Rollen en mogelijkheden

Lakewatch beheert elk resourcetype met Unity Catalog-privileges. Deze referentie vermeldt de privileges voor databronnen, detectieregels, signalen, waarschuwingen en queries, en de mogelijkheden die elk van hen verleent.

Hoe privileges worden georganiseerd

Datasources en detectieregels hebben resourceprivileges. Detectieregels hebben ook beveiligingsgegevensrechten, omdat alleen regels signalen en waarschuwingen produceren:

• Resourceprivileges: Bestuur de resource zelf: lees de configuratie, beheer deze en beheer de toegang.
• Beveiligingsgegevensprivileges: Beheersen de uitvoeren van een detectieregel: de signalen en waarschuwingen die deze produceert.

Je verleent deze privileges aan een map (schema) of de omgeving (catalogus), en ze erven tot aan elke bron eronder beland.

Toestemmingsgroepen

In de Lakewatch-interface verleen je toegang met permissiegroepen in plaats van individuele privileges. Een maprechtengroep verleent zijn rechten op het schema van de map, zodat ze van toepassing zijn op elke databron en detectieregel in de map. Lakewatch-beheer wordt toegekend in de catalogus van de omgeving, dus het geldt voor elke map. Combineer permissiegroepen voor één principal, of selecteer individuele rechten om een aangepaste grant te maken.

Je geeft geen toekenning USE CATALOG , en USE SCHEMA apart. Lakewatch verleent alle accountgebruikers USE CATALOG in de catalogus van de omgeving en USE SCHEMA in elke map, ongeacht de andere rechten van de map. Deze doorlooprechten stellen gebruikers in staat een map te bereiken, maar niets daarin te bekijken of te wijzigen. De UI verbergt Detectieregelmanager en Alert-triage in de standaard datasourcemap, en Datasource manager in de standaard detectieregelmap, omdat die rechten niet van toepassing zijn op de resources die de map bevat.

Wanneer je individuele permissies selecteert voor een Custom grant, toont de UI elk privilege onder het volgende label:

CREATE_SECRET Je kunt alleen de Unity Catalog-geheimen aanmaken die bestemmingen waarschuwen en instellingen die exportbestemmingen gebruiken, opgeslagen in het __lakewatch schema. API-connectors gebruiken het niet. Ze authenticeren via Unity Catalog-verbindingen.

Aanbevolen groepen

Databricks raadt vier groepen aan die worden gekoppeld aan de rollen in een beveiligingsteam. Voor de stappen waarmee deze groepen worden aangemaakt en hun rechten worden toegewezen, zie Toegangscontrole instellen.

Wat elke groep kan doen

Maprechten gelden voor elke resource in de map, inclusief resources die andere gebruikers hebben aangemaakt. Deze toegang komt van de map of catalogustoekenning, niet van een beheerdersoverride. Het toegangscontrolemodel heeft geen override, dus een groep bereikt precies wat zijn grants dekken, en niets in een map waar geen grant is.

• lakewatch-admins beheren de hele omgeving: ze maken, bekijken, bewerken, verwijderen en delen elke databron of detectieregel (MANAGE), lezen de signalen en waarschuwingen die elke detectieregel produceert, werken de waarschuwingen bij en vragen alle Lakewatch-tabellen (SELECT), voegen mappen toe en wijzigen de instellingen en beheerders van de omgeving.
• lakewatch-data-engineers Maak en beheer databronnen in de datasource-map, en creëer, queryt en schrijf de tabellen ervan (CREATE TABLE, SELECT, MODIFY).
• lakewatch-detection-engineers Maak en beheer detectieregels in de detectieregelmap, lees de beveiligingsgegevens die die regels produceren (READ_SECURITY_DATA), en bekijk en raadpleeg de databronnen waaruit hun regels zijn gelezen (READ_METADATA, SELECT in de datasource-map).
• lakewatch-analysts Werk aan de alertqueue: ze lezen de waarschuwingen en signalen die door de regels worden geproduceerd in de detectieregelmap en werken de alerts bij (READ_SECURITY_DATA, ), UPDATE_SECURITY_DATAbekijken regelconfiguratie (READ_METADATA), en zoeken de datasource- en detectietabellen op (SELECT).

