En esta página, se explica cómo funciona el control de acceso detallado con los flujos de cambios de Spanner.
Para los usuarios de control de acceso detallado, otorgas acceso de lectura a los datos de flujos de cambios mediante los siguientes otorgamientos. Ambos otorgamientos son obligatorios.
Otorga
SELECT
en el flujo de cambios.GoogleSQL
GRANT SELECT ON CHANGE STREAM CHANGE_STREAM_NAME TO ROLE ROLE_NAME;
PostgreSQL
GRANT SELECT ON CHANGE STREAM CHANGE_STREAM_NAME TO ROLE_NAME;
Otorga
EXECUTE
en la función de lectura que se crea automáticamente para el flujo de cambios. Usa la función de lectura para leer registros de flujos de cambios.GoogleSQL
GRANT EXECUTE ON TABLE FUNCTION READ_FUNCTION_NAME TO ROLE ROLE_NAME;
PostgreSQL
GRANT EXECUTE ON FUNCTION READ_FUNCTION_NAME TO ROLE_NAME;
Si deseas obtener información sobre las convenciones de nombres para las funciones de lectura de flujos de cambios y sobre el formato de la información que muestran, consulta los siguientes temas:
INFORMATION_SCHEMA
vistas de los flujos de cambios
En las siguientes vistas, se muestra información sobre roles y privilegios de la base de datos para los flujos de cambios:
- Bases de datos con dialecto de GoogleSQL:
INFORMATION_SCHEMA.CHANGE_STREAM_PRIVILEGES
- Bases de datos de dialecto PostgreSQL:
information_schema.change_stream_privileges
Las filas de esta vista se filtran según los privilegios de la función actual de la base de datos en los flujos de cambios. Esto garantiza que las principales solo puedan ver las funciones, los privilegios y los flujos de cambios a los que tienen acceso.
El filtrado de filas también se aplica a las siguientes vistas relacionadas con los flujos de cambios:
GoogleSQL
INFORMATION_SCHEMA.CHANGE_STREAMS
INFORMATION_SCHEMA.CHANGE_STREAM_TABLES
INFORMATION_SCHEMA.CHANGE_STREAM_COLUMNS
INFORMATION_SCHEMA.CHANGE_STREAM_OPTIONS
La función del sistema spanner_info_reader
y sus miembros siempre ven un elemento INFORMATION_SCHEMA
sin filtros.
PostgreSQL
information_schema.change_streams
information_schema.change_stream_tables
information_schema.change_stream_columns
information_schema.change_stream_options
La función del sistema spanner_info_reader
y sus miembros ven un information_schema
sin filtros.
El filtrado de filas también se aplica a las siguientes vistas de metadatos para las funciones de lectura de flujos de cambios:
GoogleSQL
PostgreSQL
Advertencias
Los flujos de cambios usan una base de datos de metadatos para mantener el estado interno. La base de datos de metadatos puede ser igual o diferente a la base de datos de la aplicación. Te recomendamos que uses una base de datos diferente. Sin embargo, para los usuarios de control de acceso detallado, la base de datos de metadatos no puede ser la misma que la base de datos de la aplicación. Esto se debe a que la principal de IAM que ejecuta el trabajo de Dataflow necesita acceso de lectura/escritura a nivel de la base de datos para la base de datos de metadatos. Esto anularía los privilegios de control de acceso detallados que se configuraron para la base de datos de la aplicación.
Para obtener más información, consulta Considera una base de datos de metadatos independiente.
Debido a que un flujo de cambios contiene una copia independiente de los datos de las tablas y columnas con seguimiento, ten cuidado cuando otorgues a los usuarios acceso al flujo de cambios. Los lectores del flujo de cambios pueden ver los cambios en los datos de las tablas y columnas con seguimiento, incluso cuando no tienen privilegios
SELECT
en las tablas y columnas. Aunque es más flexible configurar controles independientes en los flujos de cambios y sus tablas y columnas con seguimiento, existe un riesgo potencial, por lo que debes asegurarte de estructurar las funciones y los privilegios de la base de datos en consecuencia. Por ejemplo, cuando revocas el privilegioSELECT
de una tabla de una función, considera si también revocarSELECT
en el flujo de cambios yEXECUTE
en la función de lectura asociada.Si otorgas
SELECT
en un flujo de cambios que realiza un seguimiento de todas las tablas, el beneficiario podrá ver los cambios en los datos de cualquier tabla que se agregue en el futuro.
Más información
- Acerca de los flujos de cambios
- Cómo crear y administrar flujos de cambios
- Acerca del control de acceso detallado