Modelo de control de acceso

El control de acceso de Lakewatch está regulado por Unity Catalog. Los recursos de Lakewatch son elementos protegibles de Unity Catalog que viven en un catálogo y esquema que usted elige, y usted les concede acceso usando los privilegios de Unity Catalog. El acceso se hereda a lo largo de la jerarquía de Unity Catalog, por lo que un permiso sobre un catálogo o esquema se aplica a los recursos de Lakewatch que están debajo.

Principals

El acceso se concede a entidades de seguridad: usuarios individuales, entidades de servicio (identificadas por nombre o applicationId) y grupos. Lakewatch no requiere roles o grupos predefinidos, y puedes usar cualquier identidad que soporte Unity Catalog. Para una configuración recomendada basada en equipos que asigna grupos a roles de seguridad, consulta Configurar control de acceso.

Recursos de Lakewatch como objetos protegibles de Unity Catalog

Estos recursos de Lakewatch son elementos protegibles de Unity Catalog y se encuentran bajo un catálogo y esquema que tú elijas:

• Orígenes de datos
• Reglas de detección

Los organizas como cualquier otro dato del Catálogo de Unity, por ejemplo, un catálogo por entorno (desarrollo/staging/producción) y un esquema por equipo. Consulta Modelos de despliegue para patrones sugeridos.

Dos grupos de recursos están gobernados por el Catálogo Unity pero gestionados de forma diferente:

• Las consultas se gestionan a través de la app Lakewatch, utilizando sus propios niveles de permisos en lugar de los privilegios que concedes sobre fuentes de datos y reglas de detección.
• Las señales y alertasse derivan de las reglas de detección: una regla produce señales, que se agrupan en alertas. No son elementos protegibles independientes, por lo que no se concede directamente en ellos. Los privilegios de datos de seguridad (READ_SECURITY_DATA y UPDATE_SECURITY_DATA) sobre la regla principal o la fuente de datos controlan el acceso a ellos ( véase Herencia).

Entornos y carpetas

Lakewatch registra los catálogos y esquemas de Unity Catalog que almacenan tus recursos como entornos y carpetas:

• Un entorno es un catálogo registrado en Lakewatch (el ámbito principal de sus recursos). Un entorno solo está disponible desde el espacio de trabajo al que está vinculado su catálogo (véase Vinculación entre espacio de trabajo y catálogo).
• Una carpeta es un esquema registrado con Lakewatch bajo ese catálogo. Las fuentes de datos y las reglas de detección viven en carpetas, y los privilegios que concedes en una carpeta se aplican a todos los recursos que contiene.

Los entornos y carpetas son una vista sobre la organización catálogo por entorno y esquema por equipo descrita en los modelos de despliegue; no cambian cómo se concede el acceso. Los permisos de carpeta son otorgamientos del Catálogo de Unity en el esquema de respaldo, por lo que los privilegios y la herencia se aplican sin cambios.

Privilegios

Puede conceder el acceso con los privilegios de Unity Catalog en un catálogo, esquema o recurso individual. Lakewatch define los privilegios para leer la configuración de un recurso, gestionar el recurso, gestionar su acceso y leer o actualizar los datos de seguridad (señales y alertas) que produce. Para la lista completa por tipo de recurso y lo que permite cada privilegio, consulte Roles y capacidades.

Para crear un recurso, un principal necesita USE CATALOG en el catálogo y USE SCHEMA en el esquema, además del privilegio de crear en ese esquema o catálogo: CREATE_DATASOURCE para una fuente de datos o CREATE_RULE para una regla de detección. USE CATALOG y USE SCHEMA son privilegios de recorrido: por sí solos permiten que un principal acceda al catálogo y al esquema, pero no otorgan la capacidad de ver un recurso (que requiere READ_METADATA) ni de crear uno.

Dado que cada recurso de Lakewatch es un elemento protegible de Unity Catalog, cualquier acceso a uno (incluyendo simplemente su visualización) requiere USE CATALOG en su catálogo y USE SCHEMA en su esquema, además del privilegio para la acción en sí. Unity Catalog aplica esta regla a todos los objetos que gobierna, como una tabla, por lo que conceder a alguien acceso de visualización a una fuente de datos o regla de detección (READ_METADATA) también significa concederle USE CATALOG y USE SCHEMA, aunque esos dos privilegios por sí solos no revelen el recurso.

