Confluence Server および Data Center での削除権

バージョンの互換性

Confluence 5.10 以降。

説明

特定のユーザーの個人データが Confluence の複数のコンポーネントに分散されている場合があります。

ユーザーのアカウントレベルの個人データ

ユーザーのアカウントレベルの個人データのすべての領域については「Confluence: データ主体のアクセス権」をご参照ください。アカウントレベルの個人データは、Confluence マクロを通じてページ内で使用される可能性があり、検索対象で、ユーザー メンション機能の一部になります。

アカウントレベルの個人データを削除すると、ユーザーのアカウントレベルの個人データ (アバター、表示名、およびすべてのプロファイル情報を含む) は検索対象から除外され、そのユーザーのユーザー名はコンテンツの作成者として表示されなくなります。また、そのユーザー名にメンションすることもできなくなります。

アカウントレベルの個人データの削除方法は、Confluence バージョンによって異なります。

• Confluence 6.13 以降の場合、ユーザーを削除すると、アカウントレベルの個人データは自動的に削除されます。ユーザー アカウントの削除方法についてご確認ください。 
• Confluence 6.12 以前では、アカウントレベルの個人データは後述の "ユーザーのアカウントレベルの個人データ" SQL 回避策を使用して手動で削除できます。 

ファイルシステム

検索インデックス

検索プラットフォームが Lucene の場合、検索インデックスは /index の下の Confluence ホーム ディレクトリにファイルとして保存されます。検索プラットフォームが OpenSearch の場合、検索インデックスは OpenSearch 内に保存されます。

これらのインデックスには、表示名、メール アドレス、ユーザー名などの情報が含まれており、これらもデータベースに保存されます。これらは検索機能に不可欠な情報です。

Confluence 6.13 以降では、ユーザー アカウントの削除後、そのユーザーが作成、投稿、またはメンションしたすべてのコンテンツが自動的に再インデックスされます。 

Confluence 6.12 以前では、 "ユーザーのアカウントレベルの個人データ" SQL 回避策でインデックスの更新をトリガーし、インデックスからユーザーの個人データを削除します。管理者は、「Confluence Server コンテンツ インデックスをゼロから再作成する方法」の手順に従って、インデックスを再構築することもできます。"ユーザーのアカウントレベルの個人データ" SQL 回避策のセクションのすべての手順に従った場合、インデックスの再構築は不要です。

アクセス ログの場所

アクセス ログは、Confluence 7.11 から既定で有効になります。「Tomcat の valve コンポーネントを使用した Confluence の監査」および「ユーザー アクセスのログ記録の有効化」の手順に従うことで、以前のバージョンでも有効化できます。アクセス ログの記録が有効になっている場合、ページや一部の URL にアクセスしたユーザーのユーザー名がアクセス ログ ファイル内に残ります。これらのログに Confluence から直接アクセスすることはできませんが、管理者はこのログにアクセスできます。

ログ ファイルに保存される可能性がある個人データの抜粋を、以下に示します。

• IP アドレス
• ユーザー名 / 表示名
• メール アドレス

アクセス ログは、<confluence install>/logs/conf_access_log.log にあります (Confluence 7.11 以降または「Tomcat の valve コンポーネントを使用した Confluence の監査」の手順で作成した場合)。アクセス ログ データは、<confluence home>/logs/atlassian-confluence.log.  にあるアプリケーション ログにも書き込むことができます。

設定オプションやサードパーティ製アドオンによって、ログ パラメーター (ログ ファイルの場所やコンテンツ) は異なる可能性がある点にご注意ください。ログのコンテンツを確認し、必要に応じて削除することをおすすめします。

データ パイプラインのエクスポート ファイルの場所

Confluence 7.12 以降では、システム管理者はデータ パイプライン機能を使用して Confluence データベースから現在のステータス データをエクスポートし、外部のビジネス インテリジェンス ツールで分析できます。データは CSV 形式でエクスポートされて <confluence home>/data-pipeline/ ディレクトリに保存されます。このディレクトリは、非クラスタ インストールの場合はローカル ホーム ディレクトリに、Confluence がクラスタで実行されている場合は共有ホーム ディレクトリにあります。

