Azure Data Lake Storage で Java を使用して ACL を管理する

[アーティクル]
10/16/2024

この記事では、Java を使用して、ディレクトリとファイルのアクセス制御リストを取得、設定、更新する方法について説明します。

ACL の継承は、親ディレクトリの下に作成された新しい子項目に対して既に利用可能です。しかし、親ディレクトリの既存の子項目に対して ACL を再帰的に追加、更新、および削除することもできます。それぞれの子項目に対してこれらの変更を個別に行う必要はありません。

パッケージ (Maven) | サンプル | API リファレンス | Gen1 から Gen2 へのマッピング | フィードバックを送る

前提条件

Azure サブスクリプション - 無料アカウントを作成します。
階層型名前空間 (HNS) が有効になっている Azure ストレージアカウント。作成するには、こちらの手順に従います。
Java Development Kit (JDK) バージョン 8 以降。
この例では、Apache Maven をプロジェクトの管理に使います。
Azure CLI バージョン 2.6.0 以上。
次のセキュリティのアクセス許可のいずれか。
- ターゲットコンテナー、ストレージアカウント、親リソースグループ、またはサブスクリプションのスコープでストレージ BLOB データ所有者ロールが割り当てられた、プロビジョニングされた Microsoft Entra ID セキュリティプリンシパル。
- ACL 設定を適用する予定のターゲットコンテナーまたはディレクトリの所有ユーザー。 ACL を再帰的に設定する場合、これには、ターゲットコンテナーまたはディレクトリ内のすべての子項目が含まれます。
- ストレージアカウントキー。

プロジェクトの設定

注意

この記事では Maven ビルドツールを使用して、サンプルコードをビルドして実行します。 Gradle などの他のビルドツールも、Azure SDK for Java で動作します。

Maven を使用して新しいコンソールアプリを作成するか、既存のプロジェクトを開きます。パッケージをインストールし、必要な import ディレクティブを追加するには、次の手順に従います。

パッケージをインストールする

テキストエディターで pom.xml ファイルを開きます。 BOM ファイルを含めるか、直接依存関係を含めることで、パッケージをインストールします。

BOM ファイルを含める

azure-sdk-bom を追加して、最新バージョンのライブラリへの依存関係を設定します。次のスニペットでは、{bom_version_to_target} プレースホルダーをバージョン番号に置き換えます。 azure-sdk-bom を使用すると、個々の依存関係のバージョンを指定する必要がなくなります。 BOM の詳細については、AZURE SDK BOM に関するページを参照してください。

<dependencyManagement>
    <dependencies>
        <dependency>
            <groupId>com.azure</groupId>
            <artifactId>azure-sdk-bom</artifactId>
            <version>{bom_version_to_target}</version>
            <type>pom</type>
            <scope>import</scope>
        </dependency>
    </dependencies>
</dependencyManagement>

依存関係のグループに、次の dependency 要素を追加します。 Azure サービスへのパスワードレス接続には、azure-identity 依存関係が必要です。

<dependency>
    <groupId>com.azure</groupId>
    <artifactId>azure-storage-file-datalake</artifactId>
</dependency>
<dependency>
      <groupId>com.azure</groupId>
      <artifactId>azure-storage-common</artifactId>
</dependency>
<dependency>
    <groupId>com.azure</groupId>
    <artifactId>azure-identity</artifactId>
</dependency>

直接依存関係を含める

特定のバージョンのライブラリに依存関係を持たせるには、プロジェクトに直接依存関係を追加します。

<dependency>
    <groupId>com.azure</groupId>
    <artifactId>azure-storage-file-datalake</artifactId>
    <version>{package_version_to_target}</version>
</dependency>
<dependency>
      <groupId>com.azure</groupId>
      <artifactId>azure-storage-common</artifactId>
      <version>{package_version_to_target}</version>
</dependency>
<dependency>
    <groupId>com.azure</groupId>
    <artifactId>azure-identity</artifactId>
    <version>{package_version_to_target}</version>
</dependency>

