En esta página, se explica cómo funciona el control de acceso detallado con Spanner flujos de cambios.
Para los usuarios del control de acceso detallado, puedes permitir el acceso de lectura a los datos de los flujos de cambios con los siguientes otorgamientos. Se requieren ambas autorizaciones.
Otorga
SELECT
en el flujo de cambios.GoogleSQL
GRANT SELECT ON CHANGE STREAM CHANGE_STREAM_NAME TO ROLE ROLE_NAME;
PostgreSQL
GRANT SELECT ON CHANGE STREAM CHANGE_STREAM_NAME TO ROLE_NAME;
Otorga
EXECUTE
en la función de lectura que se crea automáticamente para la transmisión de cambios. Usas la función de lectura para leer los registros del flujo de cambios.GoogleSQL
GRANT EXECUTE ON TABLE FUNCTION READ_FUNCTION_NAME TO ROLE ROLE_NAME;
PostgreSQL
GRANT EXECUTE ON FUNCTION READ_FUNCTION_NAME TO ROLE_NAME;
Para obtener información sobre las convenciones de nombres de las funciones de lectura de flujo de cambios y sobre el formato de la información que muestran, consulta los siguientes temas:
Vistas de INFORMATION_SCHEMA
para flujos de cambios
En las siguientes vistas, se muestra información sobre los roles y los privilegios de la base de datos para los flujos de cambios:
- Bases de datos de dialectos de GoogleSQL:
INFORMATION_SCHEMA.CHANGE_STREAM_PRIVILEGES
- Bases de datos de dialectos de PostgreSQL:
information_schema.change_stream_privileges
Las filas de esta vista se filtran según el rol de la base de datos actual privilegios en los flujos de cambios. Esto garantiza que las principales puedan ver solo la roles, privilegios y flujos de cambios a los que tienen acceso.
El filtrado de filas también se aplica a las siguientes vistas relacionadas con los flujos de cambios:
GoogleSQL
INFORMATION_SCHEMA.CHANGE_STREAMS
INFORMATION_SCHEMA.CHANGE_STREAM_TABLES
INFORMATION_SCHEMA.CHANGE_STREAM_COLUMNS
INFORMATION_SCHEMA.CHANGE_STREAM_OPTIONS
El rol del sistema spanner_info_reader
y sus miembros siempre ven un INFORMATION_SCHEMA
sin filtrar.
PostgreSQL
information_schema.change_streams
information_schema.change_stream_tables
information_schema.change_stream_columns
information_schema.change_stream_options
El rol del sistema spanner_info_reader
y sus miembros ven un information_schema
sin filtrar.
El filtrado de filas también se aplica a las siguientes vistas de metadatos para los flujos de cambios funciones de lectura:
GoogleSQL
PostgreSQL
Advertencias
Los flujos de cambios usan una base de datos de metadatos para mantener el estado interno. La base de datos de metadatos puede ser igual o diferente a la base de datos de la aplicación. Te recomendamos que uses una base de datos diferente. Sin embargo, para usuarios de control de acceso detallados, la base de datos de metadatos no puede ser la misma que la aplicación en la base de datos. Esto se debe a que la principal de IAM que ejecuta El trabajo de Dataflow necesita acceso de lectura/escritura a nivel de base de datos para el en la base de datos de metadatos. Esto anulará los privilegios de control de acceso detallados que se configuraron para la base de datos de la aplicación.
Para obtener más información, consulta Considera usar una base de datos de metadatos independiente.
Debido a que un flujo de cambios contiene una copia independiente de los datos del en las tablas y columnas con seguimiento, ten cuidado cuando otorgues a los usuarios acceso a la flujo de cambios. Los lectores del flujo de cambios pueden ver los cambios de datos de las tablas y columnas a las que se les hace un seguimiento, incluso si no tienen privilegios de
SELECT
en ellas. Aunque es más flexible configurar controles separados en flujos de cambios y sus tablas de seguimiento columnas, existe un riesgo potencial, así que asegúrate de estructurar la base de datos los roles y privilegios necesarios. Por ejemplo, cuando revoques el privilegioSELECT
en una tabla de un rol, considera si también quieres revocarSELECT
en la transmisión de cambios y revocarEXECUTE
en la función de lectura asociada.Si otorgas
SELECT
en un flujo de cambios que realiza un seguimiento de todas las tablas, el beneficiario puede ver los cambios de datos de las tablas que se agreguen en el futuro.
Más información
- Acerca de los flujos de cambios
- Crea y administra flujos de cambios
- Información sobre el control de acceso detallado