Dataplex-IAM-Rollen

Dataplex definiert mehrere Rollen für die Identitäts- und Zugriffsverwaltung (IAM). Jede vordefinierte Rolle enthält eine Reihe von IAM-Berechtigungen, mit denen Hauptkonten bestimmte Aktionen ausführen können. Mit einer IAM-Richtlinie können Sie einem Hauptkonto eine oder mehrere IAM-Rollen zuweisen.

Identity and Access Management (IAM) bietet auch die Möglichkeit, benutzerdefinierte IAM-Rollen zu erstellen. Sie können benutzerdefinierte IAM-Rollen erstellen und diesen eine oder mehrere Berechtigungen zuweisen. Anschließend können Sie Ihren Hauptkonten die neue Rolle zuweisen. Verwenden Sie neben den verfügbaren vordefinierten Rollen benutzerdefinierte Rollen, um ein Modell zur Zugriffssteuerung zu erstellen, das Ihren Anforderungen direkt zugeordnet ist.

In diesem Dokument werden die für Dataplex relevanten IAM-Rollen beschrieben.

Hinweise

Dataplex-Rollen

Dataplex-Rollen für die Identitäts- und Zugriffsverwaltung (Identity and Access Management, IAM) sind ein Bundle mit einer oder mehreren Berechtigungen. Sie weisen Hauptkonten Rollen zu, damit diese Aktionen mit den Dataplex-Ressourcen in Ihrem Projekt ausführen können. Die Rolle „Dataplex Viewer“ enthält beispielsweise die Berechtigungen dataplex.*.get und dataplex.*.list, mit denen ein Nutzer Dataplex-Dienste, -Ressourcen und -Vorgänge in einem Projekt abrufen und auflisten kann.

Dataplex-Rollen können auf alle Ressourcen in der Diensthierarchie angewendet werden, einschließlich Projekten, Lakes und Datenzonen.

Einfache Rollen

Sie können einfache Rollen auf Projektebene mithilfe der IAM-Projektrollen zuweisen. Hier finden Sie eine Zusammenfassung der Berechtigungen, die mit IAM-Projektrollen verbunden sind:

Projektrolle Berechtigungen
Projektinhaber Alle Berechtigungen des Projektbearbeiters sowie Berechtigungen zum Verwalten der Zugriffskontrolle für das Projekt (get/set IamPolicy) und zum Einrichten der Projektabrechnung
Projektbearbeiter Alle Berechtigungen des Projektbetrachters und alle Projektberechtigungen für Aktionen, die den Status ändern (create, delete, update, use)
Projektbetrachter Alle Projektberechtigungen für schreibgeschützte Aktionen, die den Status (get, list) beibehalten

Vordefinierte Rollen

In der folgenden Tabelle sind die vordefinierten (oder ausgewählten) Dataplex-Rollen und die mit jeder Rolle verknüpften Berechtigungen aufgeführt:

Rollen-ID Berechtigungen
roles/dataplex.admin dataplex.*.create
dataplex.*.update
dataplex.*.delete
dataplex.*.get
dataplex.*.getData
dataplex.*.list
dataplex.*.getIamPolicy
dataplex.*.setIamPolicy
roles/dataplex.editor dataplex.*.create
dataplex.*.update
dataplex.*.delete
roles/dataplex.viewer dataplex.*.get
dataplex.*.list

Hinweise:

  • „*“ bezeichnet Ressourcentypen wie „Seen“ oder „Zonen“. Einige Berechtigungen sind für bestimmte Ressourcentypen nicht definiert.
  • Die Rolle dataplex.admin gewährt vollständigen Zugriff auf alle Dataplex-Ressourcen, einschließlich der Verwaltung von IAM-Richtlinien.
  • Die Rolle dataplex.editor gewährt Lese- und Schreibzugriff auf alle Dataplex-Ressourcen.
  • Die Rolle dataplex.viewer gewährt Lesezugriff auf alle Dataplex-Ressourcen.
  • Für Datenscanressourcen ist die Berechtigung dataplex.datascans.getData erforderlich, um die vollständige Ansicht der Ressource zu erhalten. Diese Berechtigung ist weder in roles/dataplex.viewer noch in roles/dataplex.editor enthalten. Weitere Informationen finden Sie unter Berechtigungen und Rollen für den Datenscan.

Datenrollen

Dataplex definiert die folgenden drei IAM-Rollen, die auf jede von Dataplex verwaltete Ressource angewendet werden sollen:

Datenrolle Leistungsspektrum Begründung
roles/dataplex.dataOwner Alle Berechtigungen für die verwaltete Ressource. Alle Berechtigungen für alle untergeordneten Ressourcen (unabhängig vom Ressourcentyp). Neben verschiedenen anderen Berechtigungen können Dateninhaber Ressourcenmetadaten aktualisieren, Berechtigungen mit höherem Detaillierungsgrad gewähren (z. B. für untergeordnete Tabellen eines BigQuery-Datasets) und untergeordnete Ressourcen erstellen. Er ist Inhaber der Ressource.
roles/dataplex.dataReader Kann Daten in der verwalteten Ressource und ihren untergeordneten Ressourcen lesen. Außerdem können Metadaten der verwalteten Ressource und ihrer untergeordneten Ressourcen gelesen werden. Ermöglicht das Lesen von Daten und Metadaten.
roles/dataplex.dataWriter Kann Daten erstellen, aktualisieren und löschen (nicht Metadaten). Ermöglicht grundlegende Dataplex-Nutzerpfade.

Nächste Schritte