インポートディレクティブを含める

必要な import ディレクティブを追加します。この例では、"App.java" ファイルに次のディレクティブを追加します。

import com.azure.storage.common.StorageSharedKeyCredential;
import com.azure.storage.file.datalake.DataLakeDirectoryClient;
import com.azure.storage.file.datalake.DataLakeFileClient;
import com.azure.storage.file.datalake.DataLakeFileSystemClient;
import com.azure.storage.file.datalake.DataLakeServiceClient;
import com.azure.storage.file.datalake.DataLakeServiceClientBuilder;
import com.azure.storage.file.datalake.models.ListPathsOptions;
import com.azure.storage.file.datalake.models.PathItem;
import com.azure.storage.file.datalake.models.AccessControlChangeCounters;
import com.azure.storage.file.datalake.models.AccessControlChangeResult;
import com.azure.storage.file.datalake.models.AccessControlType;
import com.azure.storage.file.datalake.models.PathAccessControl;
import com.azure.storage.file.datalake.models.PathAccessControlEntry;
import com.azure.storage.file.datalake.models.PathPermissions;
import com.azure.storage.file.datalake.models.PathRemoveAccessControlEntry;
import com.azure.storage.file.datalake.models.RolePermissions;
import com.azure.storage.file.datalake.options.PathSetAccessControlRecursiveOptions;

アカウントに接続する

この記事のコード例を実行するには、ストレージアカウントを表す DataLakeServiceClient インスタンスを作成する必要があります。 Microsoft Entra ID の資格情報またはアカウントキーを使用してクライアントオブジェクトを認可できます。

Microsoft Entra ID (推奨)
アカウントキー

Java 用 Azure ID クライアントライブラリを使って、Microsoft Entra ID でアプリケーションを認証できます。

まず、次のいずれかのAzure ロールベースのアクセス制御 (Azure RBAC) ロールをセキュリティプリンシパルに割り当てる必要があります。

Role	ACL 設定機能
ストレージ BLOB データ所有者	アカウント内のすべてのディレクトリとファイル。
ストレージ BLOB データ共同作成者	セキュリティプリンシパルによって所有されているディレクトリとファイルのみ。

次に、DataLakeServiceClient インスタンスを作成し、DefaultAzureCredential クラスの新しいインスタンスを渡します。

static public DataLakeServiceClient GetDataLakeServiceClient(String accountName){
    DefaultAzureCredential defaultCredential = new DefaultAzureCredentialBuilder().build();

    DataLakeServiceClient dataLakeServiceClient = new DataLakeServiceClientBuilder()
        .endpoint("https://" + accountName + ".dfs.core.windows.net")
        .credential(defaultCredential)
        .buildClient();

    return dataLakeServiceClient;
}

DefaultAzureCredential を使ってデータへのアクセスを承認する方法について詳しくは、「Java 用 Azure ID クライアントライブラリ」をご覧ください。

アカウントアクセスキー (共有キー) を使用して、データへのアクセスを承認できます。この例では、アカウントキーで承認された DataLakeServiceClient インスタンスを作成します。

static public DataLakeServiceClient GetDataLakeServiceClient
(String accountName, String accountKey){
    StorageSharedKeyCredential sharedKeyCredential =
        new StorageSharedKeyCredential(accountName, accountKey);

    DataLakeServiceClient dataLakeServiceClient = new DataLakeServiceClientBuilder()
        .endpoint("https://" + accountName + ".dfs.core.windows.net")
        .credential(sharedKeyCredential)
        .buildClient();

    return dataLakeServiceClient;
}

注意事項

共有キーを使用した承認は、安全性が低い可能性があるため、お勧めしません。最適なセキュリティを確保するには、「Azure Storage アカウントの共有キーによる承認を禁止する」の説明に従って、ストレージアカウントの共有キーによる承認を無効にします。

アクセスキーと接続文字列の使用は、運用環境や機密データにアクセスしない概念実証アプリまたは開発プロトタイプに限定する必要があります。それ以外の場合は、Azure リソースに対する認証時に、Azure SDK で使用できるトークンベースの認証クラスを常に優先する必要があります。

Microsoft は、クライアントが Microsoft Entra ID または Shared Access Signature (SAS) を使って、Azure Storage 内のデータへのアクセスを認可することをお勧めします。詳細については、「Azure Storage 内のデータへのアクセスを承認する」を参照してください。

ACL を設定する

ACL を設定する場合は、ACL 全体 (そのすべてのエントリを含む) を置換します。セキュリティプリンシパルのアクセス許可レベルの変更または ACL への新しいセキュリティプリンシパルの追加を、他の既存のエントリに影響を与えることなく行いたい場合は、代わりに ACL を "更新" する必要があります。 ACL を置換するのでなく更新するには、この記事の「ACL を更新する」セクションを参照してください。

