを受け付けます。

データ型

string

デフォルト値

""

解説

テナントとは、Microsoft Entra ID（旧称：Azure AD）を通じて管理される、組織のユーザーやリソースのためのデジタルコンテナです。 各テナントには一意のディレクトリID が関連付けられており、多くの場合、カスタムドメイン（例：microsoft.com やcontoso.onmicrosoft.com）も関連付けられています。

Microsoft Entra 管理センターでディレクトリ（テナント）ID を確認するには、Microsoft Entra ID -> プロパティに移動し、「ディレクトリ（テナント）ID」と表示されている値をコピーします。

このプロパティは以下の場合に必要です。

• AuthScheme がAzureServicePrincipal またはAzureServicePrincipalCert に設定されている場合
• AuthScheme がAzureAD で、ユーザーアカウントが複数のテナントに属している場合

テナントの値は、2つの形式のいずれかで指定できます。

• ドメイン名（例：contoso.onmicrosoft.com）
• GUID 形式のディレクトリ（テナント）ID（例：c9d7b8e4-1234-4f90-bc1a-2a28e0f9e9e0）

テナントを明示的に指定することで、認証リクエストが正しいディレクトリにルーティングされるようになります。これは、ユーザーが複数のテナントに所属している場合や、サービスプリンシパルベースの認証を使用する場合に特に重要です。

この値が必要な場面で省略されると、認証に失敗したり、誤ったテナントに接続されたりする可能性があります。その結果、認可されていないまたはリソースが見つからないといったエラーが発生する可能性があります。

接続するAzure ネットワーク環境を指定します。Azure アカウントが追加されたネットワークと同じである必要があります。

Possible Values

GLOBAL, CHINA, USGOVT, USGOVTDOD

データ型

string

デフォルト値

"GLOBAL"

解説

Azure アカウントがGlobal ネットワークとは異なるネットワーク（China、USGOVT、USGOVTDOD など）の一部である場合は、必要です。

このセクションでは、本プロバイダーの接続文字列で設定可能なKeycloak Authentication プロパティの全リストを提供します。

---

プロパティ	説明
KeycloakRealmURL	認証と認可に使用される特定のレルムを含むKeycloak サーバーへの完全なURL を指定します。

認証と認可に使用される特定のレルムを含むKeycloak サーバーへの完全なURL を指定します。

データ型

string

デフォルト値

""

解説

このURL は、http(s)://{server-url}:{port}/realms/{realm-name} の形式で指定する必要があります。

Keycloak におけるレルムとは、ユーザー、ロール、クライアント、および設定のセットを管理するための論理的な名前空間です。 これは異なるアプリケーションやサービスの認証と認可を分離し、各レルムが独自のユーザーベースとセキュリティ設定を持つことができます。 複数のレルムが単一のKeycloak インスタンス内に存在でき、異なる環境やグループ間の分離を実現します。

KeycloakRealmURL の指定は、AuthScheme = Keycloak のときに必要です。

このセクションでは、本プロバイダーの接続文字列で設定可能なSSO プロパティの全リストを提供します。

---

プロパティ	説明
SSOLoginURL	ID プロバイダーのログインURL。
SSOProperties	ID プロバイダーへの接続に必要な追加プロパティを、セミコロンで区切ったリスト形式で指定します。
SSOExchangeURL	SAML 応答を処理してサービスの資格情報と交換するために使用するURL。

ID プロバイダーのログインURL。

データ型

string

デフォルト値

""

解説

ID プロバイダーのログインURL。

ID プロバイダーへの接続に必要な追加プロパティを、セミコロンで区切ったリスト形式で指定します。

データ型

string

デフォルト値

""

解説

セミコロンで区切られたID プロバイダーへの接続に必要な追加プロパティ。

ID プロバイダーへの接続に必要な追加プロパティを、セミコロンで区切ったリスト形式で指定します。

SSOLoginURL と一緒に使用します。

SSO 設定については、 で詳しく説明します。

SAML 応答を処理してサービスの資格情報と交換するために使用するURL。

データ型

string

デフォルト値

""

解説

CData Cloud はここで指定されたURL を使用してSAML 応答を処理し、サービスの資格情報と交換します。 取得した資格情報はSSO 接続時の最後の情報であり、SAS Data Sets との通信に使用されます。

このセクションでは、本プロバイダーの接続文字列で設定可能なJWT OAuth プロパティの全リストを提供します。

---

プロパティ	説明
OAuthJWTCert	クライアント証明書のJWT 証明書ストアの名前を指定します。
OAuthJWTCertType	JWT 証明書を格納しているキーストアの種類を指定します。
OAuthJWTCertPassword	パスワードで保護された証明書ストアにアクセスするために使用されるOAuth JWT 証明書のパスワードを指定します。証明書ストアがパスワードを必要としない場合は、このプロパティを空白のままにします。
OAuthJWTCertSubject	ストアで一致する証明書を検索するために使用される、OAuth JWT 証明書のサブジェクトを指定します。部分一致と、先頭の証明書を選択するためのワイルドカード '*' をサポートします。
OAuthJWTSubject	アプリケーションからデリゲートアクセスの要求対象となるユーザーサブジェクト。
OAuthJWTSubjectType	JWT 認証のサブタイプ。
OAuthJWTPublicKeyId	JWT の公開キーのID。

クライアント証明書のJWT 証明書ストアの名前を指定します。

データ型

string

デフォルト値

""

解説

OAuthJWTCertType フィールドは、OAuthJWTCert により指定された証明書ストアの種類を指定します。 ストアがパスワードで保護されている場合は、OAuthJWTCertPassword を使用してパスワードを指定します。

OAuthJWTCert は、OAuthJWTCertSubject フィールドとともにクライアント証明書を指定するために使われます。 OAuthJWTCert に値が設定され、かつOAuthJWTCertSubject が設定されている場合、CData Cloud は証明書の検索を開始します。 詳しくは、OAuthJWTCertSubject を参照してください。

証明書ストアの指定はプラットフォームに依存します。

注記

• Windows の共通のユーザーとシステム証明書ストアは以下のとおりです。
  • MY：個人証明書と関連付けられた秘密キーを 格納している証明書ストア。
  • CA：証明機関の証明書。
  • ROOT：ルート証明書。
  • SPC：ソフトウェア発行元証明書。
• Javaでは、証明書ストアは通常、証明書および 任意の秘密キーを含むファイルです。
• 証明書ストアの種類がPFXFile の場合は、 このプロパティにファイル名を設定します。
• PFXBlob の場合は、このプロパティをPFX ファイルのバイナリコンテンツ（例えば、PKCS12証明書ストア）に設定する必要があります。

JWT 証明書を格納しているキーストアの種類を指定します。

Possible Values

PFXBLOB, JKSBLOB, PEMKEY_BLOB, PUBLIC_KEY_BLOB, SSHPUBLIC_KEY_BLOB, XMLBLOB, BCFKSBLOB, GOOGLEJSONBLOB, BOXJSONBLOB

データ型

string

デフォルト値

"PEMKEY_BLOB"

解説

値	説明	注記
USER	現在のユーザーが所有する証明書ストア。	Windows のみ使用可能です。
MACHINE	マシンストア。	Java やその他の非Windows 環境では使用できません。
PFXFILE	証明書を含むPFX（PKCS12）ファイル。
PFXBLOB	PFX（PKCS12）形式の証明書ストアをbase-64 でエンコードした文字列。
JKSFILE	証明書を含むJava キーストア（JKS）ファイル。	Java 専用。
JKSBLOB	Java キーストア（JKS）形式の証明書ストアをbase-64 でエンコードした文字列。	Java 専用。
PEMKEY_FILE	秘密鍵とオプションの証明書を含むPEM でエンコードされたファイル。
PEMKEY_BLOB	秘密鍵とオプションの証明書をbase-64 でエンコードした文字列。
PUBLIC_KEY_FILE	PEM またはDER でエンコードされた公開鍵証明書を含むファイル。
PUBLIC_KEY_BLOB	PEM またはDER でエンコードされた公開鍵証明書をbase-64 でエンコードした文字列。
SSHPUBLIC_KEY_FILE	SSH 形式の公開鍵を含むファイル。
SSHPUBLIC_KEY_BLOB	SSH 形式の公開鍵ををbase-64 でエンコードした文字列。
P7BFILE	証明書を含むPKCS7 ファイル。
PPKFILE	PuTTY 秘密キー（PPK）を含むファイル。
XMLFILE	XML 形式の証明書を含むファイル。
XMLBLOB	XML 形式の証明書を含む文字列。
BCFKSFILE	Bouncy Castle キーストアを含むファイル。
BCFKSBLOB	Bouncy Castle キーストアを含む文字列（base-64エンコード）。
GOOGLEJSON	サービスアカウント情報を含むJSON ファイル。	Google サービスに接続する場合にのみ有効。
GOOGLEJSONBLOB	サービスアカウントのJSON を含む文字列。	Google サービスに接続する場合にのみ有効。
BOXJSON	サービスアカウント情報を含むJSON ファイル。	Box に接続する場合にのみ有効。
BOXJSONBLOB	この証明書ストアは、サービスアカウントのJSON を含む文字列です。	Box に接続する場合にのみ有効。

パスワードで保護された証明書ストアにアクセスするために使用されるOAuth JWT 証明書のパスワードを指定します。証明書ストアがパスワードを必要としない場合は、このプロパティを空白のままにします。

データ型

string

デフォルト値

""

解説

このプロパティは、パスワードで保護された証明書ストアを開くために必要なパスワードを指定します。 パスワードが必要かどうかを判断するには、ご利用の証明書ストアのドキュメントまたは設定を参照してください。

GOOGLEJSON OAuthJWTCertType を使用する場合は必要ありません。Google JSON キーは暗号化されていません。

ストアで一致する証明書を検索するために使用される、OAuth JWT 証明書のサブジェクトを指定します。部分一致と、先頭の証明書を選択するためのワイルドカード '*' をサポートします。

データ型

string

デフォルト値

"*"

解説

このプロパティの値は、ストアで一致する証明書を検索するために使用されます。検索プロセスは以下のように動作します。

• サブジェクトに完全に一致する証明書が見つかれば、該当する証明書が選択されます。
• 完全に一致するものがない場合、ストアは、サブジェクトがプロパティ値を含む証明書を検索します。
• 一致する証明書がない場合、証明書は選択されません。

値を '*' に設定すると、ストアの先頭の証明書が自動的に選択されます。 証明書のサブジェクトは識別名フィールドおよび値のカンマ区切りのリストです。 例：CN=www.server.com, OU=test, C=US, [email protected]。

一般的なフィールドには以下のものが含まれます。

フィールド	説明
CN	共通名。一般的には、www.server.com のようなホスト名です。
O	法人名
OU	法人の部署名
L	法人の住所（市町村名）
S	法人の住所（都道府県）
C	国名
E	E メールアドレス

フィールド値にカンマが含まれる場合は、引用符で囲んでください。例："O=ACME, Inc."。

アプリケーションからデリゲートアクセスの要求対象となるユーザーサブジェクト。

データ型

string

デフォルト値

""

解説

アプリケーションからデリゲートアクセスの要求対象となるユーザーサブジェクトです。通常は、ユーザーのアカウント名またはE メールアドレスとなります。

JWT 認証のサブタイプ。

Possible Values

enterprise, user

データ型

string

デフォルト値

"enterprise"

解説

JWT 認証のサブタイプ。要求されているトークンの種類に応じて［enterprise］または［user］に設定します。

JWT の公開キーのID。

データ型

string

デフォルト値

""

解説

JWT の公開キーのID。アプリケーション設定の公開キーID の値に設定します。

このセクションでは、本プロバイダーの接続文字列で設定可能なOAuth プロパティの全リストを提供します。

---

プロパティ	説明
OAuthClientId	カスタムOAuth アプリケーションに割り当てられたクライアントID（コンシューマーキーとも呼ばれます）を指定します。このID は、認証時にOAuth 認可サーバーにアプリケーションを識別させるために必要です。
OAuthClientSecret	カスタムOAuth アプリケーションに割り当てられたクライアントシークレットを指定します。この機密情報は、OAuth 認可サーバーに対してアプリケーションを認証するために使用されます。（カスタムOAuth アプリケーションのみ）
SubjectId	The user subject for which the application is requesting delegated access.
SubjectType	The Subject Type for the Client Credentials authentication.
Scope	データへの適切なアクセスを確実にするために、認証ユーザーのアプリケーションへのアクセス範囲を指定します。 カスタムOAuth アプリケーションが必要な場合は、通常、アプリケーションの作成時に指定します。

カスタムOAuth アプリケーションに割り当てられたクライアントID（コンシューマーキーとも呼ばれます）を指定します。このID は、認証時にOAuth 認可サーバーにアプリケーションを識別させるために必要です。

データ型

string

デフォルト値

""

解説

このプロパティは2つのケースで必要となります：

• カスタムOAuth アプリケーションを使用する場合。たとえば、Web ベースの認証フロー、サービスベースの認証、またはアプリケーションの登録が必要な証明書ベースのフローなどが該当します。
• ドライバーが埋め込みOAuth 資格情報を提供しない場合。

（ドライバーが埋め込みOAuth 資格情報を提供する場合、この値はすでにCloud によって設定されており、手動で入力する必要がないことがあります。）

OAuthClientId は、認証付きの接続を構成する際に、OAuthClientSecret やOAuthSettingsLocation などの他のOAuth 関連プロパティと一緒に使用されるのが一般的です。

OAuthClientId は、ユーザーがOAuth 経由で認証を行う前に設定する必要がある、主要な接続パラメータの1つです。 この値は、通常、ID プロバイダーのアプリケーション登録設定で確認できます。 Client ID、Application ID、Consumer Key などとラベル付けされた項目を探してください。

クライアントID は、クライアントシークレットのような機密情報とは見なされませんが、アプリケーションの識別情報の一部であるため、慎重に取り扱う必要があります。公開リポジトリや共有設定ファイルでこの値を露出させないようにしてください。

接続設定時にこのプロパティを使用する方法の詳細については、接続の確立 を参照してください。

カスタムOAuth アプリケーションに割り当てられたクライアントシークレットを指定します。この機密情報は、OAuth 認可サーバーに対してアプリケーションを認証するために使用されます。（カスタムOAuth アプリケーションのみ）

データ型

string

デフォルト値

""

解説

このプロパティ（アプリケーションシークレットまたはコンシューマシークレットとも呼ばれます）は、安全なクライアント認証を必要とするすべてのフローでカスタムOAuth アプリケーションを使用する場合に必要です。たとえば、Web ベースのOAuth、サービスベースの接続、証明書ベースの認可フローなどが該当します。 組み込みOAuth アプリケーションを使用する場合は必要ありません。

クライアントシークレットは、OAuth フローのトークン交換ステップで使用されます。このステップでは、ドライバーが認可サーバーにアクセストークンを要求します。 この値が欠落しているか正しくない場合、認証はinvalid_client またはunauthorized_client エラーで失敗します。

OAuthClientSecret は、ユーザーがOAuth 経由で認証を行う前に設定する必要がある、主要な接続パラメータの1つです。この値は、OAuth アプリケーションを登録する際にID プロバイダーから取得できます。

Notes：

• この値は安全に保管し、公開リポジトリやスクリプト、安全でない環境では決して公開しないようにしてください。
• クライアントシークレットは、一定期間が経過すると有効期限が切れる場合もあります。 アクセスを中断させないために、有効期限を常に監視し、必要に応じてシークレットをローテーションするようにしてください。

接続設定時にこのプロパティを使用する方法の詳細については、接続の確立 を参照してください。

The user subject for which the application is requesting delegated access.

データ型

string

デフォルト値

""

解説

Id of the user or enterprise, based on the configuration set in SubjectType.

The Subject Type for the Client Credentials authentication.

Possible Values

enterprise, user

データ型

string

デフォルト値

"enterprise"

解説

The Subject Type for the Client Credentials authentication. Set this to "enterprise" or "user" depending on the type of token being requested.

データへの適切なアクセスを確実にするために、認証ユーザーのアプリケーションへのアクセス範囲を指定します。 カスタムOAuth アプリケーションが必要な場合は、通常、アプリケーションの作成時に指定します。

データ型

string

デフォルト値

""

解説

スコープは、認証ユーザーがどのようなアクセス権を持つかを定義するために設定されます。例えば、読み取り、読み取りと書き込み、機密情報への制限付きアクセスなどです。システム管理者は、スコープを使用して機能またはセキュリティクリアランスによるアクセスを選択的に有効化できます。

InitiateOAuth がGETANDREFRESH に設定されている場合、要求するスコープを変更したい場合はこのプロパティを使用する必要があります。

InitiateOAuth がREFRESH またはOFF のいずれかに設定されている場合、このプロパティまたはScope 入力を使用して、要求するスコープを変更できます。

このセクションでは、本プロバイダーの接続文字列で設定可能なSSL プロパティの全リストを提供します。

---

プロパティ	説明
SSLMode	FTP またはFTPS サーバーに接続する際の認証メカニズム。
SSLServerCert	TLS/SSL を使用して接続する際に、サーバーが受け入れ可能な証明書を指定します。

FTP またはFTPS サーバーに接続する際の認証メカニズム。

Possible Values

AUTOMATIC, NONE, IMPLICIT, EXPLICIT

データ型

string

デフォルト値

"AUTOMATIC"

解説

SSLMode がNONE に設定されている場合、サーバーへのログインには、デフォルトのプレーンテキストでの認証が使われます。 SSLMode がIMPLICIT に設定されている場合、接続が確立された直後にSSL ネゴシエーションが開始されます。 SSLMode がEXPLICIT に設定されている場合、Cloud は最初にプレーンテキストで接続し、次にSTARTTLS などのプロトコルコマンドを使用してSSL ネゴシエーションを明示的に開始します。 SSLMode がAUTOMATIC に設定されている場合、リモートポートがプロトコルの標準のプレーンテキストポート（適用可能な場所）に設定されている場合、コンポーネントはSSLMode がEXPLICIT に設定されている場合と同じように動作します。その他すべてのケースでは、SSL ネゴシエーションはIMPLICIT になります。

• AUTOMATIC
• NONE
• IMPLICIT
• EXPLICIT

TLS/SSL を使用して接続する際に、サーバーが受け入れ可能な証明書を指定します。

データ型

string

デフォルト値

""

解説

TLS/SSL 接続を使用している場合は、このプロパティを使用して、サーバーが受け入れるTLS/SSL 証明書を指定できます。このプロパティに値を指定すると、マシンによって信頼されていない他の証明書はすべて拒否されます。

このプロパティは、次のフォームを取ります：

説明	例
フルPEM 証明書（例では省略されています）	-----BEGIN CERTIFICATE----- MIIChTCCAe4CAQAwDQYJKoZIhv......Qw== -----END CERTIFICATE-----
証明書を保有するローカルファイルへのパス。	C:\cert.cer
公開鍵（例では省略されています）	-----BEGIN RSA PUBLIC KEY----- MIGfMA0GCSq......AQAB -----END RSA PUBLIC KEY-----
MD5 Thumbprint（hex 値はスペースまたはコロン区切り）	ecadbdda5a1529c58a1e9e09828d70e4
SHA1 Thumbprint（hex 値はスペースまたはコロン区切り）	34a929226ae0819f2ec14b4a3d904f801cbb150d

Note：'*' を使用してすべての証明書を受け入れるように指定することも可能ですが、セキュリティ上の懸念があるため推奨されません。

このセクションでは、本プロバイダーの接続文字列で設定可能なSSH プロパティの全リストを提供します。

---

プロパティ	説明
SSHAuthMode	サービスへのSSH トンネルを確立する際に使用される認証方法。
SSHClientCert	SSHUser の認証に使用する証明書。
SSHClientCertPassword	SSHClientCert キーのパスワード（ある場合）。
SSHClientCertSubject	SSH クライアント証明書のサブジェクト。
SSHClientCertType	SSHClientCert 秘密鍵の種類。
SSHUser	SSH ユーザー。
SSHPassword	SSH パスワード。

サービスへのSSH トンネルを確立する際に使用される認証方法。

Possible Values

None, Password, Public_Key

データ型

string

デフォルト値

"Password"

解説

• None：認証は行われません。現在のSSHUser の値は無視され、接続は匿名でログインされます。
• Password：Cloud は、SSHUser とSSHPassword の値を使用してユーザーを認証します。
• Public_Key：Cloud は、SSHUser とSSHClientCert の値を使用してユーザーを認証します。SSHClientCert には、この認証方法を成功させるために使用可能な秘密鍵が必要です。

SSHUser の認証に使用する証明書。

データ型

string

デフォルト値

""

解説

公開鍵認証を使用するには、SSHClientCert に有効な秘密鍵が含まれている必要があります。 公開鍵はオプションで、含まれていない場合はCloud が秘密鍵から生成します。 Cloud は公開鍵をサーバーに送信し、ユーザーが公開鍵を認証した場合に接続が許可されます。

SSHClientCertType フィールドは、SSHClientCert により指定されたキーストアの種類を指定します。 ストアがパスワードで保護されている場合は、SSHClientCertPassword でパスワードを指定します。

一部の種類のキーストアは、複数のキーを含むことができるコンテナです。 デフォルトでは、Cloud はストアの最初のキーを選択しますが、SSHClientCertSubject を使用して特定のキーを指定することも可能です。

SSHClientCert キーのパスワード（ある場合）。

データ型

string

デフォルト値

""

解説

このプロパティは、証明書ベースの認証を使用する場合のSSH トンネリングに必要です。 SSH 証明書がパスワードで保護されたキーストアにある場合、証明書にアクセスするためにこのプロパティを使用してパスワードを指定します。