Tổng quan Data Security
Data Security quyết định catalog, schema, bảng, dòng và cột nào mỗi người được thấy trong Lakehouse. Bạn thiết lập bằng policy, và Lakehouse kiểm tra policy ở mọi truy vấn trong Data Explorer, Query Editor và các công cụ kết nối.
Các loại policy
Trang Security policies (Data Security → Security policies) có một tab cho mỗi loại policy.
| Tab | Policy làm gì | Ví dụ |
|---|---|---|
| Access | Cho phép đọc hoặc thay đổi catalog, schema, bảng hoặc các function trong schema. | Nhóm bi-sale chạy được SELECT trên mọi bảng trong analytics.sales. |
| Row level filter | Chỉ hiện các dòng khớp điều kiện, cho một bảng. | Nhóm bi-sale chỉ thấy các dòng có region = 'North'. |
| Masking | Ẩn giá trị của một cột, ví dụ thay bằng mã băm. | Nhóm bi-sale thấy customer_phone dưới dạng mã băm. |
Khi chưa có policy truy cập, người dùng không thấy dữ liệu nào, kể cả catalog mẫu tpcds. Policy lọc dòng và policy che dữ liệu chỉ thu hẹp thêm những gì policy truy cập đã cho phép.
Policy áp dụng cho ai
Mỗi policy liệt kê một hoặc nhiều đối tượng sau:
- Users, theo địa chỉ email.
- Groups. Mọi thành viên của nhóm đều nhận policy. Quản lý nhóm trong Access Management.
- Service accounts, dành cho công cụ và pipeline kết nối mà không qua người dùng.
Nên ưu tiên dùng nhóm. Khi có người vào hoặc rời team, bạn chỉ đổi nhóm một lần thay vì sửa từng policy.
Phạm vi hoạt động thế nào
Policy truy cập bao trùm mọi thứ bên dưới mức bạn chọn.
Catalog analytics policy ở mức này bao trùm mọi schema và bảng
└── Schema analytics.sales policy ở mức này bao trùm mọi bảng trong sales
└── Table analytics.sales.orders policy ở mức này chỉ bao trùm orders
- Quyền không lan ngược lên trên. Quyền trên một bảng không mở phần còn lại của schema hoặc catalog.
- Khi chỉ có quyền trên một bảng, người dùng vẫn thấy catalog và schema của bảng đó trong Data Explorer, nhưng chỉ nhánh đó.
- Nếu nhiều policy cùng áp dụng cho một người, họ nhận tất cả những gì các policy cho phép cộng lại.
Xem Quyền của policy truy cập để biết từng quyền cho phép gì ở mỗi mức.
Lọc dòng và che dữ liệu
Row level filter thêm một điều kiện vào mọi truy vấn trên bảng, như thể người dùng tự viết trong mệnh đề WHERE. Các dòng không khớp không được trả về cho người dùng. Lịch sử truy vấn của họ vẫn hiện câu SQL họ đã viết.
Policy Masking thay đổi cách hiển thị một cột. Dữ liệu lưu trong bảng không thay đổi. Che dữ liệu áp dụng ở mọi nơi người dùng đọc dữ liệu, kể cả Query Editor và dữ liệu mẫu trong Data Explorer.
Nếu nhiều policy che dữ liệu cùng áp dụng cho một người và một cột, ví dụ qua hai nhóm, bạn không chọn được policy nào có hiệu lực. Tránh để các policy che dữ liệu chồng lên nhau trên cùng một cột.
Khi nào thay đổi có hiệu lực
Policy mới, đã sửa hoặc đã xóa áp dụng cho các truy vấn bắt đầu sau khoảng 1 phút kể từ lúc bạn lưu. Truy vấn đang chạy không bị ảnh hưởng.
Sau khi bạn xóa policy hoặc xóa một người khỏi policy, họ vẫn đọc được dữ liệu trong khoảng 1 phút.
Data Security không thay đổi những gì
- Vô hiệu hóa người dùng trong Access management vẫn giữ các policy của họ. Nếu bạn bật lại người dùng, quyền cũ sẽ trở lại. Hãy xóa họ khỏi các policy nếu không muốn họ lấy lại quyền.
- Role trên portal quyết định người dùng mở được trang nào. Policy trong Data Security quyết định họ truy vấn được dữ liệu nào. Người dùng cần cả hai.