ACL を "設定" する場合は、所有ユーザーのエントリ、所有グループのエントリ、および他のすべてのユーザーのエントリを追加する必要があります。所有ユーザー、所有グループ、およびその他のすべてのユーザーの詳細については、「ユーザーと ID」を参照してください。

ここでは、次の操作方法について説明します。

ディレクトリの ACL を設定する
ファイルの ACL を設定する
ACL を再帰的に設定する

ディレクトリの ACL を設定する

この例では、my-directory という名前のディレクトリの ACL を取得して設定します。この例では、所有ユーザーには読み取り、書き込み、実行のアクセス許可を付与し、所有グループには読み取りと実行のアクセス許可のみを付与し、他のすべてのユーザーには読み取りアクセスを付与します。

  public void ManageDirectoryACLs(DataLakeFileSystemClient fileSystemClient){

      DataLakeDirectoryClient directoryClient =
        fileSystemClient.getDirectoryClient("");

      PathAccessControl directoryAccessControl =
          directoryClient.getAccessControl();

      List<PathAccessControlEntry> pathPermissions = directoryAccessControl.getAccessControlList();
     
      System.out.println(PathAccessControlEntry.serializeList(pathPermissions));
           
      RolePermissions groupPermission = new RolePermissions();
      groupPermission.setExecutePermission(true).setReadPermission(true);

      RolePermissions ownerPermission = new RolePermissions();
      ownerPermission.setExecutePermission(true).setReadPermission(true).setWritePermission(true);

      RolePermissions otherPermission = new RolePermissions();
      otherPermission.setReadPermission(true);

      PathPermissions permissions = new PathPermissions();

      permissions.setGroup(groupPermission);
      permissions.setOwner(ownerPermission);
      permissions.setOther(otherPermission);

      directoryClient.setPermissions(permissions, null, null);

      pathPermissions = directoryClient.getAccessControl().getAccessControlList();
   
      System.out.println(PathAccessControlEntry.serializeList(pathPermissions));

  }

また、コンテナのルートディレクトリの ACL を取得して設定することもできます。ルートディレクトリを取得するには、DataLakeFileSystemClient.getDirectoryClient メソッドに空の文字列 ("") を渡します。

ファイルの ACL を設定する

この例では、upload-file.txt という名前のファイルの ACL を取得して設定します。この例では、所有ユーザーには読み取り、書き込み、実行のアクセス許可を付与し、所有グループには読み取りと実行のアクセス許可のみを付与し、他のすべてのユーザーには読み取りアクセスを付与します。

 public void ManageFileACLs(DataLakeFileSystemClient fileSystemClient){

     DataLakeDirectoryClient directoryClient =
       fileSystemClient.getDirectoryClient("my-directory");

     DataLakeFileClient fileClient = 
       directoryClient.getFileClient("uploaded-file.txt");

     PathAccessControl fileAccessControl =
         fileClient.getAccessControl();

   List<PathAccessControlEntry> pathPermissions = fileAccessControl.getAccessControlList();
  
   System.out.println(PathAccessControlEntry.serializeList(pathPermissions));
        
   RolePermissions groupPermission = new RolePermissions();
   groupPermission.setExecutePermission(true).setReadPermission(true);

   RolePermissions ownerPermission = new RolePermissions();
   ownerPermission.setExecutePermission(true).setReadPermission(true).setWritePermission(true);

   RolePermissions otherPermission = new RolePermissions();
   otherPermission.setReadPermission(true);

   PathPermissions permissions = new PathPermissions();

   permissions.setGroup(groupPermission);
   permissions.setOwner(ownerPermission);
   permissions.setOther(otherPermission);

   fileClient.setPermissions(permissions, null, null);

   pathPermissions = fileClient.getAccessControl().getAccessControlList();

   System.out.println(PathAccessControlEntry.serializeList(pathPermissions));

 }

ACL を再帰的に設定する

DataLakeDirectoryClient.setAccessControlRecursive メソッドを呼び出すことによって、ACL を再帰的に設定します。このメソッドに PathAccessControlEntry オブジェクトの List を渡します。 PathAccessControlEntry はそれぞれ ACL エントリを定義します。

既定の ACL エントリを設定する場合は、PathAccessControlEntry の setDefaultScope メソッドを呼び出し、true の値を渡すことができます。

