Funções e capacidades

info

Visualização

Lakewatch está em Pré-visualização privada. Para solicitar acesso, entre em contato com a equipe da sua conta da Databricks.

O Lakewatch governa cada tipo de recurso com privilégios do Unity Catalog. Esta referência lista os privilégios para fontes de dados, regras de detecção, sinais, alertas e consultas, e o recurso que cada um deles concede.

Como os privilégios são organizados

Cada recurso Lakewatch (fonte de dados e regra de detecção) tem dois grupos de privilégios:

• Privilégios de recurso regem o próprio recurso: leitura de sua configuração, gerenciamento dele e gerenciamento de seu acesso.
• Privilégios de dados de segurança regem as saídas do recurso: os sinais e alertas derivados dele.

Você pode conceder um privilégio diretamente em um recurso ou concedê-lo no esquema ou catálogo pai e deixá-lo ser herdado pelos recursos abaixo.

Funções recomendadas

A Databricks recomenda quatro grupos que mapeiam para as funções em uma equipe de segurança. Cada grupo recebe um conjunto fixo de privilégios no catálogo do Lakewatch. Para os comandos que criam esses grupos e aplicam essas concessões, consulte Configurar controle de acesso.

Grupo	Privilégios no catálogo
lakewatch-admins	USE CATALOG, USE SCHEMA, MANAGE, READ_METADATA, SELECT, MODIFY, CREATE_DATASOURCE, CREATE_RULE, CREATE_SECRET, READ_SECURITY_DATA, UPDATE_SECURITY_DATA
lakewatch-data-engineers	USE CATALOG, USE SCHEMA, CREATE_DATASOURCE, CREATE_SECRET, SELECT, MODIFY, CREATE TABLE, CREATE SCHEMA
lakewatch-detection-engineers	USE CATALOG, USE SCHEMA, CREATE_RULE, READ_METADATA, READ_SECURITY_DATA, SELECT
lakewatch-analysts	USE CATALOG, USE SCHEMA, READ_SECURITY_DATA, UPDATE_SECURITY_DATA, SELECT, READ_METADATA

Grupo	Privilégios no catálogo
lakewatch-admins	USE CATALOG, USE SCHEMA, MANAGE, READ_METADATA, SELECT, MODIFY, CREATE_DATASOURCE, CREATE_RULE, CREATE_SECRET, READ_SECURITY_DATA, UPDATE_SECURITY_DATA
lakewatch-data-engineers	USE CATALOG, USE SCHEMA, CREATE_DATASOURCE, CREATE_SECRET, SELECT, MODIFY, CREATE TABLE, CREATE SCHEMA
lakewatch-detection-engineers	USE CATALOG, USE SCHEMA, CREATE_RULE, READ_METADATA, READ_SECURITY_DATA, SELECT
lakewatch-analysts	USE CATALOG, USE SCHEMA, READ_SECURITY_DATA, UPDATE_SECURITY_DATA, SELECT, READ_METADATA

O que cada função pode fazer

Esses privilégios são concedidos no catálogo, por isso eles são herdados por cada esquema e recurso abaixo dele. Portanto, o acesso de um grupo abrange todos os recursos do Lakewatch nesse catálogo, incluindo os recursos que outros usuários criaram, não apenas aqueles que seus próprios membros criam. Esse acesso vem da concessão do catálogo, não de uma substituição de administrador: como o modelo de controle de acesso não tem substituição, um grupo alcança exatamente o que suas concessões cobrem e nada em um catálogo onde não possui concessão.

• lakewatch-admins gerenciar todo o catálogo: eles criam, view, editam, excluem e compartilham novamente qualquer fonte de dados ou regra de detecção (MANAGE), leem e atualizam todos os dados de segurança produzidos por esses recursos, query todos os dados (SELECT) e alteram as configurações do Lakewatch do catálogo.
• lakewatch-data-engineers criar e ser proprietário de fontes de dados, criar tabelas e esquemas, e realizar query e escrita de dados em todo o catálogo (SELECT, MODIFY).
• lakewatch-detection-engineers criar regras de detecção, view qualquer fonte de dados ou regra de detecção no catálogo (READ_METADATA), ler os dados de segurança que esses recursos produzem (READ_SECURITY_DATA) e executar query de dados (SELECT).
• lakewatch-analysts trabalhar na fila de alertas em todo o catálogo: eles leem e atualizam os dados de segurança (alertas e sinais) produzidos por qualquer regra ou fonte de dados (READ_SECURITY_DATA, UPDATE_SECURITY_DATA), fazem query nas tabelas e sinais subjacentes (SELECT) e fazem view da configuração do recurso (READ_METADATA).

Um grupo alcança os recursos de outro membro apenas na medida em que seus privilégios concedidos se estendem: visualizar um recurso precisa de READ_METADATA e trabalhar com seus dados de segurança precisa do privilégio de dados de segurança correspondente. A propriedade sempre adiciona controle total, portanto, quem cria um recurso pode gerenciá-lo independentemente da associação ao grupo, e alterar um recurso ou seu acesso requer MANAGE ou propriedade.