エクスポート ファイルに保存される可能性がある個人データのリスト

• ユーザー名 / 表示名
• メール アドレス
• スペース タイトル、ページ タイトル、未処理のページ コンテンツ、未処理のコメント コンテンツを含むフリー テキスト。

管理者はこれらのエクスポートされたコンテンツを確認して、必要に応じて削除することをお勧めします。

個人用スペース

個人用スペースはユーザーが作成したスペースで、スペース キーはユーザー名になります。この個人用スペースにリンクするコンテンツを Confluence で作成した場合、リンクには URL の一部として、個人用スペースを所有するユーザーのユーザー名が含まれます。Confluence からユーザーを削除しても、個人用スペースが削除されたり、URL が変更されたりすることはありません。ただし、リンク先のページを移動すると、URL も更新されます。 

管理者が個人用スペース内のコンテンツを保持したいが、URL からユーザー名を削除する必要がある場合、コンテンツを新しいスペースに移動してから個人用スペースを削除する必要があります。

ページを新しいスペースに移動する

新しいスペースを作成し、「ページの移動と並べ替え」の手順に従います。移動されたページにリンクしているすべての URL を更新して、これらの URL で今後ユーザー名が表示されないようにします。

個人用スペースを削除する

管理者は、「スペースの削除」の手順に従って個人用スペースを削除することもできます。管理者は「スペース権限の割り当て」の手順に従い、スペースで自身に削除権限を付与する必要がある場合があります。

Confluence REST API ドキュメントに記載されている、スペース削除用の REST API を使用することもできます。 

制限事項

ユーザー名を含む URL は、Confluence の "ページにリンク" 機能を使用して作成する必要があります。これらのリンクをダイレクト Web リンクとして追加した場合、それらは自動的には更新されません。

コンテンツの特定のタイプへのリンクの詳細については、「リンク」を参照してください。 

データベースに含まれる、フリーフォーム テキスト形式の個人データ

Confluence のデータベースに保存されている可能性があるその他の潜在的な個人データは、次のとおりです。

• Atlassian Marketplace のサードパーティ アドオンで追加される可能性がある、ページ、ブログ、コメント、およびその他のカスタム コンテンツに含まれるフリーフォーム テキスト。
• ユーザー名が上書きされた、メンション内のフリーフォーム テキスト。
• 監査ログには、Confluence への設定変更の情報が含まれます。これらの監査ログは、変更を実行したユーザーのユーザー名を保存します。
• カスタムのサイト ヘッダーおよびフッター、サイト タイトル、カスタム ユーザー マクロやテンプレートなどの Confluence へのカスタマイズに含まれる、フリーフォーム テキスト。

コンテンツに含まれる、フリーフォーム テキスト形式の個人データ (ページ、ブログ、コメント)

ページ、ブログ、コメント、およびその他のコンテンツに含まれるフリーフォーム テキスト形式については、ユーザーが削除を依頼した個人データのソースを特定するために検索機能を使用する必要があります。個人データを見つけるために使用できるフィールドや構文の一覧については、「Confluence の検索フィールド」を参照してください。

削除が必要な個人データがページやコメントに含まれていることがわかったら、管理者はページを編集してそのデータを削除する必要があります。ただし、Confluence はページの過去のバージョンを保存します。ページ履歴の削除リンクをクリックすることで、これらを手動で削除する必要がある場合があります。一括削除が必要な場合、「SQL コマンドを使用してデータベースでページの過去のすべてのバージョンを手動で削除する方法」の手順に従ってください。 

メンションに含まれる、フリーフォーム テキスト形式の個人データ

ページに表示されるメンション名を、下の名前のみを含めたり、任意の名前にするように変更すると、それはフリーフォーム テキスト形式と見なされます。このフリーフォーム テキストは、ユーザー アカウントの削除後も表示されます。 

監査ログ

監査ログには保持期限を定義できます (既定では 3 年)。これは変更でき、Confluence は古いエントリを自動的に削除します。これらの管理の詳細については、「Confluence での監査」をお読みください。