この例では、my-parent-directory という名前のディレクトリの ACL を設定します。このメソッドは、既定の ACL を設定するかどうかを指定する isDefaultScope という名前のブール型パラメーターを受け取ります。そのパラメーターは、PathAccessControlEntry の setDefaultScope メソッドを呼び出すたびに使用されます。これらの ACL エントリでは、所有ユーザーには読み取り、書き込み、実行のアクセス許可を付与し、所有グループには読み取りと実行のアクセス許可のみを付与し、他のすべてのユーザーにはアクセスを許可しません。この例の最後の ACL エントリでは、"xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx" というオブジェクト ID を持つ特定のユーザーに、読み取りと実行のアクセス許可を付与しています。

public void SetACLRecursively(DataLakeFileSystemClient fileSystemClient, Boolean isDefaultScope){
    
    DataLakeDirectoryClient directoryClient =
        fileSystemClient.getDirectoryClient("my-parent-directory");

    List<PathAccessControlEntry> pathAccessControlEntries = 
        new ArrayList<PathAccessControlEntry>();

    // Create owner entry.
    PathAccessControlEntry ownerEntry = new PathAccessControlEntry();

    RolePermissions ownerPermission = new RolePermissions();
    ownerPermission.setExecutePermission(true).setReadPermission(true).setWritePermission(true);

    ownerEntry.setDefaultScope(isDefaultScope);
    ownerEntry.setAccessControlType(AccessControlType.USER);
    ownerEntry.setPermissions(ownerPermission);

    pathAccessControlEntries.add(ownerEntry);

    // Create group entry.
    PathAccessControlEntry groupEntry = new PathAccessControlEntry();

    RolePermissions groupPermission = new RolePermissions();
    groupPermission.setExecutePermission(true).setReadPermission(true).setWritePermission(false);

    groupEntry.setDefaultScope(isDefaultScope);
    groupEntry.setAccessControlType(AccessControlType.GROUP);
    groupEntry.setPermissions(groupPermission);

    pathAccessControlEntries.add(groupEntry);

    // Create other entry.
    PathAccessControlEntry otherEntry = new PathAccessControlEntry();

    RolePermissions otherPermission = new RolePermissions();
    otherPermission.setExecutePermission(false).setReadPermission(false).setWritePermission(false);

    otherEntry.setDefaultScope(isDefaultScope);
    otherEntry.setAccessControlType(AccessControlType.OTHER);
    otherEntry.setPermissions(otherPermission);

    pathAccessControlEntries.add(otherEntry);

    // Create named user entry.
    PathAccessControlEntry userEntry = new PathAccessControlEntry();

    RolePermissions userPermission = new RolePermissions();
    userPermission.setExecutePermission(true).setReadPermission(true).setWritePermission(false);

    userEntry.setDefaultScope(isDefaultScope);
    userEntry.setAccessControlType(AccessControlType.USER);
    userEntry.setEntityId("xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx");
    userEntry.setPermissions(userPermission);    
    
    pathAccessControlEntries.add(userEntry);
    
    directoryClient.setAccessControlRecursive(pathAccessControlEntries);        

}

ACL を更新する

ACL を "更新する" 場合は、ACL を置換するのでなく ACL を変更します。たとえば、ACL にリストされている他のセキュリティプリンシパルに影響を与えることなく、新しいセキュリティプリンシパルを ACL に追加することができます。 ACL を更新するのでなく、置換する場合は、この記事の「ACL を設定する」セクションを参照してください。

ここでは、次の操作方法について説明します。

ACL を更新する
ACL を再帰的に更新する

ACL を更新する

まず、PathAccessControl.getAccessControlList メソッドを呼び出して、ディレクトリの ACL を取得します。 ACL エントリの一覧を PathAccessControlListEntry 型の新しい List オブジェクトにコピーします。次に、一覧内で更新するエントリを見つけて、置き換えます。 DataLakeDirectoryClient.setAccessControlList メソッドを呼び出して ACL を設定します。

この例では、他のすべてのユーザーのエントリを置き換えることで、my-parent-directory という名前のディレクトリの ACL を更新します。

   public void UpdateACL(DataLakeFileSystemClient fileSystemClient, Boolean isDefaultScope){

       DataLakeDirectoryClient directoryClient =
       fileSystemClient.getDirectoryClient("my-parent-directory");

