Model voor toegangsbeheer

Lakewatch-toegangscontrole wordt beheerd door Unity Catalog. Lakewatch-bronnen zijn Unity Catalog-securables die zich in een catalogus en schema bevinden die je kiest, en je verleent er toegang toe met Unity Catalog-privileges. Toegang wordt lager in de Unity Catalog-hiërarchie geërfd, dus een toekenning op een catalogus of schema geldt voor de Lakewatch-bronnen eronder.

Principals

Toegang wordt verleend aan principals: individuele gebruikers, service-principals (geïdentificeerd met naam of applicationId), en groepen. Lakewatch vereist geen vooraf gedefinieerde rollen of groepen, en je kunt elke identiteit gebruiken die Unity Catalog ondersteunt. Voor een aanbevolen teamgebaseerde opstelling die groepen toewijst aan beveiligingsrollen, zie Toegangscontrole opzetten.

Lakewatch-bronnen als Unity Catalog securables

Deze Lakewatch-bronnen zijn Unity Catalog securables en vallen onder een catalogus en schema dat je kiest:

• Databronnen
• Detectieregels

Je organiseert ze zoals alle andere Unity Catalog-gegevens, bijvoorbeeld een catalogus per omgeving (ontwikkeling/staging/productie) en een schema per team. Zie Implementatiemodellen voor voorgestelde patronen.

Twee groepen bronnen worden beheerd door Unity Catalog, maar verschillend behandeld:

• Queries worden beheerd via de Lakewatch-app, met hun eigen permissieniveaus in plaats van de privileges die je verleent op datasources en detectieregels.
• Signalen en waarschuwingen zijn afgeleid van detectieregels: een regel produceert signalen, die worden samengevoegd tot waarschuwingen. Het zijn geen aparte beveiligbare objecten, dus je verleent er niet rechtstreeks machtigingen op. De beveiligingsgegevensrechten (READ_SECURITY_DATA en UPDATE_SECURITY_DATA) op de ouderregel of gegevensbron bepalen de toegang ertoe (zie Overerving).

Omgevingen en mappen

Lakewatch registreert de Unity Catalog-catalogi en schema's die je resources bevatten als omgevingen en mappen:

• Een omgeving is een catalogus die geregistreerd is bij Lakewatch (de bovenliggende scope voor de resources). Een omgeving is alleen beschikbaar vanuit de werkruimte waaraan de catalogus is gebonden (zie Werkruimte-catalog binding).
• Een folder is een schema dat bij Lakewatch is geregistreerd onder die catalogus. Datasources en detectieregels bevinden zich in mappen, en de privileges die je op een map verleent, gelden voor elke bron die deze bevat.

Omgevingen en mappen zijn een weergave van de catalogus-per-omgeving, schema-per-team organisatie zoals beschreven in Deployment-modellen; ze veranderen niet hoe toegang wordt verleend. Mapmachtigingen zijn Unity Catalog-toekenningen op het backingschema, dus privileges en overerving zijn ongewijzigd van toepassing.

Bevoegdheden

Je verleent toegang met Unity Catalog-rechten op een catalogus, schema of individuele bron. Lakewatch definieert privileges voor het lezen van de configuratie van een resource, het beheren van de resource, het beheren van de toegang en het lezen of updaten van de beveiligingsgegevens (signalen en waarschuwingen) die het produceert. Voor de volledige lijst per resourcetype en wat elk privilege toestaat, zie Rollen en mogelijkheden.

Om een bron te creëren, heeft een principal USE CATALOG nodig op de catalogus en USE SCHEMA op het schema, plus het aanmaakrecht op dat schema of die catalogus: CREATE_DATASOURCE voor een databron of CREATE_RULE voor een detectieregel. USE CATALOG en USE SCHEMA zijn doorloopprivileges: op zichzelf laten ze een principal toegang krijgen tot de catalogus en het schema, maar geven ze niet de mogelijkheid om een bron te bekijken (die READ_METADATA vereist) of om er een aan te maken.

Omdat elke Lakewatch-bron een beveiligbaar object in Unity Catalog is, vereist elke toegang ertoe (waaronder alleen al het bekijken ervan) USE CATALOG op de catalogus en USE SCHEMA op het schema, naast het privilege voor de actie zelf. Unity Catalog past deze regel toe op elk object dat het beheert, zoals een tabel, dus iemand toegang geven tot een datasource of detectieregel (READ_METADATA) betekent ook dat hun USE CATALOG en USE SCHEMA worden toegekend, ook al onthullen die twee privileges op zichzelf de resource niet.

