ポータルの role と権限
このページでは、Lakehouse Portal のシステム role と、カスタム role に付与できるすべての権限を一覧にしています。ユーザーに合った role を選ぶときや、カスタム role を作成するときに使ってください。
システム role
| role | 用途 |
|---|---|
portal_admin | ポータル全体の管理: ユーザー、グループ、role、セッション、すべての機能。 |
policy_manager | Data Security でのデータアクセスの管理と、ユーザー、グループ、Service Account、Audit log の表示。 |
data_engineer | データの運用: クエリ、Data Explorer、catalog、Time Machine、Lakehouse Janitor。 |
data_analyst | データの分析: クエリ、保存済みクエリ、Data Explorer、Time Machine。 |
viewer | まだ何もできません。この role には権限がなく、アクセス待ちのユーザーを示すために使います。 |
複数の role を持つユーザーは、それらすべての権限を合わせて受け取ります。閲覧だけなど、より限られた権限を与えるには、カスタム role を作成します。role を管理してユーザーに割り当てるを参照してください。
role 別の権限
「Yes」は、そのシステム role に権限が含まれることを示します。
| 権限 | ユーザーができること | portal_admin | policy_manager | data_engineer | data_analyst | viewer |
|---|---|---|---|---|---|---|
| Users | ||||||
users:read | ユーザー一覧とユーザーの詳細を表示する。 | Yes | Yes | — | — | — |
users:create | ユーザーを作成する。 | Yes | — | — | — | — |
users:update | ユーザーの名前、ステータス、role を編集する。 | Yes | — | — | — | — |
users:delete | ユーザーを完全に削除する。 | Yes | — | — | — | — |
users:roles:assign | ユーザーに role を割り当てる。 | Yes | — | — | — | — |
users:roles:revoke | ユーザーから role を解除する。 | Yes | — | — | — | — |
| Sessions | ||||||
sessions:read | Sessions ページを表示する。 | Yes | — | — | — | — |
sessions:revoke | セッションを取り消してユーザーをサインアウトさせる。 | Yes | — | — | — | — |
| Groups | ||||||
groups:read | グループとその詳細を表示する。 | Yes | Yes | — | — | — |
groups:write | グループの作成、編集、削除と、メンバーの管理を行う。 | Yes | — | — | — | — |
| Roles | ||||||
rbac:roles:read | role とその権限を表示する。 | Yes | — | — | — | — |
rbac:roles:write | カスタム role の作成、編集、削除と、権限の設定を行う。 | Yes | — | — | — | — |
permissions:read | role の設定時にポータルの権限一覧を表示する。 | Yes | — | — | — | — |
| Queries | ||||||
query:execute | Query Editor で SQL を実行する。 | Yes | — | Yes | Yes | — |
query:saved.manage | 自分の保存済みクエリを保存、名前変更、削除する。 | Yes | — | Yes | Yes | — |
| Data Explorer | ||||||
data_explorer:browse | Data Explorer を開き、catalog ツリーを参照し、schema、プロパティ、DDL を表示する。 | Yes | Yes | Yes | Yes | — |
data_explorer:preview | Sample data タブを表示する (最大 100 行)。 | Yes | — | Yes | Yes | — |
resources:read | catalog、schema、テーブル、列を参照する。 | Yes | Yes | — | — | — |
| Time Machine | ||||||
time_machine:read | snapshot のタイムラインを表示し、テーブルの過去のバージョンをプレビューする。 | Yes | — | Yes | Yes | — |
time_machine:metadata_diff | 2 つの snapshot 間でテーブルの構造を比較する。 | Yes | — | Yes | Yes | — |
time_machine:data_diff | 2 つの snapshot 間でテーブルのデータを比較する。 | Yes | — | Yes | Yes | — |
time_machine:config:read | Time Machine のリソース上限を表示する。 | Yes | — | Yes | — | — |
time_machine:config:update | Time Machine のリソース上限を変更する。 | Yes | — | Yes | — | — |
| Lakehouse Janitor | ||||||
maintenance:read | ジョブ、実行、設定、実行履歴を表示する。 | Yes | — | Yes | — | — |
maintenance:manage | ジョブの開始、キャンセル、インポート、一時停止、再開と、デフォルト設定の変更を行う。 | Yes | — | Yes | — | — |
| Data Security | ||||||
governance:permissions:read | アクセス policy を表示する。 | Yes | Yes | — | — | — |
governance:permissions:grant | アクセス policy を作成し、権限を付与する。 | Yes | Yes | — | — | — |
governance:permissions:revoke | アクセス policy から権限を取り消す。 | Yes | Yes | — | — | — |
governance:permissions:delete | アクセス policy を削除する。 | Yes | Yes | — | — | — |
governance:row_policies:read | 行フィルター policy を表示する。 | Yes | Yes | — | — | — |
governance:row_policies:write | 行フィルター policy の作成、編集、有効化、無効化を行う。 | Yes | Yes | — | — | — |
governance:masking_policies:read | マスキング policy を表示する。 | Yes | Yes | — | — | — |
governance:masking_policies:write | マスキング policy の作成、編集、有効化、無効化を行う。 | Yes | Yes | — | — | — |
| Audit | ||||||
audit:read | Access management の Audit log ページを表示する。 | Yes | Yes | — | — | — |
query_audit:read_all | Query access audit で全ユーザーのクエリアクセス監査を表示する。 | Yes | — | — | — | — |
query_audit:read_self | Query access audit で自分のクエリのアクセス監査を表示する。 | — | — | — | — | — |
| Service accounts | ||||||
service-accounts:read | Service Account を表示する。 | Yes | Yes | — | — | — |
service-accounts:manage | Service Account の作成、ローテーション、無効化、有効化、削除、復元を行う。 | Yes | — | — | — | — |
ポータルの権限とデータアクセス
ポータルの権限は、ユーザーに表示されるページとボタンを決めます。ユーザーがどのデータを読めるかは決めません。
data_explorer:browseで Data Explorer を開けます。ユーザーに表示される catalog、schema、テーブルは、Data Security のアクセスルールによって決まります。service-accounts:manageで Service Account を作成できます。Service Account がデータを読めるのは、Data Security のアクセスルールに追加した後です。
ポータルの権限を外しても、Data Security でのユーザーのアクセスルールは変わりません。