Modello di controllo di accesso

Il controllo di accesso di Lakewatch è regolato da Unity Catalog. Le risorse Lakewatch sono oggetti protetti di Unity Catalog che si trovano in un catalogo e in uno schema da te scelti e a cui concedi l'accesso tramite i privilegi di Unity Catalog. L'accesso viene ereditato lungo la gerarchia del Catalogo Unity, quindi una concessione su un catalogo o schema si applica alle risorse Lakewatch sottostanti.

Principals

L'accesso è concesso alle entità di sicurezza: singoli utenti, entità servizio (identificate per nome o applicationId), e gruppi. Lakewatch non richiede ruoli o gruppi predefiniti, e puoi usare qualsiasi identità supportata da Unity Catalog. Per una configurazione consigliata basata sul team che mappa i gruppi ai ruoli di sicurezza, vedi Configura il controllo accessi.

Risorse Lakewatch come oggetti proteggibili di Unity Catalog

Queste risorse Lakewatch sono oggetti proteggibili di Unity Catalog e si trovano sotto un catalogo e uno schema che scegli tu:

• Fonti dati
• Regole di rilevamento

Li organizzi come qualsiasi altro dato del Catalogo Unity, ad esempio un catalogo per ambiente (sviluppo/staging/produzione) e uno schema per team. Vedi Modelli di implementazione per i pattern consigliati.

Due gruppi di risorse sono governati da Unity Catalog ma gestiti in modo diverso:

• Le query sono gestite tramite l'app Lakewatch, utilizzando i propri livelli di permesso invece dei privilegi concessi sulle fonti dati e sulle regole di rilevamento.
• I segnali e gli allarmisono derivati dalle regole di rilevamento: una regola produce segnali, che vengono raccolti in allarmi. Non sono oggetti protetti separati, quindi non li assegni direttamente. I privilegi sui dati di sicurezza (READ_SECURITY_DATA e UPDATE_SECURITY_DATA) sulla regola madre o sulla sorgente dati controllano l'accesso a essi (vedi Eredità).

Ambienti e cartelle

Lakewatch registra i cataloghi e gli schemi del Catalogo Unity che contengono le tue risorse come ambienti e cartelle:

• Un ambiente è un catalogo registrato presso Lakewatch (l'ambito di massimo livello per le sue risorse). Un ambiente è disponibile solo dallo spazio di lavoro a cui il suo catalogo è legato (vedi Associazione spazio di lavoro-catalogo).
• Una folder è uno schema registrato in Lakewatch sotto quel catalogo. Le fonti dati e le regole di rilevamento vivono in cartelle, e i privilegi che concedi a una cartella si applicano a ogni risorsa che contiene.

Gli ambienti e le cartelle sono una vista sull'organizzazione catalogo per ambiente, schema per team descritta nei modelli di distribuzione; non cambiano il modo in cui viene concesso l'accesso. I permessi delle cartelle sono grant di Unity Catalog sullo schema di supporto, quindi Privilegi ed Eredità si applicano invariati.

Privilegi

Concedi l'accesso con i privilegi del Catalogo Unity su un catalogo, uno schema o una risorsa individuale. Lakewatch definisce privilegi per leggere la configurazione di una risorsa, gestirla, gestire il suo accesso e leggere o aggiornare i dati di sicurezza (segnali e allarmi) che essa produce. Per la lista completa per tipo di risorsa e ciò che ogni privilegio consente, vedi Ruoli e capacità.

Per creare una risorsa, un principal ha bisogno di USE CATALOG sul catalogo e di USE SCHEMA sullo schema, oltre al privilegio di creazione su quello schema o catalogo: CREATE_DATASOURCE per una sorgente dati o CREATE_RULE per una regola di rilevamento. USE CATALOG e USE SCHEMA sono privilegi di attraversamento: da soli permettono a un'entità di sicurezza di accedere al catalogo e allo schema ma non concedono la possibilità di visualizzare una risorsa (che richiede READ_METADATA) o di crearla.

Poiché ogni risorsa Lakewatch è un elemento sicurabile di Unity Catalog, qualsiasi accesso a essa (inclusa la semplice visualizzazione) richiede USE CATALOG USE CATALOG sul suo catalogo e USE SCHEMA USE SCHEMA sul suo schema, oltre al privilegio per l'azione stessa. Unity Catalog applica questa regola a ogni oggetto che governa, come una tabella, quindi concedere a qualcuno accesso in visualizzazione a una sorgente dati o a una regola di rilevamento (READ_METADATA) significa anche concedergli USE CATALOG e USE SCHEMA, anche se quei due privilegi da soli non rivelano la risorsa.

Inheritance

L'accesso scorre lungo la gerarchia del Catalogo Unity: catalogo → schema → risorsa. Un privilegio concesso su un catalogo o schema si applica a ogni risorsa Lakewatch sottostante, quindi puoi concedere in modo ampio a livello di catalogo o schema invece che risorsa per risorsa.

La configurazione raccomandata concede a ciascun gruppo i privilegi a livello di catalogo, quindi si applicano a ogni schema e risorsa nel catalogo. Per limitare più precisamente l'ambito di un gruppo, concedere gli stessi privilegi a livello di schema invece.

I segnali e gli avvisi sono artefatti derivati senza autorizzazioni proprie. L'accesso viene ereditato dalla regola o dalla sorgente di rilevamento genitore, ma tramite un privilegio separato dalla lettura della configurazione del genitore:

• Fare clic su READ_METADATA in una regola di rilevamento o un'origine dati ti permette di leggere quella risorsa e la sua configurazione. Non concede, da sola, l'accesso ai segnali e agli avvisi prodotti dalla risorsa.
• La visualizzazione di questi segnali e allarmi richiede READ_SECURITY_DATA sulla risorsa padre (un privilegio separato da READ_METADATA).
• L'aggiornamento di un avviso dipende dal privilegio UPDATE_SECURITY_DATA sulla risorsa genitore. I segnali sono immutabili.

Proprietà

L'entità principale che crea una risorsa Lakewatch ne diventa il proprietario, con il pieno controllo della risorsa, inclusa la gestione del suo accesso. La proprietà può essere trasferita e l'accesso può essere condiviso più ampiamente concedendo privilegi ad altre entità.

Settings

Le impostazioni di Lakewatch sono vincolate a un catalogo e si applicano a tutte le risorse di Lakewatch sotto di esso. Un principal con MANAGE sul catalogo può modificare le impostazioni di quel catalogo.

Onboarding e amministrazione

Un utente che ha USE CATALOG su un catalogo, USE SCHEMA su uno schema e il privilegio di creazione pertinente (CREATE_DATASOURCE o CREATE_RULE) può creare risorse Lakewatch lì e possiede ciò che crea. Nel catalogo predefinito dello spazio di lavoro, gli utenti dello spazio hanno USE CATALOG e USE SCHEMA per impostazione predefinita, ma CREATE_DATASOURCE e CREATE_RULE non sono concessi di default, quindi un utente deve ottenere il privilegio di creazione appropriato prima di poter creare risorse Lakewatch lì. Per configurare Lakewatch per un team, segui Imposta il controllo degli accessi, che crea i gruppi, un service principal run-as e le autorizzazioni richieste. Puoi delegare la gestione di un insieme di risorse concedendo MANAGE sul catalogo o sullo schema.

Il controllo degli accessi è principalmente basato sul proprietario: un controllo dei privilegi è soddisfatto tramite una concessione esplicita o possedendo la risorsa, e Lakewatch non ha un override separato dell'amministratore proprio. Gli amministratori di account e quelli del metastore possono comunque prendersi la proprietà o concedersi MANAGE tramite i privilegi di amministratore di Unity Catalog. Se il proprietario di una risorsa non è più disponibile (ad esempio, la persona se ne va o un service principal viene eliminato) e nessun altro principale ha MANAGE, l'accesso può essere difficile da recuperare, quindi Databricks raccomanda di assegnare la proprietà delle risorse di produzione a un gruppo. Vedi i modelli di distribuzione.

Job pianificati e l'identità di esecuzione

Ogni sorgente dati e regola di rilevamento registra un run-as principal. La scegli quando crei la risorsa (la tua identità o un'entità servizio che hai l'autorizzazione a usare) e solo qualcuno che dispone di MANAGE sulla risorsa può cambiarla. Le pipeline di ingestione e rilevamento programmate per la risorsa vengono eseguite con questa identità (principal), quindi deve essere concesso l'accesso alle tabelle a cui la sorgente dati o la regola di rilevamento fa riferimento. Per creare un'entità servizio a questo scopo e concedergli l'accesso di cui i processi pianificati hanno bisogno, vedi Configurare il controllo degli accessi.