Inheritance

Toegang stroomt door de hiërarchie van de Unity Catalog: catalog → schema → resource. Een privilege dat op een catalogus of schema wordt toegekend, geldt voor elke Lakewatch-bron eronder, dus je kunt breed op catalogus- of schemaniveau toekennen in plaats van resource per resource.

De aanbevolen opzet kent elke groep rechten toe op catalogusniveau, zodat ze gelden voor elk schema en elke bron in de catalogus. Om een groep smaller te begrenzen, geef je in plaats daarvan dezelfde privileges op schema-niveau.

Signalen en waarschuwingen zijn afgeleide artefacten zonder eigen machtigingen. Toegang wordt geërfd van de ouderdetectieregel of datasource, maar via een privilege dat losstaat van het lezen van de configuratie van de ouder:

• READ_METADATA Klik op een detectieregel of databron om die bron en de configuratie ervan te lezen. Het verleent op zichzelf geen toegang tot de signalen en waarschuwingen die de hulpbron produceert.
• Het bekijken van die signalen en alerts vereist READ_SECURITY_DATA op de hoofdbron (een apart privilege van READ_METADATA).
• Het bijwerken van een alert vereist het UPDATE_SECURITY_DATA-privilege op de ouderresource. Signalen zijn onveranderlijk.

Eigendom

De principal die een Lakewatch-bron creëert, wordt eigenaar ervan, met volledige controle over de bron, inclusief het beheren van de toegang. Eigendom kan worden overgedragen en toegang kan breder worden gedeeld door privileges aan andere beveiligingsprincipals te verlenen.

Settings

Lakewatch-instellingen zijn gebonden aan een catalogus en gelden voor alle Lakewatch-bronnen daaronder. Een principal met MANAGE voor de catalogus kan de instellingen van die catalogus wijzigen.

Onboarding en administratie

Een gebruiker die USE CATALOG op een catalogus heeft, USE SCHEMA op een schema, en het relevante aanmaakrecht (CREATE_DATASOURCE of CREATE_RULE) kan daar Lakewatch-bronnen aanmaken en eigenaar zijn van wat ze maken. In de standaardcatalogus van de werkruimte hebben werkruimtegebruikers standaard USE CATALOG en USE SCHEMA, maar CREATE_DATASOURCE en CREATE_RULE worden niet standaard toegekend, dus een gebruiker moet het relevante aanmaakrecht krijgen voordat hij daar Lakewatch-bronnen kan aanmaken. Om Lakewatch voor een team op te zetten, volg Toegangscontrole opzetten, waarmee de groepen, een run-as-service principal en de benodigde machtigingen worden aangemaakt. Je kunt het beheer van een set middelen delegeren door MANAGE toe te kennen op de catalogus of het schema.

Toegangscontrole is voornamelijk eigenaar-gebaseerd: aan een privilegecontrole wordt voldaan door een expliciete toekenning of door het bezitten van de resource, en Lakewatch heeft geen eigen beheerdersoverride. Accountbeheerders en metastore-beheerders kunnen nog steeds het eigenaarschap overnemen of zichzelf MANAGE toekennen via de beheerdersrechten van Unity Catalog. Als de eigenaar van een resource niet meer beschikbaar is (bijvoorbeeld als de persoon vertrekt of een service principal wordt verwijderd) en geen enkele andere principal MANAGE heeft, kan toegang moeilijk te herstellen zijn, dus raadt Databricks aan om productieresources in bezit van een groep te laten zijn. Zie Implementatiemodellen.

Geplande taken en de run-as-principal

Elke datasource- en detectieregel registreert een run-as-principal. Je kiest het wanneer je de resource aanmaakt (je eigen identiteit, of een serviceprincipal die je mag gebruiken), en alleen iemand met MANAGE op de resource kan dit wijzigen. De geplande invoer- en detectiepijplijnen voor de resource draaien als deze service-principal, dus deze moet toegang krijgen tot de tabellen waarnaar de datasource of detectieregel verwijst. Om een serviceprincipal hiervoor te creëren en deze de toegang te geven die zijn geplande taken nodig hebben, zie Toegangscontrole opzetten.