En este documento, se describen las funciones de Identity and Access Management (IAM) que permiten a los usuarios usar Data Catalog para buscar y etiquetar recursos de Google Cloud.
Terminología de IAM
- Permisos
- Se verifica en el entorno de ejecución para permitir que los usuarios realicen una operación o accedan a un recurso de Google Cloud. A los usuarios no se les otorgan permisos directamente, sino que se les otorgan funciones que contienen permisos.
- Funciones
- Una función es una colección predefinida de permisos. También se permiten los roles personalizados que constan de una colección personalizada de permisos.
Visualiza los roles de Data Catalog
En la consola de Google Cloud, sigue estos pasos:
Ve a la página IAM y administración > Roles.
En el campo Filtro, selecciona Se usa en, escribe
Data Catalog
oData Lineage
, y haz clic en Intro.Haz clic en un rol para ver sus permisos en el panel de la derecha.
Por ejemplo, la función Administrador de Data Catalog tiene acceso completo a todos los recursos de Data Catalog.
Roles predefinidos de Data Catalog
Algunas funciones predefinidas de Data Catalog incluyen las de Administrador, Visualizador de Data Catalog y Creador de TagTemplate de Data Catalog. Algunas de estas funciones se describen en las secciones posteriores.
Para obtener una lista y una descripción de las funciones predefinidas de Data Catalog y los permisos asociados con cada función, consulta Funciones de Data Catalog.
Rol Administrador de Data Catalog
La función roles/datacatalog.admin
tiene acceso a todos los recursos de Data Catalog. Un administrador de Data Catalog puede agregar diferentes tipos de usuarios a un proyecto de Data Catalog.
Rol de administrador de datos de DataCatalog
La función roles/datacatalog.dataSteward
te permite agregar, editar o borrar los administradores de datos y la descripción general de texto enriquecido para una entrada de datos, como una tabla de BigQuery.
Función de visualizador de Data Catalog
Para simplificar el acceso a los recursos de Google Cloud, Data Catalog proporciona la función roles/datacatalog.viewer
con permiso de lectura de metadatos para todos los recursos catalogados de Google Cloud.
Esta función también otorga los permisos para ver las plantillas de etiquetas y etiquetas de Data Catalog.
Otorga la función de visualizador de Data Catalog en tu proyecto para permitir que los usuarios vean recursos de Google Cloud en Data Catalog.
Función de creador de TagTemplate de Data Catalog.
El rol roles/datacatalog.tagTemplateCreator
permite a los usuarios crear plantillas de etiquetas.
Rol de administrador de búsqueda de Data Catalog
La función roles/datacatalog.searchAdmin
permite a los usuarios recuperar, a través de la búsqueda, todos los recursos catalogados de Google Cloud dentro de una organización o un proyecto.
Rol de administrador de la configuración de migración de Data Catalog
El rol roles/datacatalog.migrationConfigAdmin
permite a los usuarios establecer y recuperar
la configuración relacionada con la migración de recursos de
Data Catalog a Dataplex Catalog.
Roles predefinidos del linaje de datos
Para acceder al grafo de linaje para cualquier entrada de Data Catalog, el usuario necesita acceder a la entrada en Data Catalog. Para acceder a la entrada de Data Catalog, el usuario necesita una función de visualizador en el recurso del sistema correspondiente o en el visualizador de Data Catalog (roles/datacatalog.viewer
) en el proyecto que almacena la entrada de Data Catalog. En esta sección, se describen las funciones necesarias para ver y manipular el gráfico de linaje.
Rol de visualizador de linaje
El rol Visualizador de linaje de datos
(roles/datalineage.viewer
) permite a los usuarios ver
gráficos de linaje de Dataplex en la consola de Google Cloud y leer información del linaje con
la API de Data Lineage. Las ejecuciones y los eventos para un proceso determinado se almacenan en el mismo proyecto que el proceso. En el caso del linaje automatizado, el proceso, las ejecuciones y los eventos se almacenan en el proyecto en el que se ejecutaba el trabajo que generó el linaje. Podría ser, por ejemplo, el proyecto en el que se ejecutaba un trabajo de BigQuery.
Necesitas distintos roles para ver el linaje entre los recursos y los metadatos de los recursos en el gráfico. Para el primero, necesitas el Visualizador de linaje de datos (roles/datalineage.viewer
). Para el segundo, necesitas los mismos roles que se usan para acceder a las entradas de metadatos en Data Catalog. Las siguientes dos subsecciones proporcionan más detalles.
Roles para ver el linaje entre dos recursos
Para ver el linaje entre los recursos del gráfico de linaje, el usuario necesita Data Lineage Viewer (roles/datalineage.viewer
) en los siguientes proyectos:
- El proyecto desde el que el usuario ve el linaje (conocido como proyecto activo), es decir, el proyecto del menú desplegable en la parte superior de la consola de Google Cloud o el proyecto desde el que se realizan las llamadas a la API. Por lo general, este sería el proyecto de recursos de Data Catalog.
- Los proyectos en los que se registra el linaje (conocidos como proyecto de procesamiento). El linaje se almacena en el proyecto en el que se ejecutó el proceso correspondiente, como se describió anteriormente. Este proyecto puede ser diferente del que almacena el recurso para el que el usuario ve el linaje.
Si quieres obtener más información para otorgar roles, consulta Administra el acceso. Es posible que también puedas obtener los permisos necesarios a través de los roles personalizados o bien otros roles predefinidos.
Según el caso de uso,es posible que debas otorgar Visualizador de linaje de datos (roles/datalineage.viewer
) a nivel de la organización o la carpeta para asegurarte de que se garantice que el usuario acceda al gráfico del linaje completo (consulta Otorga o revoca un solo rol). Los roles necesarios para el linaje de datos se pueden otorgar solo a través de Google Cloud CLI.
Roles para ver los metadatos de los recursos en el gráfico de linaje
Cuando los metadatos sobre un recurso del gráfico se almacenan en Data Catalog, el usuario solo puede verlos si tiene un rol de visualizador en el recurso del sistema o visualizador de Data Catalog (roles/datacatalog.viewer
) correspondiente en el proyecto en el que se almacena la entrada de Data Catalog.
El acceso a los metadatos de los activos en el gráfico es independiente del acceso al linaje. Es posible que el usuario tenga acceso a los recursos del grafo con los roles de visualizador adecuados, pero no pueda acceder al linaje entre ellos. Esto ocurre cuando el usuario no tiene el Visualizador de linaje de datos (roles/datalineage.viewer
) en el proyecto en el que se registró el linaje. En este caso, la API y la IU de Data Lineage no mostrarán el linaje ni mostrarán ningún error para evitar filtrar información sobre la existencia del linaje. Por lo tanto, la ausencia de linaje para un recurso no significa que no haya linaje para ese recurso. Es posible que el usuario no tenga acceso a ese linaje.
Rol de productor de eventos de linaje de datos
La función roles/datalineage.producer
permite a los usuarios registrar de forma manual la información del linaje con la API de linaje de datos.
Rol de editor de linaje de datos
La función roles/datalineage.editor
permite a los usuarios modificar de forma manual la información del linaje con la API de linaje de datos.
Rol de administrador de linaje de datos
La función roles/datalineage.admin
permite a los usuarios realizar todas las operaciones de linaje que se indican en esta sección.
Roles para ver las etiquetas públicas y privadas
Puedes buscar etiquetas públicas mediante una búsqueda simple. Puedes ver una entrada de datos, incluidas sus etiquetas públicas, siempre que tengas los permisos necesarios para verla. No se requieren permisos adicionales en la plantilla de la etiqueta. Si quieres conocer los permisos necesarios para ver la entrada de datos, consulta la tabla de esta sección.
Sin embargo, te recomendamos que también otorgues el permiso datacatalog.tagTemplates.get
a los usuarios que se espera que busquen estas etiquetas públicas. Este permiso permite a los usuarios usar también el predicado de búsqueda tag: o la faceta de búsqueda de la plantilla de etiqueta en la página de búsqueda de Data Catalog.
En el caso de las etiquetas privadas, necesitas permisos de lectura en la plantilla de la etiqueta y en la entrada de datos para buscarla y verla en la página de detalles de la entrada. Los usuarios deben usar el predicado de búsqueda tag: o la faceta de búsqueda de la plantilla de etiqueta para encontrar las etiquetas. No se admite la búsqueda simple de etiquetas privadas.
Notas:
El permiso de lectura necesario en la plantilla de etiqueta privada es
datacatalog.tagTemplates.getTag
.En la siguiente tabla, se incluyen los permisos de lectura en la entrada de datos para las etiquetas públicas y privadas.
Recurso | Permiso | Rol |
---|---|---|
Conjuntos de datos, tablas, modelos, rutinas y conexiones de BigQuery | bigquery.datasets.get bigquery.tables.get bigquery.models.getMetadata bigquery.routines.get bigquery.connections.get |
roles/datacatalog.tagTemplateViewer roles/bigquery.metadataViewer roles/bigquery.connectionUser |
Temas de Pub/Sub | pubsub.topics.get |
roles/datacatalog.tagTemplateViewer roles/pubsub.viewer |
Instancias, bases de datos, tablas y vistas de Spanner | Instance: spanner.instances.get Database:spanner.databases.get Table: spanner.databases.get Views: spanner.databases.get datacatalog.tagTemplates.getTag |
No hay roles predefinidos disponibles. |
Instancias y tablas de Bigtable | bigtable.instances.get bigtable.tables.get datacatalog.tagTemplates.getTag |
roles/datacatalog.tagTemplateViewer roles/bigtable.viewer |
Servicios, base de datos y tablas de Dataproc Metastore | metastore.tables.get metastore.databases.get metastore.services.get |
roles/datacatalog.tagTemplateViewer roles/metastore.metadataViewer |
Entradas personalizadas | datacatalog.entries.get |
No hay roles predefinidos disponibles. |
Roles para buscar recursos de Google Cloud
Antes de buscar, descubrir o mostrar recursos de Google Cloud, Data Catalog comprueba que el usuario tenga asignada una función de IAM con los permisos de lectura de metadatos requeridos por BigQuery, Pub/Sub, Dataproc Metastore o algún otro sistema de origen para acceder al recurso.
Ejemplo: Data Catalog verifica que se haya otorgado al usuario una función con bigquery.tables.get permission
antes de mostrar los metadatos de la tabla BigQuery.
En la siguiente tabla, se enumeran los permisos y las funciones asociadas que necesita un usuario para usar Data Catalog a fin de buscar los recursos de Google Cloud enumerados.
Recurso | Permiso | Rol |
---|---|---|
Conjuntos de datos, tablas, modelos, rutinas y conexiones de BigQuery | bigquery.datasets.get bigquery.tables.get bigquery.models.getMetadata bigquery.routines.get bigquery.connections.get |
roles/bigquery.metadataViewer roles/bigquery.connectionUser Consulta también el rol Visualizador de Data Catalog |
Temas de Pub/Sub | pubsub.topics.get |
roles/pubsub.viewer Consulta también el rol de visualizador de Data Catalog |
Tablas y bases de datos de Spanner | Instancia: spanner.instances.get Base de datos: spanner.databases.get Vistas: spanner.databases.get |
No hay roles predefinidos disponibles. |
Instancias y tablas de Bigtable | bigtable.instances.get bigtable.tables.get |
roles/bigtable.viewer Consulta también el rol de visualizador de Data Catalog |
Lakes, zonas, tablas y conjuntos de archivos de Dataplex | dataplex.lakes.get dataplex.zones.get dataplex.entities.get dataplex.entities.get |
No hay roles predefinidos disponibles. |
Servicios, base de datos y tablas de Dataproc Metastore | metastore.tables.get metastore.databases.get metastore.services.get |
roles/metastore.metadataViewer |
Roles para adjuntar etiquetas a los recursos de Google Cloud
Se requieren los mismos permisos para adjuntar etiquetas públicas y privadas a los recursos de Google Cloud.
Data Catalog permite a los usuarios extender los metadatos en los recursos de Google Cloud adjuntando etiquetas. Una o más etiquetas que se pueden adjuntar a un recurso se definen en una plantilla de etiqueta.
Cuando un usuario intenta usar la plantilla de etiqueta para adjuntar una etiqueta a un recurso de Google Cloud, Data Catalog verifica que el usuario tenga los permisos necesarios para usar la plantilla de etiqueta y actualizar los metadatos del recurso. Los permisos se otorgan a través de los roles de IAM, como se muestra en la siguiente tabla.
