Políticas de Data Catalog

Cree políticas para controlar quién tiene acceso a Data Catalog y el tipo de acceso para cada grupo de usuarios.

Por defecto, solo los usuarios del grupo Administrators tienen acceso a todos los recursos de Data Catalog. Para todos los demás usuarios de Data Catalog, debe crear políticas para asignarles los derechos adecuados a los recursos de Data Catalog.

Para ver una lista completa de las políticas de Oracle Cloud Infrastructure, consulte la referencia de políticas.

Tipos de recursos

Data Catalog ofrece tipos de recursos agregados e individuales para la escritura de políticas.

Puede utilizar tipos de recursos agregados para escribir menos políticas. Por ejemplo, en lugar de permitir que un grupo gestione data-catalogs y data-catalog-data-assets, puede crear una política que permita al grupo gestionar el tipo de recurso agregado data-catalog-family.


Tipo de recurso agregado	Tipos de recursos individuales
`data-catalog-family`	`data-catalogs` `data-catalog-private-endpoints` `data-catalog-metastores` `data-catalog-data-assets` `data-catalog-glossaries` `data-catalog-namespaces`

Las API para el tipo de recurso agregado data-catalog-family incluyen las API para data-catalogs, data-catalog-private-endpoints, data-catalog-metastores, data-catalog-data-assets, data-catalog-glossaries y data-catalog-namespaces.

Por ejemplo,

allow group catalog-admins to manage data-catalog-family in compartment x

es lo mismo que escribir las siguientes políticas:

allow group catalog-admins to manage data-catalogs in compartment x
allow group catalog-admins to manage data-catalog-private-endpoints in compartment x
allow group catalog-admins to manage data-catalog-metastores in compartment x
allow group catalog-admins to manage data-catalog-data-assets in compartment x
allow group catalog-admins to manage data-catalog-glossaries in compartment x
allow group catalog-admins to manage data-catalog-namespaces in compartment x

Tipos de recursos para grupos dinámicos

Utilice grupos dinámicos para agrupar los recursos de Data Catalog. Para obtener más información, consulte Creación de grupos dinámicos.

Para definir un grupo dinámico para los recursos de Data Catalog, utilice los siguientes tipos de recursos:

datacatalog
datacatalogprivateendpoint
datacatalogmetastore

En el siguiente ejemplo se muestra una regla de coincidencia que incluye todos los catálogos de un compartimento:

Any{resource.type='datacatalog', resource.compartment.id = '<OCID of data catalog compartment>'}

Variables soportadas

Para agregar condiciones a las políticas, puede utilizar variables generales de Oracle Cloud Infrastructure o específicas del servicio.


Las operaciones para este tipo de recurso...	Puede utilizar estas variables...	Tipo de Variable	Comentarios
`data-catalog-family`	`target.catalog.id`	Entidad (OCID)	No disponible para utilizar con `CreateCatalog` o con operaciones de solicitud de trabajo.
`data-catalog-family`	`target.metastore.id`	Entidad (OCID)	Disponible para su uso únicamente con operaciones de metastore.
`data-catalogs`	`target.catalog.id`	Entidad (OCID)	No disponible para utilizar con `CreateCatalog` o con operaciones de solicitud de trabajo.
`data-catalog-data-assets`	`target.catalog.id`	Entidad (OCID)	No disponible para usar con operaciones de solicitud de trabajo.
`data-catalog-data-assets`	`target.data-asset.key`	La clave es el identificador único universal (UUID) para el activo de datos, en un formato de cadena. Este ID no es un OCID.	Disponible para utilizar solo con operaciones de activos de datos excepto `CreateDataAsset`.
`data-catalog-glossaries`	`target.catalog.id`	Entidad (OCID)	No disponible para usar con operaciones de solicitud de trabajo.
`data-catalog-glossaries`	`target.glossary.key`	Cadena La clave es el identificador único universal (UUID) del glosario, en formato de cadena. Este ID no es un OCID.	Solo está disponible para su uso con las operaciones de glosario salvo `CreateGlossary`.
`data-catalog-namespaces`	`target.catalog.id`	Entidad (OCID)	No disponible para usar con operaciones de solicitud de trabajo.
`data-catalog-namespaces`	`target.namespace.key`	La clave es el identificador único universal (UUID) del espacio de nombre, en formato de cadena. Este ID no es un OCID.	Disponible para usar solo con operaciones de espacio de nombre.
`data-catalog-metastores`	`target.metastore.id`	Entidad (OCID)	Disponible para su uso únicamente con operaciones de metastore.
`data-catalog-metastore-assets`	`target.metastore.id`	Entidad (OCID)	Disponible para su uso únicamente con operaciones de activos de metastore.
`data-catalog-metastore-assets`	`target.metastore.catalog.key` `target.metastore.database.key` `target.metastore.table.key`	Entidad (OCID)	Disponible para su uso únicamente con operaciones de activos de metastore.
`data-catalog-metastore-assets`	`target.metastore.catalog.name` `target.metastore.database.name` `target.metastore.table.name`	Cadena	Disponible para su uso únicamente con operaciones de activos de metastore.