Een groep bereikt de bronnen van een ander lid alleen zover de toegekende rechten reiken: het bekijken van een resource vereist READ_METADATA of MANAGE, en werken met de signalen en waarschuwingen van een regel vereist het bijbehorende beveiligingsgegevensprivilege. Eigendom geeft volledige controle, zodat degene die een resource creëert deze kan beheren ongeacht groepslidmaatschap, en het wijzigen van een resource of de toegang ervan vereist MANAGE eigendom.

Deel middelen met je team

Je deelt Lakewatch-bronnen via mappen. Een machtigingsgroep op een map is van toepassing op elke datasource en detectieregel in de map, inclusief later aangemaakte bronnen. Om bronnen met je team te delen, doe een van de volgende dingen:

• Gebruik een map waar het team toegang toe heeft: Maak de bron aan in een map waar het team al de benodigde machtigingsgroep heeft.
• Verleen het team toegang tot de map: Een gebruiker op MANAGE de map, zoals een Map-beheerder of Lakewatch-beheerder, geeft het team een machtigingsgroep op de map. Geef bijvoorbeeld Alert-triage zodat het team de alerts van de map kan verwerken.

Met de teamgebaseerde opzet in Toegangscontrole instellen heeft elk team al de benodigde machtigingsgroep in zijn map, dus de resources die je daar aanmaakt worden automatisch gedeeld met het team. Om te beperken wie toegang heeft tot een bron, maak deze aan in een map die alleen het beoogde team kan benaderen.

Databronnen en detectieregels

Datasources en detectieregels delen dezelfde resource- en beveiligingsgegevensprivileges. Ze verschillen in het aanmaakprivilege (CREATE_DATASOURCE voor een databron, CREATE_RULE voor een detectieregel). Detectieregels produceren signalen en waarschuwingen, en databronnen geven systeemfouten aan die Lakewatch vastlegt als waarschuwingen:

Om een datasource aan te maken, moet CREATE_DATASOURCE je in de map datasource manager, mapbeheer en Lakewatch-beheerder hebben opgenomen. Om een detectieregel te maken, moet je in de map een functie hebben CREATE_RULE , die Detectieregelbeheerder, Mappenbeheerder en Lakewatch-beheerder bevatten. Het aanmaken van een bron vereist USE CATALOG ook en USE SCHEMA, die Lakewatch aan alle accountgebruikers toekent.

Toegang tot een bron die een andere gebruiker bezit volgt dezelfde privileges, of het nu een datasource is of een detectieregel:

• Om het te bekijken, moet je op de map of omgeving zijn READ_METADATAMANAGE .
• Om het te bewerken of te verwijderen, moet je de MANAGE eigenaar zijn of de eigenaar zijn.
• Om te veranderen wie er toegang toe heeft, moet MANAGE_ACCESS_CONTROL je (inbegrepen in MANAGE) hebben of de eigenaar zijn.

In elk geval moet de principal ook op de catalogus en USE SCHEMA het schema hebben USE CATALOG die de bron bevatten, omdat een datasource of detectieregel een Unity-catalogus is die een principal moet kunnen bereiken voordat er een privilege op ingaat. Lakewatch biedt beide toe aan alle accountgebruikers. Zie Privileges.

Signalen en waarschuwingen (afgeleide artefacten)

Signalen en waarschuwingen zijn afgeleide artefacten. Het zijn geen aparte beveiligbare gegevens, dus de beveiligingsgegevensrechten op de ouderdetectieregel of datasource bepalen de toegang ertoe:

Signalen zijn onveranderlijk, dus alleen meldingen kunnen worden bijgewerkt.

Queries

Je beheert de toegang tot query's via de Lakewatch-app, met behulp van deze machtigingsniveaus: