Role i możliwości

Lakewatch zarządza każdym typem zasobów korzystając z uprawnień do katalogu Unity. Niniejszy punkt odniesienia zawiera uprawnienia dla źródeł danych, reguły detekcji, sygnały, alerty i zapytania oraz możliwości, które każde z nich przyznaje.

Jak organizowane są przywileje

Każdy zasób Lakewatch (źródło danych i reguła detekcji) ma dwie grupy uprawnień:

• Uprawnienia zasobów rządzą samym zasobem: odczytują jego konfigurację, zarządzają nią i zarządzają dostępem.
• Uprawnienia do danych bezpieczeństwa rządzą wyjściami zasobu: sygnałami i alertami z niego pozyskiwanymi.

Możesz przyznać przywilej bezpośrednio na zasobie, albo na schematze nadrzędnym czy katalogu i pozwolić mu dziedziczyć zasoby poniżej.

Polecane role

Databricks zaleca cztery grupy odpowiadające rolom w zespole ds. bezpieczeństwa. Każda grupa otrzymuje określony zestaw przywilejów w katalogu Lakewatch. Aby uzyskać polecenia tworzące te grupy i stosujące te granty, zobacz Ustaw kontrolę dostępu.

Co każda rola może zrobić

Te przywileje są przyznawane w katalogu, więc dziedziczą każdy schemat i zasób pod nim. Dostęp grupy obejmuje więc wszystkie zasoby Lakewatch w tym katalogu, w tym zasoby stworzone przez innych użytkowników, a nie tylko te stworzone przez jej członków. Ten dostęp pochodzi z przyznania katalogu, a nie z nadpisania administratora: ponieważ model kontroli dostępu nie ma żadnego nadpisania, grupa osiąga dokładnie to, co obejmuje jej grant, a nic w katalogu, gdzie nie posiada grantu.

• lakewatch-admins Zarządzają całym katalogiem: tworzą, przeglądają, edytują, usuwają i ponownie udostępniają dowolne źródła danych lub reguły detekcji (MANAGE), czytają i aktualizują wszystkie dane bezpieczeństwa generowane przez te zasoby, zapytują wszystkie dane (SELECT) oraz zmieniają ustawienia Lakewatch w katalogu.
• lakewatch-data-engineers Tworzenie i posiadanie źródeł danych, tworzenie tabel i schematów oraz zapytania i zapisy danych w całym katalogu (SELECT, MODIFY).
• lakewatch-detection-engineers Tworz reguły wykrywania, przeglądaj dowolne źródło danych lub regułę detekcji w katalogu (READ_METADATA), czytaj dane bezpieczeństwa generowane przez te zasoby (READ_SECURITY_DATA) oraz zapytuj dane (SELECT).
• lakewatch-analysts Obsługuj kolejkę alertów w katalogu: czytają i aktualizują dane bezpieczeństwa (alerty i sygnały) generowane przez dowolną regułę lub źródło danych (READ_SECURITY_DATA, UPDATE_SECURITY_DATA), zapytują tabele i sygnały bazowe (SELECT), oraz przeglądają konfigurację zasobów (READ_METADATA).

Grupa sięga do zasobów innego członka tylko o tyle, na ile rozciągają się jej przywileje: przeglądanie zasobu wymaga READ_METADATA, a praca z danymi bezpieczeństwa wymaga odpowiednich uprawnień danych bezpieczeństwa. Własność zawsze daje pełną kontrolę, więc osoba tworząca zasób może nim zarządzać niezależnie od członkostwa w grupie oraz zmiany zasobu lub wymagań MANAGE dostępu lub własności.

Podziel się swoim zespołem zasobem

Jesteś właścicielem tego, co tworzysz, a własność obejmuje prawo do udzielania dostępu innym. Aby udostępnić regułę wykrywania lub źródło danych, przyznaj przywilej, który odpowiada temu, co powinien zrobić odbiorca:

• Aby pozwolić im to zobaczyć , przyznaj READ_METADATA.
• Aby widzieć alerty i sygnały, które generuje, przyznaj READ_SECURITY_DATA.
• Aby umożliwić im edycję, usuwanie lub współzarządzanie, przyznaj MANAGE.

Nie MANAGE wystarczy tylko uczynić zasób widocznym dla zespołu. MANAGE jest tylko dla pozwolenia innym na zmianę. W zalecanym ustawieniu grupy zespołowe już posiadają te uprawnienia w katalogu współdzielonym, więc zasoby stworzone tam są automatycznie udostępniane zespołowi. Przyznajesz pojedynczy zasób tylko wtedy, gdy musisz poszerzyć dostęp poza domyślne ustawienia grupowe.

Źródła danych i reguły detekcji

Źródła danych i reguły detekcji mają te same uprawnienia do zasobów i danych. Różnią się jedynie uprawnieniami do tworzenia (CREATE_DATASOURCE dla źródła danych, CREATE_RULE dla reguły wykrywania):

Aby stworzyć źródło danych, musisz USE CATALOG mieć na katalogu, USE SCHEMA na schemacie oraz CREATE_DATASOURCE na schemacie nadrzędnym. Aby stworzyć regułę detekcji, potrzebujesz tych samych USE CATALOG i USE SCHEMA uprawnień, plus CREATE_RULE schematu nadrzędnego.

Dostęp do zasobu posiadanego przez innego użytkownika opiera się na tych samych uprawnieniach, niezależnie od tego, czy jest to źródło danych, czy reguła wykrywania:

• Aby go zobaczyć , musisz READ_METADATA użyć na zasobie lub na schemacie lub katalogu powyżej.
• Aby edytować, usunąć lub przenieść ją, musisz MANAGEbyć właścicielem , lub . MANAGE Sam nie pozwala zobaczyć zasobu; połącz go z READ_METADATA.
• Aby zmienić, kto może do niego korzystać , potrzebujesz MANAGE_ACCESS_CONTROL (include w), MANAGEczyli własności.

W każdym przypadku główny musi również być na USE CATALOG katalogu oraz USE SCHEMA na schemacie zawierającym zasób, ponieważ źródło danych lub reguła detekcji to katalog Unity zabezpieczalny, do którego podmiot musi się dotrzeć, zanim jakiekolwiek uprawnienia na nim wejdą w życie. Dlatego samo przyznanie dostępu do widoku (READ_METADATA) nie wystarcza bez USE CATALOG i USE SCHEMA. Zobacz model kontroli dostępu.

Sygnały i alarmy (artefakty pochodne)

Sygnały i alarmy są artefaktami pochodzenia. Nie są to oddzielne zabezpieczalności, więc uprawnienia danych bezpieczeństwa na regułzie detekcji rodzica lub źródła danych kontrolują dostęp do nich:

Sygnały są niezmienne, więc można aktualizować tylko alerty.

Queries

Dostęp do zapytań zarządzasz przez aplikację Lakewatch, używając następujących poziomów uprawnień: