Funções e capacidades

O Lakewatch governa cada tipo de recurso com privilégios do Catálogo Unity. Esta referência lista os privilégios para fontes de dados, regras de deteção, sinais, alertas e consultas, bem como a capacidade que cada um concede.

Como os privilégios são organizados

Cada recurso Lakewatch (regra de fonte de dados e deteção) tem dois grupos de privilégios:

• Os privilégios dos recursos governam o próprio recurso: ler a sua configuração, gerir a sua configuração e gerir o seu acesso.
• Os privilégios de dados de segurança regulam as saídas do recurso: os sinais e alertas derivados dele.

Pode conceder um privilégio diretamente a um recurso, ou concedê-lo no esquema pai ou catálogo e deixar que herde para os recursos abaixo.

Papéis recomendados

O Databricks recomenda quatro grupos que correspondem aos papéis numa equipa de segurança. Cada grupo recebe um conjunto fixo de privilégios no catálogo do Lakewatch. Para os comandos que criam estes grupos e aplicam estas subvenções, veja Configurar controlo de acesso.

O que cada função pode fazer

Estes privilégios são concedidos no catálogo, por isso herdam a todos os esquemas e recursos subjacentes. O acesso de um grupo abrange, portanto, todos os recursos do Lakewatch nesse catálogo, incluindo os recursos criados por outros utilizadores, não apenas os que os seus próprios membros criam. Este acesso provém da concessão de catálogo, não de uma substituição de administrador: como o modelo de controlo de acesso não tem sobreposição, um grupo atinge exatamente o que as suas bolsas cobrem e nada num catálogo onde não detém subsídio.

• lakewatch-admins gerem todo o catálogo: criam, visualizam, editam, apagam e partilham novamente qualquer fonte de dados ou regra de deteção (),MANAGE leem e atualizam todos os dados de segurança que esses recursos produzem, consultam todos os dados (SELECT) e alteram as definições do Lakewatch do catálogo.
• lakewatch-data-engineers criar e possuir fontes de dados, criar tabelas e esquemas, e consultar e escrever dados em todo o catálogo (SELECT, MODIFY).
• lakewatch-detection-engineers criar regras de deteção, visualizar qualquer fonte de dados ou regra de deteção no catálogo (READ_METADATA), ler os dados de segurança que esses recursos produzem (READ_SECURITY_DATA), e consultar dados (SELECT).
• lakewatch-analysts Trabalhe a fila de alertas em todo o catálogo: eles leem e atualizam os dados de segurança (alertas e sinais) produzidos por qualquer regra ou fonte de dados (READ_SECURITY_DATA, UPDATE_SECURITY_DATA), consultam as tabelas e sinais subjacentes (SELECT), e visualizam a configuração dos recursos (READ_METADATA).

Um grupo alcança os recursos de outro membro apenas na medida em que os privilégios concedidos se estendem: visualizar um recurso precisa READ_METADATAde , e trabalhar com os seus dados de segurança necessita do privilégio correspondente de dados de segurança. A propriedade acrescenta sempre controlo total, por isso quem cria um recurso pode geri-lo independentemente da pertença ao grupo, e alterar um recurso ou o seu acesso exige MANAGE propriedade.

Partilhe um recurso com a sua equipa

Tu possuis o que crias, e a propriedade inclui o direito de conceder acesso a terceiros. Para partilhar uma regra de deteção ou fonte de dados, conceda o privilégio que corresponde ao que o destinatário deve fazer:

• Para lhes permitir ver , concede READ_METADATA.
• Para que vejam os alertas e sinais que produz, concede READ_SECURITY_DATA.
• Para que possam editar, apagar ou co-gerir , conceda MANAGE.

Não precisa MANAGE apenas de tornar um recurso visível para a equipa. MANAGE é apenas para deixar que outros o mudem. Com a configuração recomendada, os grupos de equipa já detêm estes privilégios no catálogo partilhado, por isso os recursos que crias lá são partilhados automaticamente com a equipa. Concede a um recurso individual apenas quando precisares de alargar o acesso para além dos padrões do grupo.

Fontes de dados e regras de deteção

Fontes de dados e regras de deteção partilham os mesmos privilégios de recursos e dados de segurança. Diferem apenas no privilégio de criação (CREATE_DATASOURCE para uma fonte de dados, CREATE_RULE para uma regra de deteção):

Para criar uma fonte de dados, precisa USE CATALOG de estar no catálogo, USE SCHEMA no esquema e CREATE_DATASOURCE no esquema pai. Para criar uma regra de deteção, precisas dos mesmos USE CATALOG privilégios e USE SCHEMA de E no CREATE_RULE esquema pai.

O acesso a um recurso que outro utilizador possui segue estes mesmos privilégios, seja uma fonte de dados ou uma regra de deteção:

• Para o visualizar , precisas READ_METADATA de estar no recurso, ou num esquema ou catálogo acima dele.
• Para editar, eliminar ou transferir , precisa MANAGEde , ou deve ser o seu proprietário. MANAGE Sozinho não permite visualizar um recurso; emparelhá-lo com READ_METADATA.
• Para mudar quem pode aceder a ele, precisa MANAGE_ACCESS_CONTROL (incluído em MANAGE), ou da propriedade.

Em todos os casos, o principal também precisa USE CATALOG do catálogo e USE SCHEMA do esquema que contêm o recurso, porque uma fonte de dados ou regra de deteção é um Unity Catalog securável que um principal deve conseguir aceder antes que qualquer privilégio sobre ele entre em vigor. É por isso que conceder apenas o acesso à visualização (READ_METADATA) não é suficiente sem USE CATALOG e USE SCHEMA. Ver modelo de controlo de acesso.

Sinais e alertas (artefactos derivados)

Sinais e alertas são artefactos derivados. Eles não são securáveis separados, pelo que os privilégios de dados de segurança na regra de deteção principal ou no acesso de controlo de fonte de dados a eles:

Os sinais são imutáveis, por isso só os alertas podem ser atualizados.

Queries

Geres o acesso às consultas através da aplicação Lakewatch, usando estes níveis de permissões: