Rôles et capacités

info

Aperçu

Lakewatch est en aperçu privé. Pour demander l'accès, contactez l'équipe de votre compte Databricks.

Lakewatch régit chaque type de ressource avec les privilèges d’Unity Catalog. Cette référence répertorie les privilèges des sources de données, des règles de détection, des signaux, des alertes et des queries, ainsi que la capacité accordée par chacun d’eux.

Comment les privilèges sont organisés

Chaque ressource Lakewatch (source de données et règle de détection) possède deux groupes de privilèges :

• Les privilèges de ressource régissent la ressource elle-même : lecture de sa configuration, sa gestion et la gestion de son accès.
• Privilèges de sécurité des données : régissent les résultats de la ressource : les signaux et les alertes qui en découlent.

Vous pouvez accorder un privilège directement sur une ressource ou l'accorder sur le schéma ou le catalogue parent et le laisser hériter par les ressources en dessous.

Rôles recommandés

Databricks recommande quatre groupes qui correspondent aux rôles d’une équipe de sécurité. Chaque groupe reçoit un ensemble fixe de privilèges sur le catalogue Lakewatch. Pour les commandes qui créent ces groupes et appliquent ces autorisations, voir Configurer le contrôle d’accès.

Groupe	Privilèges sur le catalogue
lakewatch-admins	USE CATALOG, USE SCHEMA, MANAGE, READ_METADATA, SELECT, MODIFY, CREATE_DATASOURCE, CREATE_RULE, CREATE_SECRET, READ_SECURITY_DATA, UPDATE_SECURITY_DATA
lakewatch-data-engineers	USE CATALOG, USE SCHEMA, CREATE_DATASOURCE, CREATE_SECRET, SELECT, MODIFY, CREATE TABLE, CREATE SCHEMA
lakewatch-detection-engineers	USE CATALOG, USE SCHEMA, CREATE_RULE, READ_METADATA, READ_SECURITY_DATA, SELECT
lakewatch-analysts	USE CATALOG, USE SCHEMA, READ_SECURITY_DATA, UPDATE_SECURITY_DATA, SELECT, READ_METADATA

Groupe	Privilèges sur le catalogue
lakewatch-admins	USE CATALOG, USE SCHEMA, MANAGE, READ_METADATA, SELECT, MODIFY, CREATE_DATASOURCE, CREATE_RULE, CREATE_SECRET, READ_SECURITY_DATA, UPDATE_SECURITY_DATA
lakewatch-data-engineers	USE CATALOG, USE SCHEMA, CREATE_DATASOURCE, CREATE_SECRET, SELECT, MODIFY, CREATE TABLE, CREATE SCHEMA
lakewatch-detection-engineers	USE CATALOG, USE SCHEMA, CREATE_RULE, READ_METADATA, READ_SECURITY_DATA, SELECT
lakewatch-analysts	USE CATALOG, USE SCHEMA, READ_SECURITY_DATA, UPDATE_SECURITY_DATA, SELECT, READ_METADATA

Ce que chaque rôle peut faire

Ces privilèges sont accordés sur le catalogue ; ils sont donc hérités par chaque schéma et chaque ressource en aval. L’accès d’un groupe s’étend donc à toutes les ressources Lakewatch de ce catalogue, y compris celles créées par d’autres utilisateurs, et pas seulement celles créées par ses propres membres. Cet accès découle de l’autorisation accordée sur le catalogue, et non d’une dérogation d’administrateur : comme le modèle de contrôle d’accès ne prévoit aucune dérogation, un groupe n’accède qu’aux éléments couverts exactement par ses autorisations et à rien dans un catalogue où il ne bénéficie d’aucune autorisation.

• lakewatch-admins gèrent l’ensemble du catalogue : ils créent, affichent, modifient, suppriment et repartagent toute source de données ou règle de détection (MANAGE), lisent et mettent à jour toutes les données de sécurité que ces Ressources produisent, query toutes les données (SELECT) et modifient les paramètres Lakewatch du catalogue.
• lakewatch-data-engineers créer et posséder des sources de données, créer des tables et des schémas, et query et écrire des données dans tout le catalogue (SELECT, MODIFY).
• lakewatch-detection-engineers créer des règles de détection, consulter n'importe quelle source de données ou règle de détection dans le catalogue (READ_METADATA), lire les données de sécurité que ces ressources produisent (READ_SECURITY_DATA) et query des données (SELECT).
• lakewatch-analysts travailler sur la file d'attente d'alertes dans le catalogue : ils lisent et mettent à jour les données de sécurité (alertes et signaux) produites par n'importe quelle règle ou source de données (READ_SECURITY_DATA, UPDATE_SECURITY_DATA), query les tables et les signaux sous-jacents (SELECT) et consultent la configuration des Ressources (READ_METADATA).

Un groupe n’accède aux ressources d’un autre membre que dans la limite des privilèges qui lui sont accordés : l’affichage d’une ressource nécessite READ_METADATA et l’utilisation de ses données de sécurité nécessite le privilège de données de sécurité correspondant. La propriété ajoute toujours un contrôle total ; par conséquent, quiconque crée une ressource peut la gérer indépendamment de l’appartenance à un groupe, et la modification d’une ressource ou de son accès nécessite MANAGE ou la propriété.

