Справочник прав доступа

В DataLens Platform используются следующие права доступа:

• для доступа к сервису — определяют, кто имеет доступ к интерфейсу DataLens Platform и какие операции с метаданными будут доступны пользователям.
• для доступа к отдельным объектам — определяют уровень доступа к конкретному объекту, например коллекции, воркбуку или REST-каталогу.

О том, как назначать роли, читайте в разделе Управление правами доступа.

Права доступа к сервисуПрава доступа к сервису

ПосещениеПосещение

Право Посещение предоставляет минимальный доступ к сервису DataLens Platform. Просмотр или редактирование объектов возможны при наличии соответствующих прав для доступа к этим объектам.

Право доступа Посещение можно предоставить с помощью ролей:

• datalens.tenants.visitor на уровне экземпляра;
• datalens.visitor на уровне организации.

АдминистрированиеАдминистрирование

Право Администрирование (datalens.tenants.admin) предоставляет полный доступ к сервису DataLens Platform и всем объектам в нем, а также полный доступ к администрированию метаданных.

Включает разрешения, предоставляемые правами доступа Посещение и Администрирование метаданных.

Право доступа Администрирование можно предоставить с помощью ролей:

• datalens.tenants.admin на уровне экземпляра;
• datalens.admin на уровне организации;
• datalens.instances.admin на уровне организации (роль устарела, не рекомендуется использовать).

Просмотр метаданныхПросмотр метаданных

Пользователи с правом Просмотр метаданных могут:

• просматривать информацию о поставках данных;
• просматривать информацию о доменах и правах доступа к ним;
• просматривать информацию о данных;
• просматривать информацию о связях данных;
• просматривать информацию о глоссариях;
• просматривать информацию о терминах;
• просматривать информацию о классификациях;
• просматривать информацию о тегах;
• просматривать информацию о квотах.

Право доступа Просмотр метаданных можно предоставить с помощью роли data-catalog.viewer на уровне организации.

Использование метаданныхИспользование метаданных

Пользователи с правом Использование метаданных могут:

• использовать и изменять домены;
• изменять данные и связи данных;
• изменять глоссарии;
• использовать и изменять термины;
• изменять классификации;
• использовать и изменять теги.

Включает разрешения, предоставляемые правом доступа Просмотр метаданных.

Право доступа Использование метаданных можно предоставить с помощью роли data-catalog.dataConsumer на уровне организации.

Управление разметкой метаданныхУправление разметкой метаданных

Пользователи с правом Управление разметкой метаданных могут создавать, запускать, останавливать, изменять и удалять поставки данных.

Включает разрешения, предоставляемые правом доступа Использование метаданных.

Право доступа Управление разметкой метаданных можно предоставить с помощью роли data-catalog.dataSteward на уровне организации.

Редактирование метаданныхРедактирование метаданных

Пользователи с правом Редактирование метаданных могут:

• создавать, изменять и удалять поставки данных;
• создавать и удалять домены;
• создавать и удалять данные и связи данных;
• создавать и удалять глоссарии, термины, классификации и теги.

Включает разрешения, предоставляемые правом доступа Использование метаданных.

Право доступа Редактирование метаданных можно предоставить с помощью роли data-catalog.editor на уровне организации.

Администрирование метаданныхАдминистрирование метаданных

Пользователи с правом Администрирование метаданных могут:

• просматривать информацию о правах доступа к метаданным и изменять такие права доступа;
• изменять права доступа к доменам.

Включает разрешения, предоставляемые правами доступа Редактирование метаданных и Управление разметкой метаданных.

Право доступа Администрирование метаданных можно предоставить с помощью роли data-catalog.admin на уровне организации.

Права для доступа к объектамПрава для доступа к объектам

В DataLens Platform доступ можно выдавать к следующим объектам, с учётом вложенности:

• Коллекция

  • коллекция;
  • воркбук (доступ распространяется на вложенные подключения, датасеты, чарты, дашборды, отчеты, HTML-страницы и SQL-запросы);
  • общие объекты — подключения или датасеты;
  • рабочее пространство;
  • поставка данных;
  • кластер Apache Airflow™;
  • кластер Apache Spark™;
  • кластер Trino.

• REST-каталог

  • пространство имён;
  • таблица;
  • представление.

Основные доступыОсновные доступы

Для каждого объекта доступны доступы четырех уровней: Ограниченный просмотр, Просмотр, Редактирование и Администрирование. Каждая следующий доступ включает разрешения, предоставляемые предыдущим. Набор разрешений зависит от типа объекта.

При создании объекта автору автоматически назначается доступ Администрирование на этот объект.

