Model kontroli dostępu

Kontrola dostępu do Lakewatch jest regulowana przez Unity Catalog. Zasoby Lakewatch to obiekty zabezpieczane Unity Catalog, które znajdują się w wybranym przez Ciebie katalogu i schemacie, do których przyznajesz dostęp dzięki uprawnieniom Unity Catalog. Dostęp dziedziczy się w hierarchii katalogu Unity, więc przyznanie grantu na katalog lub schemat dotyczy zasobów Lakewatch znajdujących się poniżej.

Principals

Dostęp jest przyznawany podmiotom zabezpieczeń: indywidualnym użytkownikom, jednostkom usługi (identyfikowanym nazwą lub applicationId) oraz grupom. Lakewatch nie wymaga żadnych zdefiniowanych ról ani grup, a możesz używać dowolnej tożsamości obsługiwanej przez Unity Catalog. Aby skonfigurować zalecaną konfigurację opartą na zespołach, która mapuje grupy na role zabezpieczeń, zobacz Skonfiguruj kontrolę dostępu.

Zasoby Lakewatch jako obiekty zabezpieczane Unity Catalog

Te zasoby Lakewatch to obiekty zabezpieczalne katalogu Unity i znajdują się w katalogu oraz schemacie, które wybierzesz:

• Źródła danych
• Reguły wykrywania

Organizujesz je jak inne dane Unity Catalog, na przykład katalog dla środowiska (dev/staging/prod) oraz schemat dla zespołu. Zobacz modele wdrożenia, aby zapoznać się z sugerowanymi wzorcami.

Katalog Unity zarządza dwoma grupami zasobów, ale są obsługiwane inaczej:

• Zapytania są zarządzane przez aplikację Lakewatch, korzystając z własnych poziomów uprawnień, zamiast uprawnień, które przyznajesz na źródłach danych i regułach wykrywania.
• Sygnały i alertysą tworzone na podstawie reguł wykrywania: reguła generuje sygnały, które są grupowane w alerty. Nie są to oddzielne zabezpieczane obiekty, więc nie nadajesz do nich uprawnień bezpośrednio. Uprawnienia dotyczące danych zabezpieczeń (READ_SECURITY_DATA oraz UPDATE_SECURITY_DATA) na regule nadrzędnej lub źródle danych kontrolują dostęp do nich (patrz Dziedziczenie).

Środowiska i foldery

Lakewatch rejestruje katalogi i schematy Unity Catalog, które przechowują Twoje zasoby jako środowiska i foldery:

• Środowisko to katalog zarejestrowany w Lakewatch (nadrzędnym zakresem dla jego zasobów). Środowisko jest dostępne tylko z przestrzeni roboczej, do której przypisany jest jego katalog (zobacz powiązanie przestrzeni roboczej z katalogiem).
• Folder to schemat zarejestrowany w Lakewatch w ramach tego katalogu. Źródła danych i reguły detekcji znajdują się w folderach, a uprawnienia przyznawane folderowi dotyczą każdego zasobu, który się w nim znajduje.

Środowiska i foldery to widok organizacji katalog na środowisko, schemat na zespół opisanej w modelach wdrożeniowych; nie zmieniają sposobu przyznawania dostępu. Uprawnienia do folderów są nadaniami Unity Catalog na schemacie bazowym, więc uprawnienia i dziedziczenie obowiązują bez zmian.

Uprawnienia

Nadajesz uprawnienia Unity Catalog do katalogu, schematu lub pojedynczego zasobu. Lakewatch definiuje uprawnienia do odczytu konfiguracji zasobu, zarządzania zasobem, zarządzania jego dostępem oraz odczytu lub aktualizacji danych bezpieczeństwa (sygnałów i alertów), które generuje. Pełną listę dla typu zasobu oraz to, na co pozwala każdy przywilej, znajdziesz w sekcji Role i możliwości.

Aby utworzyć zasób, podmiot musi mieć uprawnienie USE CATALOG do katalogu i USE SCHEMA do schematu, a także uprawnienie do tworzenia w tym schemacie lub katalogu: CREATE_DATASOURCE dla źródła danych lub CREATE_RULE dla reguły detekcji. USE CATALOG i USE SCHEMA są przywilejami przechodzenia: samodzielnie pozwalają podmiotowi dotrzeć do katalogu i schematu, ale nie dają możliwości przeglądania zasobu (który wymaga READ_METADATA) ani jego tworzenia.

Ponieważ każdy zasób Lakewatch jest obiektem zabezpieczanym w Unity Catalog, każdy dostęp do niego (w tym samo jego wyświetlanie) wymaga uprawnienia USE CATALOG do jego katalogu i uprawnienia USE SCHEMA do jego schematu, oprócz uprawnienia do samej akcji. Unity Catalog stosuje tę regułę do każdego obiektu, którym zarządza, takiego jak tabela, więc przyznanie komuś dostępu do źródła danych lub reguły detekcji (READ_METADATA) oznacza również przyznanie im USE CATALOG i USE SCHEMA, mimo że te dwa przywileje same w sobie nie ujawniają zasobu.

