Data Catalog Identity and Access Management (IAM)

Data Catalog 提供并支持以下功能:

  • 集中搜索和查找。Data Catalog 为 Google Cloud 资源(例如 BigQuery 和 Pub/Sub)编目元数据。
  • 资源标记。Data Catalog 可以在 Google Cloud 资源上创建和附加元数据(标记)。

本文档介绍允许用户使用 Data Catalog 搜索和标记 Google Cloud 资源的 Identity and Access Management (IAM) 角色

IAM 术语

权限
在运行时检查,以允许用户执行操作或访问 Google Cloud 资源。用户不会被直接授予权限,而是被授予包含权限的角色
角色
角色是预定义的权限集合。也允许使用由自定义的权限集合组成的自定义角色。

搜索 Google Cloud 资源

在搜索、发现或显示 Google Cloud 资源之前,Data Catalog 会检查用户是否已被授予相应的 IAM 角色,该角色应包含访问 BigQuery、Pub/Sub 或其他源系统资源所需的元数据读取权限。

示例:Data Catalog 在显示 BigQuery 表元数据之前会检查用户是否已被授予具有 bigquery.tables.get permission 的角色。

下表列出了用户使用 Data Catalog 搜索所列 Google Cloud 资源所需的 BigQuery 和 Pub/Sub 权限以及关联的角色。

资源 权限 角色
BigQuery 数据集、表和模型 bigquery.datasets.get
bigquery.tables.get
bigquery.models.getMetadata
roles/bigquery.metadataViewer
另请参阅 Data Catalog Viewer 角色
Pub/Sub 主题 pubsub.topics.get roles/pubsub.viewer
另请参阅 Data Catalog Viewer 角色

Data Catalog Viewer 角色

为了简化获取 Google Cloud 资源访问权限的过程,Data Catalog 为所有已编目的 Google Cloud 资源提供具有元数据读取权限的 Data Catalog Viewer 角色 (roles/datacatalog.viewer)。此角色还授予查看 Data Catalog 标记模板和标记的权限。今后,当 Data Catalog 中新增了可搜索的资源类型时,可扩展此角色以授予更多权限。

将标记附加到 Google Cloud 资源

Data Catalog 允许用户通过附加标记来扩展 Google Cloud 资源上的元数据。可附加到资源的一个或多个标记在标记模板中定义。当用户尝试使用标签模板将标签附加到 Google Cloud 资源时,Data Catalog 会检查是否已授予该用户使用标签模板和更新资源元数据的权限。权限是通过 IAM 角色授予的,如下表所示。

每行仅列出标记资源所需的权限。 相应的角色还可以授予其他权限。 点击各个角色即可查看与其关联的所有权限。

资源 权限 角色
BigQuery 数据集、表和模型 datacatalog.tagTemplates.use
bigquery.datasets.updateTag
bigquery.tables.updateTag
bigquery.models.updateTag
roles/datacatalog.tagTemplateUser
roles/bigquery.dataEditor
Pub/Sub 主题 datacatalog.tagTemplates.use
pubsub.topics.updateTag
roles/datacatalog.tagTemplateUser
roles/pubsub.editor

Data Catalog TagTemplate Creator 角色

Data Catalog TagTemplate Creator 角色允许用户创建标记模板。

查看 Google Cloud 资源上的标记

只有当用户拥有查看元数据的资源权限和查看相应标记的标记模板权限时,Data Catalog 才允许用户查看附加到 Google Cloud 资源的标记。权限是通过 IAM 角色授予的,如下表所示。

每行仅列出查看标记所需的权限,相应的角色还可以授予其他权限。点击各个角色即可查看与其关联的所有权限。

资源 权限 角色
BigQuery 数据集、表和模型 datacatalog.tagTemplates.getTag
bigquery.datasets.get
bigquery.tables.get
bigquery.models.getMetadata
roles/datacatalog.tagTemplateViewer
roles/bigquery.metadataViewer
Pub/Sub 主题 datacatalog.tagTemplates.getTag
pubsub.topics.get
roles/datacatalog.tagTemplateViewer
roles/pubsub.viewer

了解详情