En la siguiente tabla, se enumeran los permisos y las funciones asociadas necesarios para que un usuario use Data Catalog a fin de adjuntar etiquetas públicas y privadas a los recursos de Google Cloud enumerados.
Cada fila de la siguiente tabla enumera los permisos necesarios para etiquetar recursos. Las funciones correspondientes pueden otorgar permisos adicionales. Haga clic en cada función para ver todos los permisos asociados.
Notas:
El propietario de una entrada de datos tiene el permiso
datacatalog.entries.updateTag
de forma predeterminada. A todos los demás usuarios se les debe otorgar el rol datacatalog.tagEditor.El permiso
datacatalog.tagTemplates.use
también es necesario para todos los recursos enumerados en la tabla.
Recurso | Permisos | Rol |
---|---|---|
Conjuntos de datos, tablas, modelos, rutinas y conexiones de BigQuery |
bigquery.datasets.updateTag bigquery.tables.updateTag bigquery.models.updateTag bigquery.routines.updateTag bigquery.connections.updateTag |
roles/datacatalog.tagTemplateUser roles/datacatalog.tagEditor roles/bigquery.dataEditor |
Temas de Pub/Sub | pubsub.topics.updateTag |
roles/datacatalog.tagTemplateUser roles/datacatalog.tagEditor roles/pubsub.editor |
Tablas y bases de datos de Spanner | Instancia: spanner.instances.UpdateTag Base de datos: spanner.databases.UpdateTag Tabla: spanner.databases.UpdateTag Vistas: spanner.databases.UpdateTag |
No hay roles predefinidos disponibles. |
Instancias y tablas de Bigtable | bigtable.instances.update bigtable.tables.update |
roles/datacatalog.tagTemplateUser roles/datacatalog.tagEditor roles/bigtable.admin |
Lakes, zonas, tablas y conjuntos de archivos de Dataplex | dataplex.lakes.update dataplex.zones.update dataplex.entities.update dataplex.entities.update |
No hay roles predefinidos disponibles. |
Servicios, base de datos y tablas de Dataproc Metastore | metastore.tables.update metastore.databases.update metastore.services.update |
roles/datacatalog.tagTemplateUser roles/datacatalog.tagEditor roles/metastore.editor roles/metastore.metadataEditor |
Roles personalizados para los recursos de Google Cloud
Los roles de editor predefinidos para entradas de datos de otros sistemas de Google Cloud pueden proporcionar un acceso de escritura más amplio del necesario. Usa funciones personalizadas para especificar permisos *.updateTag
solo en un recurso de Google Cloud.
Roles para modificar la descripción general de texto enriquecido y los administradores de datos en Data Catalog
Los usuarios necesitan las siguientes funciones para adjuntar una descripción general de texto enriquecido y asignar administradores de datos a las entradas de Data Catalog:
Recurso | Permisos | Rol |
---|---|---|
Proyectos de Google Cloud | datacatalog.entries.updateOverview datacatalog.entries.updateContacts |
roles/datacatalog.dataSteward |
Roles para modificar la configuración de migración en Data Catalog
Los usuarios necesitan los siguientes roles para establecer y recuperar la configuración relacionada con la migración de Data Catalog a Dataplex:
Recurso | Permisos | Rol |
---|---|---|
Proyectos y organizaciones de Google Cloud | datacatalog.migrationConfig.set datacatalog.migrationConfig.get |
roles/datacatalog.migrationConfigAdmin |
Federación de identidades en Data Catalog
La federación de identidades te permite usar un proveedor de identidad externo (IdP) para autenticar y autorizar a los usuarios a los servicios de Google Cloud con IAM.
Data Catalog admite la federación de identidades con las siguientes limitaciones:
- Los métodos SearchCatalog y StarEntry de la API de Data Catalog solo admiten la federación de identidades de personal y no están disponibles para la federación de identidades de cargas de trabajo.
- Dataplex no es compatible con la consola de Google Cloud para los usuarios de federación de identidades
Para más información
- Roles de Dataplex
- Funciones de Data Catalog
- Control de acceso de BigQuery
- Control de acceso de Pub/Sub
- Control de acceso de Dataproc Metastore