ACLの基本構造と役割を整理する
ServiceNowのACL（Access Control List）は、**「誰が・何に・何をできるか」**を制御する仕組みです。
ACLには大きく分けて以下の2種類があります。
Table ACL（テーブルACL）
- 対象：テーブル全体
- 制御内容：read / write / create / delete
- 例：incidentテーブルを「読む」権限があるか
特徴
- そのテーブルにアクセスできるかどうかの「大枠」を決める
- 最初に評価される重要な関門
Field ACL（フィールドACL）
- 対象：特定のフィールド
- 制御内容：主にread / write
- 例：incident.short_description を「読む」権限があるか
特徴
- フィールド単位で、より細かい制御が可能
- 個人情報・機密情報の制御に必須
👉 ポイント
Table ACLは「建物に入れるか」、Field ACLは「部屋に入れるか」というイメージです。
本番形式で慣れるのが合格への近道。UdemyのServiceNow模擬問題集を人気順で一覧比較できます👇
Table ACLとField ACLの優先順位【結論と理由】
結論：Field ACLが最優先
ServiceNowのACL評価は、常に最も厳しい条件が適用されます。
評価の考え方は以下の通りです。
- Table ACLが評価される
- NG → その時点でアクセス不可
- Field ACLが評価される
- NG → フィールドへのアクセス不可
つまり、
| Table ACL | Field ACL | 結果 |
|---|---|---|
| 許可 | 許可 | アクセス可 |
| 許可 | 拒否 | ❌ アクセス不可 |
| 拒否 | 許可 | ❌ アクセス不可 |
| 拒否 | 拒否 | ❌ アクセス不可 |
**Field ACLは「上書き」ではなく「最終チェック」**と考えると理解しやすくなります。
なぜこの仕様なのか？
- 個人情報や機密情報を確実に守るため
- テーブル全体は見せても、特定フィールドは隠したいケースが多いため
この設計思想は、セキュリティ優先のServiceNowらしい挙動です。
CSA試験での出題パターンと引っかけポイント
CSA試験では、ACLの問題は表現がややこしいのが特徴です。
よくある出題例
- 「ユーザーはレコードを見られるが、特定フィールドが空白になる。なぜか？」
- 「Table ACLは許可されているのに、値が表示されない理由は？」
👉 正解パターン
- Field ACLが未定義 or 条件不一致で拒否されている
引っかけポイント
- 「Table ACLがある＝全部見える」と思わせる
- Field ACLの存在を忘れさせる
- UIポリシーやClient Scriptと混同させる
試験対策の鉄則
フィールドが見えない問題は、まずField ACLを疑う
この一文を覚えておくだけで、ACL系の問題はかなり安定します。
実務でよくある事故パターンと安全な設計指針
事故パターン①：Field ACLの作り忘れ
- 個人情報フィールドを追加
- Table ACLのみ設定
- 結果：全ユーザーに見えてしまう
👉 対策
- 機密フィールド追加時は、必ずField ACLをセットで作成
事故パターン②：Field ACLのscript条件が厳しすぎる
- role判定 + script条件を複雑化
- 管理者以外が見えなくなる
👉 対策
- script条件は最小限
- まずroleで制御、scriptは補助的に使う
安全なACL設計の原則
- Table ACL：大枠
- Field ACL：最終防衛ライン
- 「どちらが優先？」ではなく「両方通って初めてOK」
この考え方を持つと、設計ミスが激減します。
ACL理解を一気に固めるおすすめ学習方法
ACLはドキュメントだけだと理解したつもりで終わりやすい分野です。
特にCSA対策では、画面を見ながら動きを確認する学習が圧倒的に効きます。
Udemyをおすすめする理由
- ACL評価の流れを実画面で確認できる
- Table / Field ACLの挙動を比較しながら学べる
- CSA頻出ポイントに絞って解説されている
「なぜ見えないのか？」を自分の目で確認する経験が、試験でも実務でも強力な武器になります。
👉 ServiceNow関連のUdemy講座をいくつか見比べて、自分に合うものを選ぶのがおすすめです。
本番形式で慣れるのが合格への近道。UdemyのServiceNow模擬問題集を人気順で一覧比較できます👇
まとめ
ServiceNowのACLで迷ったら、以下を思い出してください。
- Field ACLが最優先
- Table ACLは入口、Field ACLは最終チェック
- どちらか一方でもNGならアクセス不可
- 試験では「フィールドが見えない＝Field ACL」を疑う
- 実務ではField ACLを作り忘れないことが最大の事故防止
ACLは最初は難しく感じますが、評価順序が腹落ちすると一気に楽になります。
CSA合格、そして実務で「ACLに強い人」になるために、ぜひこの考え方を自分の中に定着させてください。