Detalles de combinaciones de verbo + tipo de recurso

En las siguientes tablas se muestran los permisos y las operaciones de API que abarca cada verbo de Data Catalog. El nivel de acceso es acumulativo al recorrer la progresión inspect > read > use > manage. Un signo más (+) en una celda de la tabla indica un acceso incremental en comparación con la celda directamente por encima, mientras que "no extra" indica que no hay acceso incremental.

data-catalogs

Aquí se muestran las API que abarca el tipo de recurso data-catalogs. Las API se muestran en orden alfabético para cada permiso.


INSPECT
Permisos	API totalmente cubiertas	API parcialmente cubiertas
CATALOG_INSPECT	`ListCatalogs`	ninguna
CATALOG_JOB_DEFINITION_INSPECT	`ListJobDefinitions`
CATALOG_JOB_INSPECT	`ListJobs`
CATALOG_JOB_INSPECT	`ListWorkRequests`
READ
Permisos	API totalmente cubiertas	API parcialmente cubiertas
INSPECT +	INSPECT +	ninguna
CATALOG_JOB_DEFINITION_READ	`GetJobDefinition`
CATALOG_JOB_DEFINITION_READ	`ListJobDefinitionPermissions`
CATALOG_JOB_READ	`GetJob`
	`GetJobExecution`
	`GetJobLog`
	`GetJob`
	`GetJobExecution`
	`GetJobLog`
	`ListJobMetrics`
CATALOG_READ	`GetCatalog`
	`GetType`
	`ListCatalogPermissions`
	`ListDataAssetPermissions`
	`ListGlossaries`
	`ListTypes`
	`ListSearchResults`
	`SuggestMatches`
CATALOG_WORK_REQUEST_READ	`GetWorkRequest`
	`ListWorkRequestErrors`
	`ListWorkRequestLogs`
USE
Permisos	API totalmente cubiertas	API parcialmente cubiertas
READ +	READ +	ninguna
CATALOG_UPDATE	`UpdateCatalog`
CATALOG_JOB_DEFINITION_CREATE	`CreateJobDefinition`
CATALOG_JOB_DEFINITION_UPDATE	`UpdateJobDefinition`
CATALOG_JOB_DEFINITION_DELETE	`DeleteJobDefinition`
CATALOG_JOB_CREATE	`CreateJob`
CATALOG_JOB_UPDATE	`UpdateJob`
CATALOG_JOB_DELETE	`DeleteJobDefinition`
CATALOG_ATTACH_CATALOG_PRIVATE_ENDPOINT	`AttachCatalogPrivateEndpoint`
CATALOG_DETACH_CATALOG_PRIVATE_ENDPOINT	`DetachCatalogPrivateEndpoint`
MANAGE
Permisos	API totalmente cubiertas	API parcialmente cubiertas
USE +	USE +	ninguna
CATALOG_CREATE	`CreateCatalog`
CATALOG_DELETE	`DeleteCatalog`
CATALOG_MOVE	`ChangeCatalogCompartment`

data-catalog-private-endpoints

A continuación, se muestran las API que abarca el tipo de recurso data-catalog-private-endpoints. Las API se muestran en orden alfabético para cada permiso.


INSPECT
Permisos	API totalmente cubiertas	API parcialmente cubiertas
CATALOG_PRIVATE_ENDPOINT_INSPECT	`ListCatalogPrivateEndpoints`	ninguna
READ
Permisos	API totalmente cubiertas	API parcialmente cubiertas
INSPECT +	INSPECT +	ninguna
CATALOG_PRIVATE_ENDPOINT_READ	`GetCatalogPrivateEndpoint`	ninguna
USE
Permisos	API totalmente cubiertas	API parcialmente cubiertas
READ +	READ +	ninguna
CATALOG_PRIVATE_ENDPOINT_MOVE	`AttachCatalogPrivateEndpoint`
	`DetachCatalogPrivateEndpoint`
	`UpdateCatalogPrivateEndpoint`
MANAGE
Permisos	API totalmente cubiertas	API parcialmente cubiertas
USE +	USE +	ninguna
CATALOG_PRIVATE_ENDPOINT_MOVE	`ChangeCatalogPrivateEndpointCompartment`
CATALOG_PRIVATE_ENDPOINT_CREATE	`CreateCatalogPrivateEndpoint`
CATALOG_PRIVATE_ENDPOINT_DELETE	`DeleteCatalogPrivateEndpoint`

data-catalog-data-assets

Aquí se muestran las API que abarca el tipo de recurso ata-catalog-data-assets. Las API se muestran en orden alfabético para cada permiso.


INSPECT
Permisos	API totalmente cubiertas	API parcialmente cubiertas
CATALOG_DATA_ASSET_INSPECT	`ListDataAssets`	ninguna
CATALOG_DATA_ASSET_TAG_INSPECT	`ListAttributeTags`
	`ListDataAssetTags`
	`ListEntityTags`
	`ListFolderTags`
READ
Permisos	API totalmente cubiertas	API parcialmente cubiertas
INSPECT +	INSPECT +	ninguna
CATALOG_DATA_ASSET_READ	`GetAttribute`
	`GetConnection`
	`GetDataAsset`
	`GetEntity`
	`GetFolder`
	`GetPattern`
	`ListAttributes`
	`ListConnections`
	`ListEntities`
	`ListDerivedLogicalEntities`
	`ListFolders`
	`ListPattern`
	`ParseConnection`
	`ValidatePattern`
CATALOG_DATA_ASSET_TAG_READ	`GetAttributeTag`
	`GetDataAssetTag`
	`GetEntityTag`
	`GetFolderTag`
USE
Permisos	API totalmente cubiertas	API parcialmente cubiertas
READ +	READ +	ninguna
CATALOG_DATA_ASSET_UPDATE	`AddDataSelectorPatterns`
	`CreateAttribute`
	`CreateConnection`
	`CreateEntity`
	`CreateFolder`
	`CreatePattern`
	`DeleteAttribute`
	`DeleteConnection`
	`DeleteEntity`
	`DeleteFolder`
	`DeletePattern`
	`ImportConnection`
	`RemoveDataSelectorPatterns`
	`TestConnection`
	`UpdateAttribute`
	`UpdateConnection`
	`UpdateDataAsset`
	`UpdateEntity`
	`UpdateFolder`
	`UpdatePattern`
	`ValidateConnection`
CATALOG_DATA_ASSET_TAG_CREATE	`CreateAttributeTag`
	`CreateDataAssetTag`
	`CreateEntityTag`
	`CreateFolderTag`
CATALOG_DATA_ASSET_TAG_DELETE	`DeleteDataAssetTag`
	`DeleteAttributeTag`
	`DeleteEntityTag`
	`DeleteFolderTag`
CATALOG_DATA_ASSET_TAG_UPDATE	no se usa
MANAGE
Permisos	API totalmente cubiertas	API parcialmente cubiertas
USE +	USE +	ninguna
CATALOG_DATA_ASSET_CREATE	`CreateDataAsset`
CATALOG_DATA_ASSET_DELETE	`DeleteDataAsset`

data-catalog-glossaries

Aquí se muestran las API que abarca el tipo de recurso data-catalog-glossaries. Las API se muestran en orden alfabético para cada permiso.


INSPECT
Permisos	API totalmente cubiertas	API parcialmente cubiertas
CATALOG_GLOSSARY_INSPECT	`ListGlossaries`	ninguna
READ
Permisos	API totalmente cubiertas	API parcialmente cubiertas
INSPECT +	INSPECT +	ninguna
CATALOG_GLOSSARY_READ	`ExpandTreeForGlossary`
	`ExportGlossary`
	`GetGlossary`
	`GetTerm`
	`GetTermRelationship`
	`ListGlossaryTermRelationships`
	`ListGlossaryTerms`
USE
Permisos	API totalmente cubiertas	API parcialmente cubiertas
READ +	READ +	ninguna
CATALOG_GLOSSARY_UPDATE	`CreateTerm`
	`CreateTermRelationship`
	`UpdateTerm`
	`DeleteTerm`
	`UpdateTermRelationship`
	`DeleteTermRelationship`
	`UpdateGlossary`
	`ImportGlossary`
MANAGE
Permisos	API totalmente cubiertas	API parcialmente cubiertas
USE +	USE +	ninguna
CATALOG_GLOSSARY_CREATE	`CreateGlossary`
CATALOG_GLOSSARY_DELETE	`DeleteGlossary`

data-catalog-namespaces

Aquí se muestran las API que abarca el tipo de recurso data-catalog-namespaces. Las API se muestran en orden alfabético para cada permiso.