Inheritance

El acceso fluye por la jerarquía del Catálogo de Unity: catálogo → esquema → recurso. Un privilegio concedido en un catálogo o esquema se aplica a cada recurso de Lakewatch que esté debajo de él, por lo que puedes conceder de forma amplia a nivel de catálogo o esquema en lugar de recurso por recurso.

La configuración recomendada otorga los privilegios de cada grupo a nivel de catálogo, por lo que se aplican a todos los esquemas y recursos del catálogo. Para restringir más el alcance de un grupo, concede los mismos privilegios a nivel de esquema.

Las señales y alertas son artefactos derivados sin permisos propios. El acceso se hereda de la regla de detección o fuente de datos del padre, pero mediante un privilegio separado de la lectura de la configuración del padre:

• READ_METADATA en una regla de detección u origen de datos le permite leer ese recurso y su configuración. Por sí sola, no concede acceso a las señales y alertas que produce el recurso.
• Visualizar esas señales y alertas requiere READ_SECURITY_DATA en el recurso padre (un privilegio separado de READ_METADATA).
• La actualización de una alerta sigue el privilegio UPDATE_SECURITY_DATA en el recurso principal. Las señales son inmutables.

Propiedad

La entidad de seguridad que crea un recurso de Lakewatch se convierte en su propietario, con control total del recurso, incluida la administración de su acceso. La propiedad se puede transferir y el acceso se puede compartir de forma más amplia concediendo privilegios a otras entidades de seguridad.

Settings

Los ajustes de Lakewatch están vinculados a un catálogo y se aplican a todos los recursos de Lakewatch que hay en él. Una entidad de seguridad con MANAGE en el catálogo puede cambiar la configuración de ese catálogo.

Incorporación y administración

Un usuario que tenga USE CATALOG en un catálogo, USE SCHEMA en un esquema y el privilegio de creación relevante (CREATE_DATASOURCE o CREATE_RULE) puede crear recursos Lakewatch allí y posee lo que crea. En el catálogo predeterminado del espacio de trabajo, los usuarios del espacio de trabajo tienen USE CATALOG y USE SCHEMA por defecto, pero CREATE_DATASOURCE y CREATE_RULE no se conceden por defecto, por lo que un usuario debe recibir el privilegio de creación correspondiente antes de poder crear recursos de Lakewatch allí. Para configurar Lakewatch para un equipo, siga Configurar el control de acceso, que crea los grupos, una entidad de servicio de ejecución y las concesiones necesarias. Puede delegar la administración de un conjunto de recursos concediendo MANAGE en el catálogo o esquema.

El control de acceso está basado principalmente en el propietario: una comprobación de privilegios se satisface mediante una concesión explícita o la propiedad del recurso, y Lakewatch no tiene una invalidación de administrador propia independiente. Los administradores de la cuenta y los administradores del metastore aún pueden asumir la propiedad o concederse a sí mismos MANAGE a través de los privilegios de administrador de Unity Catalog. Si el propietario de un recurso se pierde (por ejemplo, la persona deja la empresa o se elimina una entidad de servicio) y ninguna otra entidad de seguridad tiene MANAGE, el acceso puede ser difícil de recuperar, por lo que Databricks recomienda poseer los recursos de producción con un grupo. Consulte Modelos de despliegue.

Trabajos programados y la entidad de seguridad de ejecución

Cada origen de datos y regla de detección registra una entidad de seguridad de ejecución. Lo eliges cuando creas el recurso (tu propia identidad o un principal de servicio que tengas permiso para usar), y solo alguien con MANAGE en el recurso puede cambiarlo. Las pipelines de ingestión y detección programadas para el recurso se ejecutan como esta entidad de seguridad, por lo que debe concederse acceso a las tablas a las que hace referencia la fuente de datos o la regla de detección. Para crear un principal de servicio para este propósito y concederle el acceso que necesita para sus trabajos programados, consulte Configurar control de acceso.