Partager une ressource avec votre équipe

Vous possédez ce que vous créez, et la propriété inclut le droit d'accorder l'accès à d'autres personnes. Pour partager une règle de détection ou une source de données, accordez le privilège qui correspond à ce que le destinataire doit faire :

• Pour leur permettre de l' afficher , accordez READ_METADATA.
• Pour leur permettre de voir les alertes et les signaux qu'elle produit, accordez READ_SECURITY_DATA.
• Pour leur permettre de le modifier, de le supprimer ou de le co-gérer , accordez MANAGE.

Vous n'avez pas besoin de MANAGE juste pour rendre une ressource visible pour l'équipe. MANAGE sert uniquement à laisser les autres le modifier. Avec la configuration recommandée, les groupes d’équipe détiennent déjà ces privilèges sur le catalogue partagé ; les ressources que vous y créez sont donc automatiquement partagées avec l’équipe. N’accordez l’accès sur une ressource individuelle que lorsque vous devez élargir l’accès au-delà des paramètres default du groupe.

Sources de données et règles de détection

Les sources de données et les règles de détection partagent les mêmes privilèges de ressources et de données de sécurité. Elles diffèrent uniquement par le privilège de création (CREATE_DATASOURCE pour une source de données, CREATE_RULE pour une règle de détection) :

Privilège	Accorder
READ_METADATA	Lire la ressource et sa configuration.
MANAGE	Gérez la ressource : mettre à jour, supprimer et transférer la propriété. N'accorde pas par lui-même un accès en lecture ou aux données.
MANAGE_ACCESS_CONTROL	Accorder et révoquer des privilèges sur la ressource.
READ_SECURITY_DATA	Lisez les données de sécurité produites par la ressource (ses signaux et alertes).
UPDATE_SECURITY_DATA	Mettre à jour ces données de sécurité (par exemple, mettre à jour une alerte).

Privilège	Accorder
READ_METADATA	Lire la ressource et sa configuration.
MANAGE	Gérez la ressource : mettre à jour, supprimer et transférer la propriété. N'accorde pas par lui-même un accès en lecture ou aux données.
MANAGE_ACCESS_CONTROL	Accorder et révoquer des privilèges sur la ressource.
READ_SECURITY_DATA	Lisez les données de sécurité produites par la ressource (ses signaux et alertes).
UPDATE_SECURITY_DATA	Mettre à jour ces données de sécurité (par exemple, mettre à jour une alerte).

Pour créer une source de données , vous avez besoin de USE CATALOG sur le catalogue, USE SCHEMA sur le schéma et CREATE_DATASOURCE sur le schéma parent. Pour créer une règle de détection , vous avez besoin des mêmes privilèges USE CATALOG et USE SCHEMA, plus CREATE_RULE sur le schéma parent.

L’accès à une ressource appartenant à un autre utilisateur suit ces mêmes privilèges, qu’il s’agisse d’une source de données ou d’une règle de détection :

• Pour le voir , vous devez disposer des droits READ_METADATA sur la ressource, ou sur un schéma ou un catalogue au-dessus de celle-ci.
• Pour modifier, supprimer ou transférer cet élément, vous avez besoin de MANAGE ou vous devez en être le propriétaire. MANAGE ne vous permet pas à lui seul de visualiser une ressource ; associez-le à READ_METADATA.
• Pour modifier les personnes ayant accès , vous avez besoin de MANAGE_ACCESS_CONTROL (inclus dans MANAGE) ou de la propriété.

Dans tous les cas, le principal doit également disposer de USE CATALOG sur le catalogue et de USE SCHEMA sur le schéma qui contiennent la ressource, car une source de données ou une règle de détection est un élément sécurisable Unity Catalog qu'un principal doit pouvoir atteindre avant qu'un privilège sur celui-ci ne prenne effet. C'est pourquoi l'octroi seul de l'accès en visualisation (READ_METADATA) ne suffit pas sans USE CATALOG et USE SCHEMA. Voir Modèle de contrôle d'accès.

Signaux et alertes (artefacts dérivés)

Les signaux et les alertes sont des artefacts dérivés. Il ne s’agit pas d’éléments sécurisables distincts ; par conséquent, les privilèges de données de sécurité sur la règle de détection parent ou la source de données contrôlent leur accès :

Pour…	Vous devez avoir cela sur la règle parente ou la source de données
Afficher ou lister les signaux et les alertes	READ_SECURITY_DATA
Mettre à jour une alerte	UPDATE_SECURITY_DATA

Pour…	Vous devez avoir cela sur la règle parente ou la source de données
Afficher ou lister les signaux et les alertes	READ_SECURITY_DATA
Mettre à jour une alerte	UPDATE_SECURITY_DATA

Les signaux sont immuables ; seules les alertes peuvent être mises à jour.

Queries

Vous gérez l'accès aux query via l'application Lakewatch, en utilisant ces niveaux d'autorisation :

Niveau d'autorisation	Accorder
CAN_VIEW	Affichez la query et ses résultats.
CAN_RUN	Exécutez la query.
CAN_EDIT	Modifiez et enregistrez la query.
CAN_MANAGE	Gérer la query, y compris son accès. L'auteur de la query obtient ceci.

Niveau d'autorisation	Accorder
CAN_VIEW	Affichez la query et ses résultats.
CAN_RUN	Exécutez la query.
CAN_EDIT	Modifiez et enregistrez la query.
CAN_MANAGE	Gérer la query, y compris son accès. L'auteur de la query obtient ceci.