Role và quyền trên portal
Trang này liệt kê các role hệ thống của Lakehouse Portal và mọi quyền bạn có thể gán cho role tùy chỉnh. Dùng trang này để chọn đúng role cho từng người, hoặc để tạo role tùy chỉnh.
Role hệ thống
| Role | Dùng cho |
|---|---|
portal_admin | Quản trị toàn bộ portal: người dùng, nhóm, role, phiên đăng nhập và mọi tính năng. |
policy_manager | Quản lý quyền truy cập dữ liệu trong Data Security, xem người dùng, nhóm, Service Account và Audit log. |
data_engineer | Vận hành dữ liệu: truy vấn, Data Explorer, catalog, Time Machine và Lakehouse Janitor. |
data_analyst | Phân tích dữ liệu: truy vấn, truy vấn đã lưu, Data Explorer và Time Machine. |
viewer | Không có quyền nào, dùng để đánh dấu người dùng đang chờ được cấp quyền. |
Người dùng có nhiều role sẽ nhận tất cả quyền của các role đó cộng lại. Để cấp cho ai đó ít quyền hơn, ví dụ chỉ xem dữ liệu, hãy tạo role tùy chỉnh. Xem Quản lý role và gán role cho người dùng.
Quyền theo role
"Yes" nghĩa là role hệ thống có quyền đó.
| Quyền | Cho phép người dùng | portal_admin | policy_manager | data_engineer | data_analyst | viewer |
|---|---|---|---|---|---|---|
| Users | ||||||
users:read | Xem danh sách và thông tin chi tiết người dùng. | Yes | Yes | — | — | — |
users:create | Tạo người dùng. | Yes | — | — | — | — |
users:update | Sửa tên, trạng thái và role của người dùng. | Yes | — | — | — | — |
users:delete | Xóa hẳn người dùng. | Yes | — | — | — | — |
users:roles:assign | Gán role cho người dùng. | Yes | — | — | — | — |
users:roles:revoke | Gỡ role khỏi người dùng. | Yes | — | — | — | — |
| Sessions | ||||||
sessions:read | Xem trang Sessions. | Yes | — | — | — | — |
sessions:revoke | Đăng xuất người dùng bằng cách thu hồi phiên đăng nhập. | Yes | — | — | — | — |
| Groups | ||||||
groups:read | Xem nhóm và thông tin chi tiết nhóm. | Yes | Yes | — | — | — |
groups:write | Tạo, sửa, xóa nhóm và quản lý thành viên nhóm. | Yes | — | — | — | — |
| Roles | ||||||
rbac:roles:read | Xem role và quyền của role. | Yes | — | — | — | — |
rbac:roles:write | Tạo, sửa, xóa role tùy chỉnh và gán quyền cho role. | Yes | — | — | — | — |
permissions:read | Xem danh sách quyền trên portal khi thiết lập role. | Yes | — | — | — | — |
| Queries | ||||||
query:execute | Chạy SQL trong Query Editor. | Yes | — | Yes | Yes | — |
query:saved.manage | Lưu, đổi tên và xóa truy vấn đã lưu của chính mình. | Yes | — | Yes | Yes | — |
| Data Explorer | ||||||
data_explorer:browse | Mở Data Explorer, duyệt cây catalog, xem schema, thuộc tính và DDL. | Yes | Yes | Yes | Yes | — |
data_explorer:preview | Xem tab Sample data, tối đa 100 dòng. | Yes | — | Yes | Yes | — |
resources:read | Duyệt catalog, schema, bảng và cột. | Yes | Yes | — | — | — |
| Time Machine | ||||||
time_machine:read | Xem dòng thời gian snapshot và xem trước các phiên bản cũ của bảng. | Yes | — | Yes | Yes | — |
time_machine:metadata_diff | So sánh cấu trúc bảng giữa hai snapshot. | Yes | — | Yes | Yes | — |
time_machine:data_diff | So sánh dữ liệu bảng giữa hai snapshot. | Yes | — | Yes | Yes | — |
time_machine:config:read | Xem giới hạn tài nguyên của Time Machine. | Yes | — | Yes | — | — |
time_machine:config:update | Thay đổi giới hạn tài nguyên của Time Machine. | Yes | — | Yes | — | — |
| Lakehouse Janitor | ||||||
maintenance:read | Xem job, lượt chạy, thiết lập và lịch sử chạy. | Yes | — | Yes | — | — |
maintenance:manage | Chạy, hủy, nhập, tạm dừng và tiếp tục job, thay đổi thiết lập mặc định. | Yes | — | Yes | — | — |
| Data Security | ||||||
governance:permissions:read | Xem policy truy cập. | Yes | Yes | — | — | — |
governance:permissions:grant | Tạo policy truy cập và cấp quyền trong policy. | Yes | Yes | — | — | — |
governance:permissions:revoke | Thu hồi quyền trong policy truy cập. | Yes | Yes | — | — | — |
governance:permissions:delete | Xóa policy truy cập. | Yes | Yes | — | — | — |
governance:row_policies:read | Xem policy lọc dòng. | Yes | Yes | — | — | — |
governance:row_policies:write | Tạo, sửa, bật lại và vô hiệu hóa policy lọc dòng. | Yes | Yes | — | — | — |
governance:masking_policies:read | Xem policy che dữ liệu. | Yes | Yes | — | — | — |
governance:masking_policies:write | Tạo, sửa, bật lại và vô hiệu hóa policy che dữ liệu. | Yes | Yes | — | — | — |
| Audit | ||||||
audit:read | Xem trang Audit log trong Access management. | Yes | Yes | — | — | — |
query_audit:read_all | Xem nhật ký truy cập truy vấn của mọi người dùng trong Query access audit. | Yes | — | — | — | — |
query_audit:read_self | Xem nhật ký truy cập truy vấn của chính mình trong Query access audit. | — | — | — | — | — |
| Service accounts | ||||||
service-accounts:read | Xem Service Account. | Yes | Yes | — | — | — |
service-accounts:manage | Tạo, rotate, vô hiệu hóa, bật lại, xóa và khôi phục Service Account. | Yes | — | — | — | — |
Quyền trên portal và quyền truy cập dữ liệu
Quyền trên portal quyết định người dùng thấy trang và nút nào. Các quyền này không quyết định người dùng đọc được dữ liệu nào.
data_explorer:browsemở được Data Explorer. Người dùng thấy catalog, schema và bảng nào là do quy tắc truy cập trong Data Security.service-accounts:managetạo được Service Account. Service Account chỉ đọc được dữ liệu sau khi bạn thêm nó vào một quy tắc truy cập trong Data Security.
Gỡ một quyền trên portal không làm thay đổi quy tắc truy cập của người dùng trong Data Security.