ロールと能力
プレビュー
Lakewatchは プライベート プレビュー段階です。アクセスをリクエストするには、Databricksアカウントチームにお問い合わせください。
Lakewatchは、Unity Catalogの権限を使用して各リソースタイプを管理します。このリファレンスには、データソース、検出ルール、シグナル、アラート、およびクエリーの権限と、それぞれが付与する機能がリストされています。
権限の構成方法
各Lakewatchリソース（データソースと検出ルール）には、2つの権限グループがあります：
- リソース権限 は、リソース自体を制御します。リソースの構成の読み取り、管理、およびアクセス管理が含まれます。
- セキュリティデータ権限 は、リソースの 出力 、つまりそこから派生するシグナルとアラートを制御します。
リソースに直接権限を付与することも、親スキーマまたはカタログに付与して、その下のリソースに継承させることもできます。
推奨ロール
Databricksは、セキュリティチームの役割にマップする4つのグループを推奨しています。各グループには、Lakewatchカタログに対する固定の権限セットが付与されます。これらのグループを作成し、権限を付与するコマンドについては、アクセス制御の設定を参照してください。
グループ | カタログに対する特権 |
|---|---|
|
|
|
|
|
|
|
|
各ロールで実行できる操作
これらの権限はカタログに付与されるため、その下にあるすべてのスキーマとリソースに継承されます。グループのアクセス権は、そのメンバーが作成したものだけでなく、他のユーザーが作成したリソースも含め、そのカタログ内の すべて のLakewatchリソースに及びます。このアクセス権は管理者によるオーバーライドではなく、カタログへの権限付与によるものです。アクセス制御モデルにはオーバーライドがないため、グループがアクセスできるのは付与された権限の対象範囲に限られ、権限が付与されていないカタログ内のものにはアクセスできません。
lakewatch-adminsカタログ全体を管理します：データソースや検出ルール（MANAGE）の作成、表示、編集、削除、再共有、それらのリソースによって生成されるすべてのセキュリティデータの読み取りと更新、すべてのデータのクエリー（SELECT）、およびカタログのLakewatch設定の変更を行います。lakewatch-data-engineersデータソースの作成と所有、テーブルとスキーマの作成、およびカタログ (SELECT,MODIFY) 全体でのデータのクエリーと書き込み。lakewatch-detection-engineers検出ルールの作成、カタログ(READ_METADATA)内の任意のデータソースまたは検出ルールの表示、これらのリソースが生成するセキュリティデータの読み取り(READ_SECURITY_DATA)、データのクエリー(SELECT)。lakewatch-analystsカタログ全体のアラートキューを処理します。ルールまたはデータソース（READ_SECURITY_DATA、UPDATE_SECURITY_DATA）によって生成されたセキュリティデータ（アラートとシグナル）の読み取りと更新、基になるテーブルとシグナルのクエリー（SELECT）、およびリソース構成の表示（READ_METADATA）を行います。
グループは、付与された権限の範囲内で他のメンバーのリソースにのみアクセスできます。リソースを表示するにはREAD_METADATAが必要で、リソースのセキュリティ データを使用して作業するには一致するセキュリティ データ権限が必要です。所有権は常に完全な制御権を追加するため、リソースを作成したユーザーはグループのメンバーシップに関係なくそのリソースを管理できます。リソースまたはそのアクセスを変更するには、MANAGEまたは所有権が必要です。
リソースをチームと共有する
作成したものは自身で所有し、所有権には他者にアクセス権を付与する権限が含まれます。検出ルールまたはデータソースを共有するには、受信者が実行する必要がある操作に対応する権限を付与します：
- 彼らにそれを 表示 させるには、
READ_METADATAを付与します。 - それらのユーザーに、それが生成する アラートとシグナルを表示 させるには、
READ_SECURITY_DATAを付与します。 - 編集、削除、または共同管理 を許可するには、
MANAGEを付与します。
リソースをチームに表示するためだけであれば、MANAGEは必要ありません。MANAGEは、他のユーザーに変更を許可する場合にのみ使用します。推奨される設定では、チームグループは共有カタログに対して既にこれらの権限を保持しているため、そこで作成したリソースは自動的にチームと共有されます。グループのdefaultを超えてアクセスを拡大する必要がある場合にのみ、個々のリソースに付与してください。
データソースと検出ルール
データソースと検出ルールは、同じリソースおよびセキュリティデータの権限を共有します。それらは、作成権限（データソースの場合はCREATE_DATASOURCE、検出ルールの場合はCREATE_RULE）のみが異なります：
権限 | grants |
|---|---|
| リソースとその設定を読み取ります。 |
| リソースを管理します（更新、削除、オーナー権限の譲渡）。それ自体では、読み取り権限やデータアクセス権は付与されません。 |
| リソースに対する権限を付与および取り消します。 |
| リソースが生成するセキュリティデータ（シグナルとアラート）を読み取ります。 |
| セキュリティデータを更新します（たとえば、アラートを更新します）。 |
データソース を作成するには、カタログで USE CATALOG、スキーマで USE SCHEMA、親スキーマで CREATE_DATASOURCE が必要です。 検出ルール を作成するには、同じ USE CATALOG と USE SCHEMA の権限に加え、親スキーマで CREATE_RULE が必要です。
別のユーザーが所有するリソースへのアクセス権も、データソースであるか検出ルールであるかに関係なく、これらの同じ権限に従います:
- これを 表示 するには、リソース上、あるいはそれより上のスキーマまたはカタログ上で
READ_METADATAが必要です。 - 編集、削除、転送 を行うには、
MANAGEが必要か、その所有者である必要があります。MANAGEだけではリソースを表示できません。READ_METADATAと組み合わせてください。 - アクセス可能なユーザーを変更 するには、
MANAGE_ACCESS_CONTROL（MANAGEに含まれる）または所有権が必要です。
いずれの場合も、プリンシパルにはリソースを含むカタログに対するUSE CATALOGとスキーマに対するUSE SCHEMAも必要です。これは、データソースまたは検出ルールがUnity Catalogでセキュリティ保護可能なオブジェクトであり、それに対する権限が有効になる前にプリンシパルが到達できる必要があるためです。そのため、ビューアクセス権（READ_METADATA）のみを付与しても、USE CATALOGとUSE SCHEMAがなければ不十分です。アクセス制御モデルを参照してください。
シグナルとアラート（派生アーティファクト）
シグナル と アラート は派生アーティファクトです。それらは個別のセキュリティ保護可能なオブジェクトではないため、親の検出ルールまたはデータソースのセキュリティデータ権限によって、それらへのアクセスが制御されます。
〜するために… | 親ルールまたはデータソースでこれが必要ですが、 |
|---|---|
シグナルとアラートの表示または一覧表示 |
|
アラートを更新する |
|
シグナルは不変であるため、アラートのみが更新できます。
クエリー
クエリーへのアクセスは、Lakewatchアプリで以下の権限レベルを使用して管理します。
権限レベル | grants |
|---|---|
| クエリーとクエリー結果を表示します。 |
| クエリーをランします。 |
| クエリーを編集して保存します。 |
| アクセス権を含め、クエリーを管理します。クエリーの作成者にこれが付与されます。 |