       List<PathAccessControlEntry> pathAccessControlEntries = 
           directoryClient.getAccessControl().getAccessControlList();

       int index = -1;

       for (PathAccessControlEntry pathAccessControlEntry : pathAccessControlEntries){
           
           if (pathAccessControlEntry.getAccessControlType() == AccessControlType.OTHER){
               index = pathAccessControlEntries.indexOf(pathAccessControlEntry);
               break;
           }
       }

       if (index > -1){

       PathAccessControlEntry userEntry = new PathAccessControlEntry();

       RolePermissions userPermission = new RolePermissions();
       userPermission.setExecutePermission(true).setReadPermission(true).setWritePermission(true);

       userEntry.setDefaultScope(isDefaultScope);
       userEntry.setAccessControlType(AccessControlType.OTHER);
       userEntry.setPermissions(userPermission);  
       
       pathAccessControlEntries.set(index, userEntry);
       }

       directoryClient.setAccessControlList(pathAccessControlEntries, 
           directoryClient.getAccessControl().getGroup(), 
           directoryClient.getAccessControl().getOwner());
   
   }

ACL を再帰的に更新する

ACL を再帰的に更新するには、更新したい ACL エントリを含む新しい ACL オブジェクトを作成してから、そのオブジェクトを ACL の更新操作で使用します。既存の ACL は取得せずに、更新する ACL エントリを指定するだけです。

DataLakeDirectoryClient.updateAccessControlRecursive メソッドを呼び出して、ACL を再帰的に更新します。このメソッドに PathAccessControlEntry オブジェクトの List を渡します。 PathAccessControlEntry はそれぞれ ACL エントリを定義します。

既定の ACL エントリを更新する場合は、PathAccessControlEntry の setDefaultScope メソッドを呼び出し、true の値を渡すことができます。

この例では、書き込みアクセス許可を持つ ACL エントリを更新します。このメソッドは、既定の ACL を更新するかどうかを指定する isDefaultScope という名前のブール型パラメーターを受け取ります。そのパラメーターは、PathAccessControlEntry の setDefaultScope メソッドの呼び出しに使用されます。

public void UpdateACLRecursively(DataLakeFileSystemClient fileSystemClient, Boolean isDefaultScope){

    DataLakeDirectoryClient directoryClient =
    fileSystemClient.getDirectoryClient("my-parent-directory");

    List<PathAccessControlEntry> pathAccessControlEntries = 
        new ArrayList<PathAccessControlEntry>();

    // Create named user entry.
    PathAccessControlEntry userEntry = new PathAccessControlEntry();

    RolePermissions userPermission = new RolePermissions();
    userPermission.setExecutePermission(true).setReadPermission(true).setWritePermission(true);

    userEntry.setDefaultScope(isDefaultScope);
    userEntry.setAccessControlType(AccessControlType.USER);
    userEntry.setEntityId("xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx");
    userEntry.setPermissions(userPermission);    
    
    pathAccessControlEntries.add(userEntry);
    
    directoryClient.updateAccessControlRecursive(pathAccessControlEntries);        

}

ACL エントリを削除する

1 つ以上の ACL エントリを削除できます。ここでは、次の操作方法について説明します。

ACL エントリを削除する
ACL エントリを再帰的に削除する

ACL エントリを削除する

まず、PathAccessControl.getAccessControlList メソッドを呼び出して、ディレクトリの ACL を取得します。 ACL エントリの一覧を PathAccessControlListEntry 型の新しい List オブジェクトにコピーします。次に、削除するエントリを見つけて、List オブジェクトのRemove メソッドを呼び出します。 DataLakeDirectoryClient.setAccessControlList メソッドを呼び出して、更新された ACL を設定します。

 public void RemoveACLEntry(DataLakeFileSystemClient fileSystemClient, Boolean isDefaultScope){

     DataLakeDirectoryClient directoryClient =
     fileSystemClient.getDirectoryClient("my-parent-directory");

     List<PathAccessControlEntry> pathAccessControlEntries = 
         directoryClient.getAccessControl().getAccessControlList();

     PathAccessControlEntry entryToRemove = null;

     for (PathAccessControlEntry pathAccessControlEntry : pathAccessControlEntries){
         
         if (pathAccessControlEntry.getEntityId() != null){

             if (pathAccessControlEntry.getEntityId().equals("xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx")){
                 entryToRemove = pathAccessControlEntry;
                 break;
             }
         }