Compartilhe um recurso com sua equipe

Você é proprietário do que cria, e a propriedade inclui o direito de conceder acesso a outras pessoas. Para compartilhar uma regra de detecção ou fonte de dados, conceda o privilégio que corresponde ao que o destinatário deve fazer:

• Para deixá-los view , conceda READ_METADATA.
• Para permitir que eles vejam os alertas e sinais que ele produz, conceda READ_SECURITY_DATA.
• Para permitir que eles editem, excluam ou gerenciem em conjunto , conceda MANAGE.

Você não precisa de MANAGE apenas para tornar um recurso visível para a equipe. MANAGE é apenas para permitir que outros o alterem. Com a configuração recomendada, os grupos da equipe já possuem esses privilégios no catálogo compartilhado, de modo que os recursos que você cria lá são compartilhados automaticamente com a equipe. Conceda em um recurso individual apenas quando precisar ampliar o acesso além dos default do grupo.

Fontes de dados e regras de detecção

As origens de dados e as regras de detecção compartilham os mesmos privilégios de recursos e de dados de segurança. Eles diferem apenas no privilégio de criação (CREATE_DATASOURCE para uma origem de dados, CREATE_RULE para uma regra de detecção):

Privilégio	Concessões
READ_METADATA	Leia o recurso e sua configuração.
MANAGE	Gerenciar o recurso: atualizar, excluir e transferir a propriedade. Não concede por si só acesso de leitura ou de dados.
MANAGE_ACCESS_CONTROL	Conceder e revogar privilégios no recurso.
READ_SECURITY_DATA	Leia os dados de segurança produzidos pelo recurso (seus sinais e alertas).
UPDATE_SECURITY_DATA	Atualize esses dados de segurança (por exemplo, atualize um alerta).

Privilégio	Concessões
READ_METADATA	Leia o recurso e sua configuração.
MANAGE	Gerenciar o recurso: atualizar, excluir e transferir a propriedade. Não concede por si só acesso de leitura ou de dados.
MANAGE_ACCESS_CONTROL	Conceder e revogar privilégios no recurso.
READ_SECURITY_DATA	Leia os dados de segurança produzidos pelo recurso (seus sinais e alertas).
UPDATE_SECURITY_DATA	Atualize esses dados de segurança (por exemplo, atualize um alerta).

Para criar uma fonte de dados , você precisa de USE CATALOG no catálogo, USE SCHEMA no esquema e CREATE_DATASOURCE no esquema pai. Para criar uma regra de detecção , você precisa dos mesmos privilégios USE CATALOG e USE SCHEMA, mais CREATE_RULE no esquema pai.

O acesso a um recurso que outro usuário possui segue esses mesmos privilégios, seja uma fonte de dados ou uma regra de detecção:

• Para view , é necessário READ_METADATA no recurso ou em um esquema ou catálogo acima dele.
• Para editar, excluir ou transferir , você precisa de MANAGE ou ser o proprietário. MANAGE sozinho não permite view um recurso; combine-o com READ_METADATA.
• Para alterar quem pode acessá-lo , você precisa de MANAGE_ACCESS_CONTROL (incluído em MANAGE) ou propriedade.

Em cada caso, o principal também precisa de USE CATALOG no catálogo e USE SCHEMA no esquema que contém o recurso, porque uma fonte de dados ou regra de detecção é um objeto protegível do Unity Catalog que um principal deve ser capaz de acessar antes que qualquer privilégio nele tenha efeito. É por isso que conceder apenas acesso à view (READ_METADATA) não é suficiente sem USE CATALOG e USE SCHEMA. Consulte Modelo de controle de acesso.

Sinais e alertas (artefatos derivados)

Signals (Sinais) e alerts (alertas) são artefatos derivados. Eles não são securables (objetos protegíveis) separados, portanto, os privilégios de dados de segurança na regra de detecção pai ou na fonte de dados controlam o acesso a eles:

Para…	Você precisa disso na regra pai ou na fonte de dados
view ou listar sinais e alertas	READ_SECURITY_DATA
Atualizar um alerta	UPDATE_SECURITY_DATA

Para…	Você precisa disso na regra pai ou na fonte de dados
view ou listar sinais e alertas	READ_SECURITY_DATA
Atualizar um alerta	UPDATE_SECURITY_DATA

Os sinais são imutáveis, por isso apenas os alertas podem ser atualizados.

Consultas

Você gerencia o acesso às queries através do aplicativo Lakewatch, usando estes níveis de permissão:

Nível de permissão	Concessões
CAN_VIEW	view a query e seus resultados.
CAN_RUN	Execução a query.
CAN_EDIT	Edite e salve a query.
CAN_MANAGE	Gerenciar a query, incluindo seu acesso. O criador da query recebe isso.

Nível de permissão	Concessões
CAN_VIEW	view a query e seus resultados.
CAN_RUN	Execução a query.
CAN_EDIT	Edite e salve a query.
CAN_MANAGE	Gerenciar a query, incluindo seu acesso. O criador da query recebe isso.