Rollen und Berechtigungen der rollenbasierten Zugriffsverwaltung

Auf dieser Seite werden die Rollen und Berechtigungen beschrieben, die von Cloud Data Fusion-Instanzen mit aktivierter rollenbasierter Zugriffssteuerung (Role-Based Access Control, RBAC) verwendet werden.

Verwenden Sie diese Ressourcen und Berechtigungen der Datenebene mit RBAC, um den Zugriff auf Namespaceebene und darunter detailliert zu steuern.

Ressourcenhierarchie

Cloud Data Fusion-Ressourcen haben die folgende Ressourcenhierarchie:

Diese Abbildung zeigt die Ressourcenhierarchie in absteigender Reihenfolge (von allgemein nach speziell): Google Cloud Projekt, Standort, Cloud Data Fusion-Instanz und Namespaces. Unter Namespaces finden Sie in ungeordneter Reihenfolge Verbindungen, sichere Schlüssel, Pipelines, Artefakte (z. B. Plug-ins, Treiber und Anwendungen) und Compute-Profile.

Die folgenden Ressourcen sind Cloud Data Fusion-Ressourcen der Datenebenenschicht, die Sie mit der REST API oder in Cloud Data Fusion Studio verwalten: Namespaces, Verbindungen, sichere Schlüssel, Pipelines, Artefakte und Compute-Profile.

Vordefinierte Rollen für die rollenbasierte Zugriffsverwaltung

Cloud Data Fusion RBAC umfasst mehrere vordefinierte Rollen, die Sie verwenden können:

Rolle „Instanzzugriff” (datafusion.accessor)

Gewährt dem Hauptzugriff Zugriff auf eine Cloud Data Fusion-Instanz, aber nicht auf Ressourcen innerhalb der Instanz. Verwenden Sie diese Rolle in Kombination mit anderen Namespace-spezifischen Rollen, um einen detaillierten Zugriff auf den Namespace zu ermöglichen.

Betrachterrolle (datafusion.viewer)

Gewährt einem Hauptkonto in einem Namespace Zugriff zum Aufrufen von Pipelines, aber nicht zum Erstellen oder Ausführen von Pipelines.

Operatorrolle (datafusion.operator)

Gewährt Zugriff auf ein Hauptkonto in einem Namespace, um auf Pipelines zuzugreifen und diese auszuführen, das Compute-Profil zu ändern, Compute-Profile zu erstellen oder Artefakte hochzuladen. Kann dieselben Aktionen wie ein Entwickler ausführen, allerdings können keine Pipelines in der Vorschau angezeigt werden.

Entwicklerrolle (datafusion.developer)

Gewährt einem Hauptkonto Zugriff auf einen Namespace, um eingeschränkte Ressourcen wie Pipelines innerhalb des Namespaces zu erstellen und zu ändern.

Bearbeiterrolle datafusion.editor

Gewährt dem Hauptkonto vollständigen Zugriff auf alle Cloud Data Fusion-Ressourcen in einem Namespace innerhalb einer Cloud Data Fusion-Instanz. Diese Rolle muss dem Hauptkonto zusätzlich zur Rolle „Instanzzugriff“ zugewiesen werden. Mit dieser Rolle kann das Hauptkonto Ressourcen im Namespace erstellen, löschen und ändern.

Rolle „Instanzadministrator” (datafusion.admin)

Gewährt Zugriff auf alle Ressourcen in einer Cloud Data Fusion-Instanz. Über IAM zugewiesen. Wird nicht über RBAC auf Namespaceebene zugewiesen.

Hinweis: Eine Cloud Data Fusion-IAM-Rolle enthält eine Reihe von Berechtigungen. Sie sind weniger detailliert als RBAC-Rollen. Auf jedes Hauptkonto wird eine Kombination aus IAM- und RBAC-Berechtigungen angewendet. IAM-Rollen haben auch Vorrang vor RBAC-Rollen.

