ServiceNow Zurichで失敗しないACL設計｜試験と実務で必ず押さえるポイント

ZurichでACL設計が重要視される理由

ServiceNowを学習・運用する上で、**ACL（Access Control List）**は避けて通れない重要テーマです。特にZurichバージョン以降、ACLは「設定項目のひとつ」ではなく、「設計思想そのもの」として理解しているかどうかが問われるようになりました。

従来のバージョンでは、最低限のACLを設定していても大きな問題にならないケースがありました。しかしZurichでは、セキュリティ設計・権限分離・内部統制といった観点がより強く意識され、曖昧なACL設計はリスクそのものとして扱われます。

特にCSA試験では、

• なぜそのACLが必要なのか
• ロールと条件のどちらで制御すべきか
• テーブルACLとフィールドACLの使い分け

といった「考え方」が問われます。単なる暗記では対応できず、ACLの評価ロジックを理解しているかが合否を分けるポイントになります。

また実務面でも、Zurich以降はアプリケーションの標準セキュリティが強化されており、既存ACLとの競合や想定外のアクセス制限が発生しやすくなっています。
そのため、正しい設計原則を理解した上でACLを組み立てる力が、これまで以上に重要になっています。

Zurich対応ACLの基本構造と評価順序

ZurichでACLを正しく設計するためには、まずACLの評価順序を正確に理解する必要があります。ServiceNowのACLは「どれか一つ通ればOK」ではなく、複数の条件をすべて満たす必要がある仕組みです。

ACL評価の基本ルール

• テーブルACL → フィールドACLの順で評価される
• 条件（Condition）とスクリプト（Script）はAND条件
• ロール指定がある場合、すべてのロールを保持している必要がある

つまり、ACLが1つでもNGであれば、その操作は拒否されます。

Zurichでは特に、フィールドACLの存在を意識せずに設計されたACLが問題になるケースが増えています。
「テーブルで許可したのに編集できない」というトラブルの多くは、フィールドACLが原因です。

また、read / write / create / delete それぞれの操作でACLが独立して評価される点も重要です。
readが通ってもwriteが通らない、という状況は設計上よく発生します。

CSA試験では、

• どのACLが評価されるか
• なぜアクセスできないのか
  をロジカルに説明できるかが問われます。評価順序を曖昧に覚えている状態では、確実に失点します。

よくあるACL設計ミスと失敗パターン

Zurich対応で特に多いACL設計ミスには、いくつか共通パターンがあります。

ロールに頼りすぎるACL設計

ロールだけで制御しようとすると、ロールの肥大化が発生します。
Zurichでは標準アプリとの整合性がより重要になっているため、無理なロール設計は後々大きな負債になります。

Script ACLの乱用

Script ACLは柔軟ですが、可読性・保守性・パフォーマンスの観点でリスクがあります。
「条件で書けるものはConditionで書く」が基本原則です。

フィールドACLを意識していない

テーブルACLだけを見て「設定したつもり」になるのは危険です。
Zurichでは、標準でフィールドACLが定義されているケースが増えており、意図しない制限が起きやすくなっています。

グローバルACLの影響を把握していない

グローバルACLは強力ですが、影響範囲も広くなります。
「なぜここまで影響が出るのか分からない」という状態は、設計として失敗です。

これらのミスはすべて、ACLの評価構造を理解していないことが原因です。
CSA試験でも、こうした失敗例を前提とした問題が出題されるため注意が必要です。

パフォーマンスと保守性を意識したACL設計

Zurichでは、セキュリティだけでなくパフォーマンスと運用性も重視したACL設計が求められます。

設計の基本原則

• Script ACLは最小限にする
• 条件は可能な限りシンプルに
• 再利用できるロール設計を意識する

特にScript ACLは、リクエストごとに評価されるため、数が増えるほどパフォーマンスに影響します。
「とりあえずScriptで」という考え方は、Zurich以降では避けるべきです。

また、将来的な運用を考えると、第三者が見て理解できるACLであることも重要です。
属人化したACLは、引き継ぎや拡張時に大きな問題になります。

実務・試験の両面で共通するのは、「なぜこの設計なのかを説明できるか」です。
それができるACLは、自然とシンプルで保守性の高いものになります。

CSA試験対策としてのACL学習法とUdemy活用

CSA試験においてACLは、確実に得点すべき分野です。
理由はシンプルで、「理解していれば解ける問題」が多いからです。

おすすめの学習ステップは以下です。

1. ACLの評価順序を図で理解する
2. テーブルACLとフィールドACLの違いを整理
3. ロール・条件・スクリプトの使い分けを理解
4. 実際の設定画面を見ながら確認する

このプロセスを効率よく進める手段として、UdemyのServiceNow講座は非常に有効です。
動画でACLの評価フローを確認できるため、「なぜ通らないのか」が感覚的に理解できるようになります。

書籍や公式ドキュメントだけでは分かりにくい部分も、Udemy講座なら実画面ベースで学習できるため、CSA試験対策としても実務理解としても効果的です。

まとめ

Zurich時代のACLは「考え方」で差がつく

ServiceNow ZurichにおけるACL設計は、単なる設定作業ではなく設計力そのものが問われる領域です。
評価順序・ロール設計・条件とスクリプトの使い分けを理解していないと、試験でも実務でも必ずつまずきます。

逆に言えば、ACLを正しく理解できれば、CSA試験では安定した得点源になりますし、実務でも信頼される設計ができるようになります。

これからServiceNow資格取得を目指す方は、ぜひUdemyなどの教材を活用しながら、ACLを「暗記」ではなく「理解」する学習を進めてみてください。
Zurich時代のServiceNowでは、その差が確実に結果として現れます。