     }

     if (entryToRemove != null){
         
         pathAccessControlEntries.remove(entryToRemove);

         directoryClient.setAccessControlList(pathAccessControlEntries, 
         directoryClient.getAccessControl().getGroup(), 
         directoryClient.getAccessControl().getOwner());   
     }

 
 }

ACL エントリを再帰的に削除する

ACL エントリを再帰的に削除するには、削除する ACL エントリ用に新しい ACL オブジェクトを作成してから、そのオブジェクトを ACL の削除操作で使用します。既存の ACL は取得せずに、削除する ACL エントリを指定するだけです。

DataLakeDirectoryClient.removeAccessControlRecursive メソッドを呼び出すことによって、ACL を再帰的に削除します。このメソッドに PathAccessControlEntry オブジェクトの List を渡します。 PathAccessControlEntry はそれぞれ ACL エントリを定義します。

既定の ACL エントリを削除する場合は、PathAccessControlEntry の setDefaultScope メソッドを呼び出し、true の値を渡すことができます。

この例では、my-parent-directory という名前のディレクトリの ACL から ACL エントリを削除します。このメソッドは、既定の ACL からエントリを削除するかどうかを指定する isDefaultScope という名前のブール型パラメーターを受け取ります。そのパラメーターは、PathAccessControlEntry の setDefaultScope メソッドの呼び出しに使用されます。

  public void RemoveACLEntryRecursively(DataLakeFileSystemClient fileSystemClient, Boolean isDefaultScope){

      DataLakeDirectoryClient directoryClient =
      fileSystemClient.getDirectoryClient("my-parent-directory");

      List<PathRemoveAccessControlEntry> pathRemoveAccessControlEntries = 
          new ArrayList<PathRemoveAccessControlEntry>();

      // Create named user entry.
      PathRemoveAccessControlEntry userEntry = new PathRemoveAccessControlEntry();

      RolePermissions userPermission = new RolePermissions();
      userPermission.setExecutePermission(true).setReadPermission(true).setWritePermission(true);

      userEntry.setDefaultScope(isDefaultScope);
      userEntry.setAccessControlType(AccessControlType.USER);
      userEntry.setEntityId("xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx"); 
      
      pathRemoveAccessControlEntries.add(userEntry);
      
      directoryClient.removeAccessControlRecursive(pathRemoveAccessControlEntries);      
  
  }

エラーからの復旧

実行時エラーまたはアクセス許可エラーが発生する可能性があります。実行時エラーが発生した場合は、プロセスを最初から再開します。アクセス許可エラーは、セキュリティプリンシパルに、変更対象のディレクトリ階層内にあるディレクトリまたはファイルの ACL を変更するための十分なアクセス許可がない場合に発生する可能性があります。アクセス許可の問題を解決してから、継続トークンを使用してエラーの発生時点からプロセスを再開するか、最初からプロセスを再開するかを選択します。最初から再開する場合は、継続トークンを使用する必要はありません。 ACL エントリは、悪影響を及ぼすことなく再適用できます。

この例では、エラーが発生した場合に継続トークンを返します。アプリケーションでは、エラーが解決された後にこの例のメソッドを再び呼び出し、継続トークンを渡すことができます。この例のメソッドが初めて呼び出される場合は、アプリケーションで継続トークンパラメーターに対して null の値を渡すことができます。

public String ResumeSetACLRecursively(DataLakeFileSystemClient fileSystemClient,
    DataLakeDirectoryClient directoryClient,
    List<PathAccessControlEntry> accessControlList, 
    String continuationToken){

    try{
        PathSetAccessControlRecursiveOptions options = new PathSetAccessControlRecursiveOptions(accessControlList);
        
        options.setContinuationToken(continuationToken);
    
       Response<AccessControlChangeResult> accessControlChangeResult =  
          directoryClient.setAccessControlRecursiveWithResponse(options, null, null);

       if (accessControlChangeResult.getValue().getCounters().getFailedChangesCount() > 0)
       {
          continuationToken =
              accessControlChangeResult.getValue().getContinuationToken();
       }
    
       return continuationToken;

    }
    catch(Exception ex){
    
        System.out.println(ex.toString());
        return continuationToken;
    }


}

アクセス許可エラーによって中断されずにプロセスを完了したい場合は、それを指定できます。

プロセスが中断されずに確実に完了されるようにするには、PathSetAccessControlRecursiveOptions オブジェクトの setContinueOnFailure メソッドを呼び出し、値 true を渡します。

この例では、ACL エントリを再帰的に設定します。このコードでアクセス許可エラーが発生した場合は、そのエラーが記録されて、実行が継続されます。この例では、エラーの数をコンソールに出力します。

public void ContinueOnFailure(DataLakeFileSystemClient fileSystemClient,
    DataLakeDirectoryClient directoryClient,
    List<PathAccessControlEntry> accessControlList){
    
    PathSetAccessControlRecursiveOptions options = 
       new PathSetAccessControlRecursiveOptions(accessControlList);
        
    options.setContinueOnFailure(true);
    
    Response<AccessControlChangeResult> accessControlChangeResult =  
        directoryClient.setAccessControlRecursiveWithResponse(options, null, null);

    AccessControlChangeCounters counters = accessControlChangeResult.getValue().getCounters();

    System.out.println("Number of directories changes: " + 
        counters.getChangedDirectoriesCount());

    System.out.println("Number of files changed: " + 
        counters.getChangedDirectoriesCount());

    System.out.println("Number of failures: " + 
        counters.getChangedDirectoriesCount());
}

ベストプラクティス

このセクションでは、ACL を再帰的に設定するためのベストプラクティスガイドラインについて説明します。

実行時エラーの処理

実行時エラーは、さまざまな理由で発生する可能性があります (たとえば、停電やクライアント接続の問題など)。実行時エラーが発生した場合は、再帰的な ACL プロセスを再開します。 ACL は、悪影響を及ぼすことなく項目に再適用できます。

アクセス許可エラー (403) の処理

再帰的な ACL プロセスの実行中にアクセス制御の例外が発生した場合、AD のセキュリティプリンシパルに、ディレクトリ階層内にある 1 つ以上の子項目に ACL を適用するための十分なアクセス許可がない可能性があります。アクセス許可エラーが発生すると、プロセスが停止し、継続トークンが提供されます。アクセス許可の問題を修正してから、継続トークンを使用して残りのデータセットを処理します。既に正常に処理済みのディレクトリとファイルをもう一度処理する必要はありません。再帰的な ACL プロセスを再開することも選択できます。 ACL は、悪影響を及ぼすことなく項目に再適用できます。

資格情報

ターゲットストレージアカウントまたはコンテナーのスコープでストレージ BLOB データ所有者ロールが割り当てられている、Microsoft Entra セキュリティプリンシパルをプロビジョニングすることをお勧めします。

パフォーマンス

待機時間を短縮するには、ストレージアカウントと同じリージョンにある Azure 仮想マシン (VM) で再帰的な ACL プロセスを実行することをお勧めします。

ACL の制限

ディレクトリまたはファイルに適用できる ACL の最大数は、アクセス ACL が 32 個と既定 ACL が 32 個です。詳細については、Azure Data Lake Storage Gen2 でのアクセス制御に関するページを参照してください。

次の方法で共有

Azure Data Lake Storage で Java を使用して ACL を管理する

前提条件

プロジェクトの設定

パッケージをインストールする

BOM ファイルを含める

直接依存関係を含める

インポートディレクティブを含める

アカウントに接続する

ACL を設定する

ディレクトリの ACL を設定する

ファイルの ACL を設定する

ACL を再帰的に設定する

ACL を更新する

ACL を更新する

ACL を再帰的に更新する

ACL エントリを削除する

ACL エントリを削除する

ACL エントリを再帰的に削除する

エラーからの復旧

ベストプラクティス

実行時エラーの処理

アクセス許可エラー (403) の処理

資格情報

パフォーマンス

ACL の制限

関連項目

フィードバック

その他のリソース

次の方法で共有

Azure Data Lake Storage で Java を使用して ACL を管理する

前提条件

プロジェクトの設定

パッケージをインストールする

BOM ファイルを含める

直接依存関係を含める

インポート ディレクティブを含める

アカウントに接続する

ACL を設定する

ディレクトリの ACL を設定する

ファイルの ACL を設定する

ACL を再帰的に設定する

ACL を更新する

ACL を更新する

ACL を再帰的に更新する

ACL エントリを削除する

ACL エントリを削除する

ACL エントリを再帰的に削除する

エラーからの復旧

ベスト プラクティス

実行時エラーの処理

アクセス許可エラー (403) の処理

資格情報

パフォーマンス

ACL の制限

関連項目

フィードバック

その他のリソース

インポートディレクティブを含める

ベストプラクティス