Confluence のカスタマイズや設定に含まれる、フリーフォーム テキスト形式の個人データ

Confluence の設定の一環として管理者が個人データを追加する可能性がある、さまざまなフリーフォーム テキスト形式のフィールドがあります。管理者は適用されているカスタマイズを確認し、削除されたユーザーの個人データが残っているかどうかを確認する必要があります。

抜粋を、以下に示します。

Synchrony データ

共同編集を有効にしている場合、エディタでのすべてのキーストロークは Synchrony によって Confluence データベースに保存されます。つまり、ユーザーの氏名、ユーザー名、またはエディタで入力したその他の個人情報への参照はデータベースの Synchrony テーブルに残り、ページやコメント コンテンツとは異なる場所に保存されます。このデータは、ページやコメント自体が削除されたあとでも、関連する Synchrony テーブル内に残ります。 

Confluence 7.0 以降では、Synchrony データを削除するための 2 つのスケジュール ジョブを提供しています。

• Synchrony のデータ エビクション (ソフト) ジョブは、過去 3 日間変更されておらず、アクティブなエディタ セッションがないページ / ブログ投稿のすべての Synchrony データを削除します。このジョブは既定では 10 分ごとに実行され、データベース テーブルのサイズを抑えるのに役立ちます。 
• Synchrony のデータ エビクション (ハード) ジョブは、最近変更されたかどうかにかかわらず、15 日以上経過したページ / ブログ投稿のすべての Synchrony データを削除します。このジョブは既定では無効になっていますが、定期的に実行するようにスケジュールできます。このジョブにより、データベースに 15 日より古い Synchrony データを残さないようにできます。 

詳しくは「Synchrony データを削除する方法」を参照してください。 

Confluence 6.x バージョンには、このデータを削除するための回避策があります。 

ブラウザのキャッシュ

ブラウザはパフォーマンス上の理由により、大量のデータをキャッシュしている場合があります。Confluence はキャッシュに関するブラウザ動作を完全には制御しません。このため、Confluence ではブラウザのキャッシュから個人データを自動的に削除できない場合があります。この場合は各ブラウザ クライアントで個別に操作を行う必要があります。

Chrome の場合、ローカル ストレージを削除するには、chrome://settings/siteData に移動して Confluence の Web サイト の URL を探し、[ローカル ストレージ] セクションをクリックしてから、[すべて削除] をクリックします。Firefox の場合、この手順に従い、[設定] でこの処理を実行できます。ただし、ブラウザは定期的に更新が行われるため、これらの手順は変更される可能性があります。最新の手順については、ブラウザ ベンダーのドキュメントで、ローカル ストレージの削除方法を参照してください。

メンション

ブラウザのローカル ストレージは、ログインしているユーザーが最近使用したメンションの一覧をキャッシュするために使用され、Confluence サーバーのデータベースには保持されることはありません。ただし、ブラウザにキャッシュされると、あるユーザーを過去にメンションしたことがあり、そのユーザーが後に削除された場合、メンション一覧にそのユーザーが引き続き表示されます。この一覧は、ローカル ストレージのクリアに関するブラウザのドキュメントに従うことで、ブラウザから直接削除できます。また、この一覧は、ログイン中のユーザーが他のユーザーを新しくメンションすることで常に更新されます。削除されたユーザーは今後メンションされることはないため、最終的に一覧に表示されなくなります。

メンション先の一覧にも、削除されたユーザーのアバター画像への URL が含まれる場合があります。この URL は、ユーザーを削除したり、SQL 回避策を実行したりすると機能しなくなりますが、ブラウザはこの URL の画像をキャッシュしている可能性があります。このため、一部のユーザーは、メンション機能を使用した際に引き続きアバターを参照できる可能性があります。アバターは一定の時間が経過するとブラウザのキャッシュで失効しますが、正確なタイミングはブラウザの設定によって異なります。

アバター

アバターはユーザーが Confluence で自身のプロファイルにアップロードした画像であり、Confluence でユーザーの一覧を表示することで参照できます (メンション先一覧など)。 

