展開モデル
プレビュー
Lakewatchは プライベート プレビュー段階です。アクセスをリクエストするには、Databricksアカウントチームにお問い合わせください。
LakewatchリソースはUnity Catalogで保護可能なリソースであるため、カタログ、スキーマ、Unity Catalogの権限を使用して、データと同じように構成および管理します。デプロイモデルを選択し、カタログとスキーマを使用して、スケーリング時にリソースを分離します。
デプロイモデルの選択
Lakewatchは、次の2つのデプロイメントモデルをサポートしています。
- シングルユーザー : 1人のユーザーが自身のIDでLakewatchを使用します。これには、カタログとスキーマへのアクセス以外に設定は必要ありません。
- チームベース ：セキュリティチームは、役割ベースのアクセス制御（RBAC）を使用してLakewatchを共有します。この制御では、グループが役割にマッピングされ、スケジュールされた作業のためにService Principalが使用されます。これは Databricks が 本番運用 に推奨するモデルです。
シングルユーザーデプロイメント
Lakewatchには管理者オンボーディングは不要です。Lakewatchリソースを作成するには、ユーザーはカタログに USE CATALOG、スキーマに USE SCHEMA、およびリソースを作成する権限 (CREATE_DATASOURCE または CREATE_RULE) を持っている必要があります。また、作成するリソースの所有権も必要です。ワークスペースのdefaultカタログでは、ワークスペースユーザーにはdefaultで USE CATALOG および USE SCHEMA が付与されていますが、CREATE_DATASOURCE および CREATE_RULE はdefaultでは付与されていないため、Lakewatchリソースを作成する前に、ユーザーに適切な作成権限を付与する必要があります。
チームベースのデプロイメント
セキュリティチームの場合、グループを役割（管理者、データエンジニア、検出エンジニア、アナリスト）にマッピングし、各グループにカタログに対する権限を付与し、スケジュールされたデータソースと検出ルールを共有Service Principalとして実行します。グループ、ランアズService Principal、付与など、段階的なセットアップについては、「アクセス制御の設定」を参照してください。各ロールに必要な権限については、「ロールと能力」を参照してください。
カタログとスキーマを使用した整理
チームや環境が増えるにつれて、カタログとスキーマを使用してリソースを分離し、ガバナンスを維持します。Lakewatchはこれらのカタログとスキーマを環境とフォルダとして登録するため、以下のパターンはそれらに直接マッピングされます。
パターン | 目的 |
|---|---|
カタログによる環境分離 | 開発、ステージング、本番用に別々のカタログを維持します。それぞれに独自のルール、データソース、クエリーがあります。ワークスペース-カタログ バインディングは、特定のワークスペースがアクセスできる環境を制御します。 |
スキーマによるチームの分離 | カタログ内で、リソースを所有するチームごとにスキーマにグループ化します（例： |
管理委任 | カタログまたはスキーマに対する |
グループ所有の本番運用資産 | 本番運用のルール、データソース、およびクエリーは、個人ではなくグループで所有するようにします。これにより、担当者が役割を変更したり辞めたりしても、アクセス権が維持されます。使用するIDプロバイダーの管理グループを使用してください。 |
実行用のService Principal | スケジュールされたデータソースと検出ルールは、運用チームが所有するService Principalとしてランし、本番運用と個人のアカウントを分離します。 |