Ограниченный просмотрОграниченный просмотр

Доступ Ограниченный просмотр позволяет просматривать ограниченную информацию об объекте:

• на воркбуке — просматривать вложенные в него чарты и дашборды, а также информацию о назначенных правах доступа к воркбуку;
• на коллекции — просматривать информацию о коллекции, вложенных в нее коллекциях и воркбуках, в том числе просматривать чарты и дашборды вложенных воркбуков;
• на общем объекте — просматривать чарты и дашборды, которые используют общий объект, без прямого доступа к нему;
• на REST-каталоге, пространстве имен, таблице или представлении — просматривать метаданные объекта без чтения данных;
• на рабочем пространстве — просматривать информацию о рабочем пространстве без права его использования;
• на кластере — просматривать информацию о кластере без права выполнения операций.

ПросмотрПросмотр

Доступ Просмотр позволяет просматривать объект и использовать его без права редактирования:

• на воркбуке — просматривать все вложенные в него объекты, а также информацию о назначенных правах доступа к воркбуку;
• на коллекции — просматривать информацию о коллекции и вложенных в нее коллекциях и воркбуках, а также все объекты вложенных воркбуков;
• на общем объекте — просматривать этот объект и права доступа к нему;
• на REST-каталоге, пространстве имен, таблице или представлении — просматривать метаданные объекта и читать данные;
• на рабочем пространстве — просматривать информацию о рабочем пространстве и использовать его;
• на кластере — просматривать информацию о кластере и выполнять базовые операции.

РедактированиеРедактирование

Доступ Редактирование позволяет изменять объект без права настраивать доступ к нему:

• на воркбуке — редактировать воркбук и все вложенные в него объекты, а также создавать копии воркбука;
• на коллекции — редактировать коллекцию и все вложенные в нее коллекции и воркбуки, создавать их копии, а также создавать новые коллекции и воркбуки внутри;
• на общем объекте — редактировать этот объект;
• на REST-каталоге, пространстве имен, таблице или представлении — управлять объектом без настройки прав доступа;
• на рабочем пространстве — управлять рабочим пространством без редактирования прав доступа;
• на кластере — управлять кластером без редактирования прав доступа.

АдминистрированиеАдминистрирование

Доступ Администрирование позволяет полностью управлять объектом, в том числе настраивать права доступа к нему:

• на воркбуке — редактировать, перемещать и удалять воркбук и все вложенные в него объекты, создавать копии воркбука, а также изменять права доступа к нему;
• на коллекции — редактировать, перемещать и удалять коллекцию и все вложенные в нее коллекции и воркбуки, создавать новые объекты внутри, а также изменять права доступа;
• на общем объекте — редактировать, перемещать и удалять этот объект, а также настраивать права доступа к нему;
• на REST-каталоге, пространстве имен, таблице или представлении — управлять объектом и настраивать права доступа к нему;
• на рабочем пространстве — управлять рабочим пространством и настраивать права доступа к нему;
• на кластере — управлять кластером и настраивать права доступа к нему.

Дополнительные доступы для коллекцийДополнительные доступы для коллекций

Посещение коллекцииПосещение коллекции

Доступ Посещение коллекции позволяет просматривать информацию о текущей коллекции без доступа ко вложенным в нее объектам.

Создание в коллекцииСоздание в коллекции

Доступ Создание в коллекции позволяет просматривать коллекцию и создавать объекты внутри нее, без доступа к существующим объектам внутри нее.

Пользователи с этим правом доступа могут:

• просматривать информацию о текущей коллекции и вложенных в нее воркбуках и коллекциях;
• создавать воркбуки и коллекции внутри текущей коллекции.

Включает разрешения, предоставляемые доступом Посещение коллекции.

Роли для привязки общих объектовРоли для привязки общих объектов

Общие объекты — это подключения и датасеты, которые можно переиспользовать и привязывать к нескольким воркбукам для работы разных команд. Роли для привязки можно назначить как на сам общий объект, так и на коллекцию, в которой хранятся общие объекты.

При привязке с делегацией права доступа к общему объекту внутри воркбука не проверяются: объект доступен всем, у кого есть доступ к воркбуку. При привязке без делегации пользователям нужно выдать доступ к оригиналу — общему объекту.

Привязки без делегацийПривязки без делегаций

Доступ Привязки без делегаций позволяет привязывать общий объект к воркбукам без делегации прав доступа.

Привязки с делегациямиПривязки с делегациями

Доступ Привязки с делегациями позволяет привязывать общий объект к воркбукам с делегацией или без делегации прав доступа.

Полезные ссылкиПолезные ссылки

• Управление доступом к Yandex DataLens Platform
• Управление правами доступа