Vorgang	datafusion.accessor	datafusion.viewer	datafusion.operator	datafusion.developer	datafusion.editor	datafusion.admin
Instanzen
Auf Instanz zugreifen
Namespaces
Namespace erstellen						^*
Auf Namespace mit explizit erteiltem Zugriff zugreifen
Zugriff auf Namespace ohne expliziten Zugriff						^*
Namespace bearbeiten
Namespace löschen
Namespace-Dienstkonto
Dienstkonto hinzufügen
Dienstkonto bearbeiten
Dienstkonto entfernen
Dienstkonto verwenden
RBAC
Berechtigungen für andere Hauptkonten im Namespace gewähren oder widerrufen						^*
Zeitpläne
Zeitplan erstellen
Zeitplan ansehen
Zeitplan ändern
Compute-Profile
Compute-Profile erstellen
Compute-Profile ansehen
Compute-Profile bearbeiten
Compute-Profile löschen
Verbindungen
Verbindungen erstellen
Verbindungen ansehen
Verbindungen bearbeiten
Verbindungen löschen
Verbindungen verwenden
Pipelines
Pipelines erstellen
Pipelines ansehen
Pipelines bearbeiten
Pipelines löschen
Pipelines in der Vorschau ansehen
Pipelines implementieren
Pipelines ausführen
Sichere Schlüssel
Sichere Schlüssel erstellen
Sichere Schlüssel ansehen
Sichere Schlüssel löschen
Tags
Tags erstellen
Tags anzeigen
Tags löschen
Cloud Data Fusion Hub
Plug-ins bereitstellen
SCM (Source Control Management)
Repository für die Versionskontrolle konfigurieren
Pipelines aus einem Namespace synchronisieren
Linie
Herkunft ansehen
Mehr über Logs erfahren
Logs ansehen

^* Das Hauptkonto muss die IAM-Rolle „Data Fusion Admin“ haben, nicht die RBAC-Rolle „Instance Admin“.

Eine vollständige Liste der Berechtigungen, die in der vordefinierten Rolle von Cloud Data Fusion enthalten sind, finden Sie unter Vordefinierte Cloud Data Fusion-Rollen.

Benutzerdefinierte Rollen für die rollenbasierte Zugriffssteuerung

Einige Anwendungsfälle können nicht mit den vordefinierten Rollen für Cloud Data Fusion implementiert werden. In diesen Fällen sollten Sie eine benutzerdefinierte Rolle erstellen.

Beispiele

In den folgenden Beispielen wird beschrieben, wie Sie benutzerdefinierte Rollen für die RBAC erstellen:

• Wenn Sie eine benutzerdefinierte Rolle erstellen möchten, die nur Zugriff auf die sicheren Schlüssel innerhalb eines Namespaces gewährt, erstellen Sie eine benutzerdefinierte Rolle mit den Berechtigungen datafusion.namespaces.get und datafusion.secureKeys.*.

• Wenn Sie eine benutzerdefinierte Rolle mit Lesezugriff auf sichere Schlüssel erstellen möchten, erstellen Sie eine benutzerdefinierte Rolle mit den Berechtigungen datafusion.namespaces.get, datafusion.secureKeys.getSecret und datafusion.secureKeys.list.

Berechtigungen für gängige Aktionen

Eine einzelne vordefinierte Berechtigung reicht möglicherweise nicht aus, um die entsprechende Aktion auszuführen. Zum Aktualisieren von Namespace-Eigenschaften benötigen Sie beispielsweise möglicherweise auch die Berechtigung datafusion.namespaces.get. In der folgenden Tabelle werden gängige Aktionen in einer Cloud Data Fusion-Instanz und die erforderlichen IAM-Berechtigungen beschrieben:

Aktion	Erforderliche Berechtigung
Auf eine Instanz zugreifen	datafusion.instances.get
Namespace erstellen	datafusion.namespaces.create
Namespace abrufen	datafusion.namespaces.get
Namespace-Metadaten (z. B. Properties) aktualisieren	datafusion.namespaces.get datafusion.namespaces.update
Namespace löschen (nur bei aktiviertem nicht wiederherstellbaren Zurücksetzen)	datafusion.namespaces.get datafusion.namespaces.delete
Berechtigungen für Namespace aufrufen	datafusion.namespaces.getIamPolicy
Berechtigungen für Namespace erteilen	datafusion.namespaces.setIamPolicy
Pipelines aus der SCM-Konfiguration des Namespaces abrufen	datafusion.namespaces.get datafusion.namespaces.readRepository datafusion.pipelines.create
Pipelines per Push in das SCM-Repository für den Namespace übertragen	datafusion.namespaces.get datafusion.namespaces.writeRepository
SCM-Konfiguration des Namespace abrufen	datafusion.namespaces.get
SCM-Konfiguration des Namespace aktualisieren	datafusion.namespaces.updateRepositoryMetadata
Dienstkonto für einen Namespace festlegen	datafusion.namespaces.get datafusion.namespaces.setServiceAccount
Dienstkonto für einen Namespace zurücksetzen	datafusion.namespaces.get datafusion.namespaces.unsetServiceAccount
Anmeldedaten für ein Dienstkonto für einen Namespace bereitstellen	datafusion.namespaces.provisionCredential
Pipeline-Entwurf ansehen	datafusion.namespaces.get
Pipeline-Entwurf erstellen/löschen	datafusion.namespaces.get datafusion.namespaces.update
Compute-Profile auflisten	datafusion.profiles.list
Compute-Profil erstellen	datafusion.profiles.create
Compute-Profil ansehen	datafusion.profiles.get
Compute-Profil bearbeiten	datafusion.profiles.update
Compute-Profil löschen	datafusion.profiles.delete
Verbindung erstellen	datafusion.namespaces.get datafusion.pipelineConnections.create
Verbindung ansehen	datafusion.namespaces.get datafusion.pipelineConnections.get
Verbindung bearbeiten	datafusion.namespaces.get datafusion.pipelineConnections.update
Verbindung löschen	datafusion.namespaces.get datafusion.pipelineConnections.delete
Verbindungsspezifikationen ansehen, Beispiele ansehen oder herunterladen	datafusion.namespaces.get datafusion.pipelineConnections.use
Pipelines auflisten	datafusion.namespaces.get datafusion.pipelines.list
Pipeline erstellen	datafusion.namespaces.get datafusion.pipelines.create
Pipeline ansehen	datafusion.namespaces.get datafusion.pipelines.get
Pipeline bearbeiten	datafusion.namespaces.get datafusion.pipelines.create
Pipeline-Eigenschaften bearbeiten	datafusion.namespaces.get datafusion.pipelines.update
Pipeline löschen	datafusion.namespaces.get datafusion.pipelines.delete
Vorschau-Pipeline	datafusion.pipelines.preview
Pipeline ausführen	datafusion.pipelines.execute
Zeitplan erstellen	datafusion.pipelines.execute
Zeitplan ansehen	datafusion.namespaces.get datafusion.pipelines.get
Zeitplan ändern	datafusion.pipelines.execute
Sicherheitsschlüssel auflisten	datafusion.namespaces.get datafusion.secureKeys.list
Sichere Schlüssel erstellen	datafusion.namespaces.get datafusion.secureKeys.update
Sichere Schlüssel ansehen	datafusion.namespaces.get datafusion.secureKeys.getSecret
Sichere Schlüssel löschen	datafusion.namespaces.get datafusion.secureKeys.delete
Artefakte auflisten*	datafusion.namespaces.get datafusion.artifacts.list
Artefakt erstellen*	datafusion.namespaces.get datafusion.artifacts.create datafusion.artifacts.update
Artefakt abrufen*	datafusion.namespaces.get datafusion.artifacts.get
Artefakt löschen*	datafusion.namespaces.get datafusion.artifacts.delete
Einstellungen, Tags und Metadaten	Einstellungen, Tags und Metadaten werden auf Ressourcenebene für die jeweilige Ressource (datafusion.RESOURCE.update) festgelegt.
Dataset-Berechtigungen (veraltet)	datafusion.namespaces.update

^* Artefakte wie Plug-ins und Treiber sind Elemente, die Sie zum Entwickeln von Pipelines in Cloud Data Fusion hochladen.

Nächste Schritte

• Weitere Informationen zu RBAC in Cloud Data Fusion