Modèles de déploiement

info

Aperçu

Lakewatch est en aperçu privé. Pour demander l’accès, contactez l’équipe de votre compte Databricks.

Les ressources Lakewatch sont des éléments sécurisables dans Unity Catalog, vous pouvez donc les organiser et les gérer de la même manière que vos données, avec des catalogues, des schémas et des autorisations Unity Catalog. Choisissez un modèle de déploiement, puis utilisez les catalogues et les schémas pour garder les ressources isolées à mesure que vous montez en charge.

Choisir un modèle de déploiement

Lakewatch prend en charge deux modèles de déploiement :

• Utilisateur unique : une personne travaille avec Lakewatch sous sa propre identité. Cela ne nécessite aucune configuration autre que l’accès à un catalogue et à un schéma.
• Basé sur l'équipe : Une équipe de sécurité partage Lakewatch en utilisant un contrôle d'accès basé sur les rôles (RBAC), avec des groupes mappés sur des rôles et un service principal pour les tâches planifiées. Il s'agit du modèle que Databricks recommande pour la production.

Déploiement pour utilisateur unique

Lakewatch ne nécessite aucun processus d’intégration pour les administrateurs. Pour créer des ressources Lakewatch, un utilisateur doit disposer de USE CATALOG sur le catalogue, USE SCHEMA sur le schéma et le privilège de création de la ressource (CREATE_DATASOURCE ou CREATE_RULE). De plus, il doit être propriétaire de ce qu’il crée. Dans le catalogue default du Workspace, les utilisateurs du Workspace ont USE CATALOG et USE SCHEMA par default, mais CREATE_DATASOURCE et CREATE_RULE ne sont pas accordés par default. Par conséquent, un utilisateur doit avoir le privilège de création approprié avant de créer des Ressources Lakewatch.

Déploiement basé sur l'équipe

Pour une équipe de sécurité, mappez les groupes aux rôles (administrateurs, data engineers, ingénieurs de détection et analystes), accordez à chaque groupe ses privilèges sur le catalogue et exécutez des sources de données et des règles de détection planifiées en tant que service principal partagé. Pour la configuration étape par étape, y compris les groupes, le service principal d’exécution et les octrois, consultez Configurer le contrôle d’accès. Pour les privilèges dont chaque rôle a besoin, consultez Rôles et capacités.

Organiser avec des catalogues et des schémas

À mesure que vous montez en charge pour intégrer davantage d’équipes et d’environnements, utilisez des catalogues et des schémas pour conserver des ressources isolées et gouvernées. Lakewatch enregistre ces catalogues et schémas comme des environnements et des dossiers, de sorte que les modèles ci-dessous leur correspondent directement :

Modèle	Ce qu'il fait
Isolation de l’environnement par catalogue	Gardez des catalogues de développement, de préproduction et de production distincts, chacun avec ses propres règles, sources de données et requêtes. La liaison entre le workspace et le catalogue contrôle l'environnement qu'un workspace donné peut atteindre.
Isolation de l’équipe par schéma	Au sein d’un catalogue, regroupez les ressources en schémas selon l’équipe qui les possède (par exemple, prod.detections_threat_hunting, prod.detections_okta). L’octroi du privilège de création plus USE SCHEMA sur un schéma délimite ce qu’une équipe peut créer.
Délégation de gestion	Accorder MANAGE sur un catalogue ou un schéma à un chef d’équipe afin de déléguer l’administration de tout ce qu’il contient, sans accorder le rôle d’administrateur de workspace ou d’administrateur de compte.
Group-owned production asset	Possédez les règles de production, les sources de données et les queries avec un groupe plutôt qu'avec un individu, afin que l'accès survit aux changements de rôle ou aux départs des personnes. Utilisez les groupes gérés de votre fournisseur d’identité.
Service Principal pour l’exécution	Exécutez des sources de données planifiées et des règles de détection en tant que service principal appartenant à l'équipe opérationnelle, en gardant l'exécution de la production dissociée du compte de tout individu.

Modèle	Ce qu'il fait
Isolation de l’environnement par catalogue	Gardez des catalogues de développement, de préproduction et de production distincts, chacun avec ses propres règles, sources de données et requêtes. La liaison entre le workspace et le catalogue contrôle l'environnement qu'un workspace donné peut atteindre.
Isolation de l’équipe par schéma	Au sein d’un catalogue, regroupez les ressources en schémas selon l’équipe qui les possède (par exemple, prod.detections_threat_hunting, prod.detections_okta). L’octroi du privilège de création plus USE SCHEMA sur un schéma délimite ce qu’une équipe peut créer.
Délégation de gestion	Accorder MANAGE sur un catalogue ou un schéma à un chef d’équipe afin de déléguer l’administration de tout ce qu’il contient, sans accorder le rôle d’administrateur de workspace ou d’administrateur de compte.
Group-owned production asset	Possédez les règles de production, les sources de données et les queries avec un groupe plutôt qu'avec un individu, afin que l'accès survit aux changements de rôle ou aux départs des personnes. Utilisez les groupes gérés de votre fournisseur d’identité.
Service Principal pour l’exécution	Exécutez des sources de données planifiées et des règles de détection en tant que service principal appartenant à l'équipe opérationnelle, en gardant l'exécution de la production dissociée du compte de tout individu.