アクセス制御オブジェクト (ACO) は、CDS ビューエンティティのアクセス制御ルールを定義する CDS アノテーションです。ACO は、ロール名、データソース、アクセス条件、および権限チェック12 の戻りコードを指定する 1 つ以上の句で構成されます。ACO で使用される句には、次のようなものがあります。
Where（アクセス条件の指定）: この句は、ユーザーがデータソースにアクセスできるかどうかを判定する論理式を定義するために使用されます。式には、データソースのフィールド、CDSビューエンティティのパラメータ、または定義済み変数$userと$sessionを使用できます。また、関数check_authorizationとcheck_roleを使用して、追加の権限チェックを実行することもできます12。
ロールの定義（ロール名を指定する）: この句は、ACO によって定義されるロールに名前を割り当てるために使用されます。ロール名は、CDS ビューエンティティの名前空間内で一意である必要があり、特殊文字を含んではなりません。ロール名は、@AccessControl.authorizationCheck や @AccessControl.grant12 などの他のアノテーションで ACO を参照するために使用できます。
取り消し（データソースへのアクセスを削除する）：この句は、where句の条件を満たすユーザーに対して、データソースへのアクセスを明示的に拒否するために使用されます。取り消し句は、同じユーザーにアクセスを許可する可能性のある付与句をオーバーライドします。取り消し句は、最小権限の原則を実装したり、データの分離を強制したりするために使用できます12。
以下のいずれも行うことはできません。
付与（データソースの識別）：これはACOでは有効な句ではありません。付与句は、特定のロールを持つユーザーにCDSビューエンティティまたはデータソースへのアクセスを許可するために使用される別のアノテーションです。付与句は、ACOをロール名で参照することで、ACO12で定義されたアクセス条件を適用できます。
戻りコード（権限チェックの戻りコードを割り当てるため）：これはACOでは有効な句ではありません。権限チェックの戻りコードは、アクセス制御チェックの実行後にシステムによって設定される定義済み変数です。戻りコードはACOのwhere句で使用でき、チェックの結果に基づいて異なるアクセス条件を指定できます12。