INSPECT
Permisos	API totalmente cubiertas	API parcialmente cubiertas
CATALOG_NAMESPACE_INSPECT	`ListNamespaces`	ninguna
READ
Permisos	API totalmente cubiertas	API parcialmente cubiertas
INSPECT +	INSPECT +	ninguna
CATALOG_NAMESPACE_READ	`GetCustomProperty`
	`GetNamespace`
	`ListCustomProperties`
USE
Permisos	API totalmente cubiertas	API parcialmente cubiertas
READ +	READ +	ninguna
CATALOG_NAMESPACE_UPDATE	`AssociateCustomProperty`
	`CreateCustomProperty`
	`DeleteCustomProperty`
	`DisassociateCustomProperty`
	`UpdateCustomProperty`
	`UpdateNamespace`
MANAGE
Permisos	API totalmente cubiertas	API parcialmente cubiertas
USE +	USE +	ninguna
CATALOG_NAMESPACE_CREATE	`CreateNamespace`
CATALOG_NAMESPACE_DELETE	`DeleteNamespace`

data-catalog-metastores

A continuación se muestran las API que se incluyen para el tipo de recurso data-catalog-metastores. Las API se muestran en orden alfabético para cada permiso.


INSPECT
Permisos	API totalmente cubiertas	API parcialmente cubiertas
CATALOG_METASTORE_INSPECT	`ListMetastores`	ninguna
READ
Permisos	API totalmente cubiertas	API parcialmente cubiertas
INSPECT +	INSPECT +	ninguna
CATALOG_METASTORE_READ	`GetMetastore`	ninguna
USE
Permisos	API totalmente cubiertas	API parcialmente cubiertas
READ +	READ +	ninguna
CATALOG_METASTORE_UPDATE	`UpdateMetastore`	ninguna
MANAGE
Permisos	API totalmente cubiertas	API parcialmente cubiertas
USE +	USE +	ninguna
CATALOG_METASTORE_CREATE	`CreateMetastore`
CATALOG_METASTORE_DELETE	`DeleteMetastore`
CATALOG_METASTORE_MOVE	`ChangeMetastoreCompartment`

data-catalog-metastore-assets

Aquí se muestran las API que abarca el tipo de recurso data-catalog-metastore-assets.


INSPECT
Permisos	API totalmente cubiertas	API parcialmente cubiertas
CATALOG_METASTORE_CATALOG_INSPECT	`MetastoreExecute`	ninguna
CATALOG_METASTORE_DATABASE_INSPECT	`MetastoreExecute`
CATALOG_METASTORE_TABLE_INSPECT	`MetastoreExecute`
READ
Permisos	API totalmente cubiertas	API parcialmente cubiertas
INSPECT +	INSPECT +	ninguna
CATALOG_METASTORE_CATALOG_READ	`MetastoreExecute`
CATALOG_METASTORE_DATABASE_READ	`MetastoreExecute`
CATALOG_METASTORE_TABLE_READ	`MetastoreExecute`
USE
Permisos	API totalmente cubiertas	API parcialmente cubiertas
READ +	READ +	ninguna
CATALOG_METASTORE_CATALOG_UPDATE	`MetastoreExecute`
CATALOG_METASTORE_DATABASE_UPDATE	`MetastoreExecute`
CATALOG_METASTORE_TABLE_UPDATE	`MetastoreExecute`
MANAGE
Permisos	API totalmente cubiertas	API parcialmente cubiertas
USE +	USE +	ninguna
CATALOG_METASTORE_CATALOG_CREATE	`MetastoreExecute`
CATALOG_METASTORE_CATALOG_DELETE	`MetastoreExecute`
CATALOG_METASTORE_DATABASE_CREATE	`MetastoreExecute`
CATALOG_METASTORE_DATABASE_DELETE	`MetastoreExecute`
CATALOG_METASTORE_TABLE_CREATE	`MetastoreExecute`
CATALOG_METASTORE_TABLE_DELETE	`MetastoreExecute`

Permisos necesarios para cada operación de API

En la siguiente tabla se muestran las operaciones de API en un orden lógico, agrupadas por tipo de recurso. Los tipos de recurso son data-catalogs, data-catalog-private-endpoints, data-catalog-data-assets, data-catalog-glossaries y data-catalog-namespaces.

Para obtener más información sobre los permisos, consulte Permisos.