Inheritance

Dostęp jest dziedziczony w dół w hierarchii Unity Catalog: katalog → schemat → zasób. Przywilej przyznany dla katalogu lub schematu dotyczy każdego zasobu Lakewatch pod nim, więc możesz nadawać uprawnienia szeroko na poziomie katalogu lub schematu, zamiast osobno dla każdego zasobu.

Zalecany układ przyznaje każdej grupie przywileje na poziomie katalogu, więc dotyczą one wszystkich schematów i zasobów w katalogu. Aby zawęzić zakres grupy, zamiast tego przyznaj te same przywileje na poziomie schematu.

Sygnały i alarmy to artefakty pochodne, które same nie mają własnych uprawnień. Dostęp dziedziczy się z reguły wykrywania rodzica lub źródła danych, ale poprzez przywilej, który jest oddzielny od odczytu konfiguracji rodzica:

• Kliknięcie READ_METADATA przy regule detekcji lub źródle danych pozwala odczytać ten zasób i jego konfigurację. Sama w sobie nie daje dostępu do sygnałów i alertów, które generuje zasób.
• Przeglądanie tych sygnałów i alertów wymaga READ_SECURITY_DATA w zasobie nadrzędnym (oddzielnego uprawnienia od READ_METADATA).
• Aktualizacja alertu wynika z uprawnienia UPDATE_SECURITY_DATA na zasobie nadrzędnym. Sygnały są niezmienne.

Własność

Podmiot, który tworzy zasób Lakewatch, staje się jego właścicielem, mając pełną kontrolę nad zasobem, w tym zarządzanie dostępem do niego. Własność może być przekazywana, a dostęp można szerzej udostępniać poprzez przyznanie przywilejów innym tożsamościom.

Settings

Ustawienia Lakewatch są powiązane z katalogiem i dotyczą wszystkich zasobów Lakewatch w jego strukturze. Podmiot z MANAGE w katalogu może zmienić ustawienia tego katalogu.

Wprowadzenie i administracja

Użytkownik, który ma USE CATALOG na katalogu, USE SCHEMA na schemacie i odpowiednie uprawnienia do tworzenia (CREATE_DATASOURCE lub CREATE_RULE), może tam tworzyć zasoby Lakewatch i jest właścicielem tego, co tworzy. W domyślnym katalogu przestrzeni roboczej użytkownicy przestrzeni roboczej domyślnie mają USE CATALOG i USE SCHEMA, ale uprawnienia CREATE_RULE i CREATE_DATASOURCE nie są przyznawane domyślnie, więc użytkownik musi otrzymać odpowiednie uprawnienie do tworzenia, zanim będzie mógł tam tworzyć zasoby Lakewatch. Aby skonfigurować Lakewatch dla zespołu, należy wykonać Skonfiguruj kontrolę dostępu, która tworzy grupy, jednostkę usługi typu run-as oraz wymagane granty. Możesz delegować zarządzanie zestawem zasobów, przyznając uprawnienie MANAGE do katalogu lub schematu.

Kontrola dostępu jest głównie oparta na właścicielu: kontrola uprawnień jest realizowana przez wyraźne przyznanie lub posiadanie zasobu, a Lakewatch nie posiada własnego uprawnienia nadrzędnego administratora. Administratorzy kont i administratorzy metastore mogą nadal przejmować własność lub przyznawać sobie MANAGE za pomocą uprawnień administratora Unity Catalog. Jeśli właściciel zasobu przestanie być dostępny (na przykład osoba odejdzie lub podmiot usługi zostanie usunięty) i żaden inny podmiot nie ma MANAGE, dostęp może być trudny do odzyskania, dlatego Databricks zaleca, aby właścicielem zasobów produkcyjnych była grupa. Zobacz modele wdrożenia.

Zaplanowane zadania i tożsamość uruchamiania jako

Każde źródło danych i reguła detekcji rejestruje podmiot używany do uruchamiania. Wybierasz go podczas tworzenia zasobu (własnej tożsamości lub jednostki usługi, do użycia których masz uprawnienia), a tylko osoba posiadająca MANAGE do zasobu może go zmienić. Zaplanowane potoki pobierania i wykrywania dla zasobu działają w kontekście tego podmiotu zabezpieczeń, więc musi on mieć dostęp do tabel, do których odwołuje się źródło danych lub reguła detekcji. Aby utworzyć jednostkę usługi do tego celu i przyznać jej dostęp wymagany przez zaplanowane zadania, zobacz Skonfiguruj kontrolę dostępu.