Confluence 6.13 以降では、ユーザー アカウントを削除すると、アバターが削除されます。  

Confluence 6.12 以前では、ユーザーのアバターは "ユーザーのアカウントレベルの個人データ" SQL 回避策を使用すると削除できます。 

Confluence のすべてのバージョンで、これらの画像もブラウザにキャッシュします。そのため、この情報は Confluence の完全な管理下にはありません。ブラウザはキャッシュを定期的に更新 / 削除する場合があります。このため、アバターは最終的に削除されますが、正確なタイミングはブラウザの設定に応じて異なります。 

回避策

ユーザーのアカウントレベルの個人データ

この回避策は、Confluence 6.12 以前にのみ適用されます。 

ユーザーのアカウントレベルの個人データを削除するには、Confluence インスタンスが内部、委譲、または外部ユーザー ディレクトリを使用しているかどうかに応じて、次のメソッドのいずれかを使用します。

ステップ 1 - ユーザーの無効化または削除

内部ユーザー ディレクトリ

1. 「ユーザーの削除または無効化」の指示に従い、ユーザーを無効化します。
2. ユーザーを無効化したら、以下のステップ 2 のいずれかの手順に従い、スクリプトを介して SQL クエリを自動生成するか、SQL クエリを手動で作成します。

外部ユーザー ディレクトリ - コネクタ

1. 外部ディレクトリからユーザーを削除し、「外部ディレクトリからデータを同期する」の手順に従って再同期を実行します。 
2. ユーザーを削除したら、以下のステップ 2 のいずれかの手順に従い、スクリプトを介して SQL クエリを自動生成するか、SQL クエリを手動で作成します。

外部ユーザー ディレクトリ - 委譲

1. 「LDAP 認証による内部ディレクトリへの接続」の指示に従い、委譲先の外部ディレクトリからユーザーを削除します。
2. 「ユーザーの削除または無効化」の指示に従い、ユーザーを無効化します。 
3. ユーザーを無効化したら、以下のステップ 2 のいずれかの手順に従い、スクリプトを介して SQL クエリを自動生成するか、SQL クエリを手動で作成します。

ステップ 2 - SQL 回避策の実行 

ユーザー単位の SQL クエリを生成する Python スクリプト

1. 次のリポジトリをダウンロードまたはクローンします: https://bitbucket.org/atlassian/gdpr/overview。スクリプトを実行するにあたり、いくつかのインストール前提条件があります。これらはリポジトリ内の README ファイルに記載されています。

2. スクリプトを実行し、1 つ目のパラメーターとしてユーザー名 (ユーザーのログイン名) を渡します。スペースが含まれている場合はそれをかっこで囲みます。

   python3 parser4confluence.py -u '<USERNAME>' -f metadata/confluence_db.json -d oracle|postgresql|mysql|mssql

3. 上記のスクリプトは、confluence_db_queries/<database-name>/ フォルダに複数の SQL ファイルを生成します。

   01_insert_journalentry.sql
   02_delete_OS_PROPERTYENTRY.sql
   03_delete_BODYCONTENT.sql
   04_delete_CONTENTPROPERTIES.sql
   05_delete_IMAGEDETAILS.sql
   06_delete_CONTENT.sql
   07_delete_NOTIFICATIONS.sql
   09_delete_CONTENT.sql
   10_delete_LIKES.sql
   11_delete_CONTENT.sql
   12_delete_cwd_membership.sql
   13_delete_cwd_user_attribute.sql
   14_delete_cwd_user.sql
   15_update_user_mapping.sql

4. データベースで、ファイル名と同じ順序で SQL クエリを実行します。
5.  自動コミットを有効化していない場合、変更をコミットしてデータベースで保持するようにします。
6. 「キャッシュ統計」の手順に従ってすべてのキャッシュをフラッシュして、UI を強制的に更新します。 
7. コンテンツのインデックス管理に移動し、[コンテンツをキューに追加] > [キューをフラッシュ] を選択して、コンテンツ インデックス キューをフラッシュします。

ユーザー単位で手動で SQL クエリを構築する

1. ディレクトリ https://bitbucket.org/atlassian/gdpr/src/HEAD/confluence_db_queries/?at=master に移動し、それぞれのデータベース用に入力済みの SQL スクリプトをダウンロードします。
2. 任意のテキスト エディタで SQL スクリプトを開きます。
3. 設定済みのユーザー名 __username__ を必要なユーザー名で置き換えます。
4. データベースで、ファイル名と同じ順序で SQL クエリを実行します。
5.  自動コミットを有効化していない場合、変更をコミットしてデータベースで保持するようにします。
6. 「キャッシュ統計」の手順に従ってすべてのキャッシュをフラッシュして、UI を強制的に更新します。 
7. コンテンツのインデックス管理に移動し、[コンテンツをキューに追加] > [キューをフラッシュ] を選択して、コンテンツ インデックス キューをフラッシュします。

ステップ 3 - 共同エディタへのパッチ

共同編集機能が有効化されている、Confluence 6.0.x 〜 Confluence 6.9.x を実行中の Confluence インスタンスの場合は、お使いの Confluence バージョン用の、パッチを適用済みの共同編集プラグインをダウンロードする必要があります。次の表を参照してください。

1. アドオンの jar をダウンロードしたら、歯車メニュー > [アドオン] に移動します。
2. [アドオンのアップロード] を選択して、アドオンの jar をアップロードします。

これには数分かかることがあり、この間は共同編集機能を使用できなくなる場合があります。このパッチを適用したバージョンの共同エディタは、Confluence のインストールに付属していたバンドル版を置き換えます。

既知の制限と問題

ページや下書き、コメントでのメンション

削除されたユーザーへの既存のメンションは "Unknown User (xxxxxxxxxxx)" となります (xxxxxxxxxx はデータベース内に保存されているユーザー キー)。Confluence の特定の部分 (アクティビティ ストリーム マクロなど) では、削除されたユーザーは "Unknown User" ではなく "Anonymous" として表示されます。

回避策の適用時に非公開の下書き内に存在したメンション (「下書き」を参照) は、回避策の実行前と同じ場所に残ります (表示名が表示されます)。下書きを公開すると、これらのメンションは "Unknown User (xxxxxxxxxx)" に変わります。Confluence バージョン 6.6.x 以前では、メンションは現在のページへのリンクに変更される可能性があり、"Unknown User" の代わりに、"~" (チルダ) 文字に続けて削除済みユーザーの古いユーザー名のテキストが追加されます。

管理者ですべての下書きの強制公開を自動的に実行したり、非公開のすべての下書きの一覧を表示したりする方法は、現在提供されていません。各ユーザーは、最近作業したファイルの一覧で自身の非公開の下書きを表示できます。また、自身のユーザー メニューに移動して、下書き項目をクリックできます。管理者は共同編集を無効化することで非公開の下書きを削除できます。ただし、この方法では非公開の下書きのデータが失われる可能性があるため、削除済みユーザーへのメンションをすべてに優先して行う必要がある (コンテンツが失われる可能性を考慮済みである) 場合を除き、推奨されません

上述の回避策を実行したあとで削除済みユーザーをメンションした場合、ページの公開時にエラーが発生することがあります。ページを更新するか、メンションを削除すると、問題は解決されます。ただし、共同編集機能をオフにしている場合、問題を修正するにはページからユーザー メンションを削除する必要があります。

同様に、コメントの追加または編集時に削除済みユーザーをメンションした場合、保存時にエラーが発生して失敗します。回避策は、保存前にコメントから削除済みユーザーへのメンションを削除することです。この問題はインライン コメントと添付ファイルへのコメントの両方に影響します。

ブラウザのローカル ストレージを削除すると、削除済みユーザーをメンションできなくなります (詳細はこのページの「ブラウザ キャッシュ」セクションを参照)。これにより、ページとコメントの両方で公開時に問題が発生するのを防ぐことができます。

ワークボックス通知

ワークボックス通知 (「ワークボックス通知」を参照) には、通知を作成したユーザーの表示名が引き続き表示されます。これは Confluence によって定期的に削除され、古いエントリは 28 日後に削除されます。これらのジョブは 1 日に 1 回、サーバーが起動した時刻に実行されます。

Synchrony データ

この回避策は、Confluence 6.x バージョンにのみ適用されます。  

共同編集を有効化している場合は、エディタにおけるすべてのキー ストロークは Synchrony によって Confluence データベースに保存されます。つまり、ユーザーの氏名、ユーザー名、またはエディタで入力したその他の個人情報はデータベースの Synchrony テーブルに残り、ページやコメント コンテンツとは異なる場所に保存されます。 

回避策は、データベース内の関連 Synchrony テーブルからすべての行を削除することです。これらのテーブルですべての行を削除する方法については「Synchrony テーブルのサイズを縮小する方法」を参照してください。 

既知の問題

SQL 回避策のスクリプトを実行したり、UI でユーザーを削除したりしたあとでも個を特定可能な情報が残ってしまう、既知の問題がいくつかあります。

CONFSERVER-55963 - Jira project doesn't exist or you don't have permission to view it.	6.11.0 以前	SQL 回避策スクリプトを実行した後、削除されたユーザーの氏名とユーザー名が AO_9412A1_AOTASK および AO_9412A1_AONOTIFICATION データベース テーブル内に残る場合があります。UI には表示されません。  Confluence 6.11.1 以降、この残存データは 1 日に 1 回実行される定期ジョブ、および Confluence の起動によって自動的に削除されます。
CONFSERVER-55951 - Jira project doesn't exist or you don't have permission to view it.	6.11.0 以前	SQL 回避策のスクリプトを実行したあと、削除されたユーザーのユーザー名が AO_ 187CCC_SIDEBAR_LINK データベース テーブル内に残る場合があります。UI には表示されません。  この問題は Confluence 6.11.1 で解決されました。6.11.1 にアップグレードすると、アップグレード タスクによってこのデータが自動的に削除されます。
CONFSERVER-55952 - Jira project doesn't exist or you don't have permission to view it.	6.12.x 以前	SQL 回避策のスクリプトを実行したあと、削除されたユーザーのユーザー名が bandana データベース テーブル内に残る場合があります。UI には表示されません。  この問題の修正は将来の Confluence リリースで提供します。
CONFSERVER-55755 - Jira project doesn't exist or you don't have permission to view it.	すべてのバージョン	削除されたユーザーの氏名が AO_950DC3_TC_EVENTS データベース テーブルに残る場合があります。UI には表示されず、Team Calendars for Confluence アドオンがある場合にのみ適用されます。  この問題の修正は将来の Confluence リリースで提供します。
CONFSERVER-56354 Closed	6.12.x 以前	SQL 回避策のスクリプトを実行したあと、削除されたユーザーのユーザー名が検索インデックス内に残り、UI で検索結果に表示される場合があります。 この問題の修正は SQL 回避策のスクリプトの最新バージョンに含まれます。
CONFSERVER-57553 - Users mentioned in inline tasks who aren't the assignee (i.e. the first mention) aren't indexed as a mention Gathering Impact	6.13.0 以降	ユーザーの削除後に、そのユーザーがタスクでメンションされているが担当者はでない (最初にメンションされたユーザーではない) 場合、そのユーザーのユーザー名が検索結果に引き続き表示される場合があります。 詳細と回避策については、課題を参照してください。
CONFSERVER-57554 - duplicate item in dashboard all-updates after deleting a user Gathering Impact	6.13.0 以降	ユーザーがコメントで自身をメンションしていた場合、そのユーザーを削除したあとに、ダッシュボードの [すべての更新] タブにユーザー名が表示される場合があります。ユーザー名は Lucene インデックス内にも残りますが、検索結果には返されません。 詳細と回避策については、課題を参照してください。
CONFSERVER-59042 - Users (mention macro) that have umlauts in their names doesn't get renamed properly Gathering Impact	6.15 以降	元の氏名にウムラウトが含まれているユーザーの名前を変更しても、ページやブログ投稿のメンションには元の氏名が表示されます。

その他の注意事項

サーバーまたはデータ センターのお客様の場合、アトラシアンはお客様が製品内で保存するように選択した個人データへのアクセス、保管、または処理は行いません。アトラシアンが処理する個人データの詳細については、プライバシー ポリシーを参照してください。