Politiques pour le catalogue de données

Créer des politiques pour contrôler qui a accès au catalogue de données et le type d'accès de chaque groupe d'utilisateurs.

Par défaut, seuls les utilisateurs du groupe Administrateurs ont accès à toutes les ressources de catalogue de données. Pour toutes les autres personnes utilisant le catalogue de données, vous devez créer des politiques qui leur donnent les droits appropriés sur les ressources de catalogue de données.

Pour obtenir la liste complète des politiques Oracle Cloud Infrastructure, voir Informations de référence sur les politiques.

Types de ressource

Le catalogue de données offre des types de ressource agrégés et individuels pour l'écriture de politiques.

Les types de ressources agrégés permettent d'écrire moins de politiques. Par exemple, au lieu d'autoriser un groupe à gérer data-catalogs et data-catalog-data-assets, vous pouvez créer une politique qui permet au groupe de gérer le type de ressource agrégé data-catalog-family.


Type de ressource global	Types de ressource individuels
`data-catalog-family`	`data-catalogs` `data-catalog-private-endpoints` `data-catalog-metastores` `data-catalog-data-assets` `data-catalog-glossaries` `data-catalog-namespaces`

Les API couvertes pour le type de ressource agrégé data-catalog-family comprennent les API pour data-catalogs, data-catalog-private-endpoints, data-catalog-metastores, data-catalog-data-assets, data-catalog-glossaries et data-catalog-namespaces.

Par exemple,

allow group catalog-admins to manage data-catalog-family in compartment x

revient à écrire les politiques suivantes :

allow group catalog-admins to manage data-catalogs in compartment x
allow group catalog-admins to manage data-catalog-private-endpoints in compartment x
allow group catalog-admins to manage data-catalog-metastores in compartment x
allow group catalog-admins to manage data-catalog-data-assets in compartment x
allow group catalog-admins to manage data-catalog-glossaries in compartment x
allow group catalog-admins to manage data-catalog-namespaces in compartment x

Types de ressource pour les groupes dynamiques

Utilisez des groupes dynamiques pour regrouper vos ressources de catalogue de données. Pour plus d'informations, voir Création de groupes dynamiques.

Pour définir un groupe dynamique pour les ressources de catalogue de données, utilisez les types de ressource suivants :

datacatalog
datacatalogprivateendpoint
datacatalogmetastore

L'exemple suivant présente une règle de correspondance qui inclut tous les catalogues d'un compartiment :

Any{resource.type='datacatalog', resource.compartment.id = '<OCID of data catalog compartment>'}

Variables prises en charge

Pour ajouter des conditions à vos politiques, vous pouvez utiliser des variables Oracle Cloud Infrastructure générales ou des variables propres à des services.


Opérations pour ce type de ressource...	Peut utiliser ces variables...	Type de variable	Commentaires
`data-catalog-family`	`target.catalog.id`	Entité (OCID)	Non disponible pour utilisation avec `CreateCatalog` ou les opérations de demande de travail.
`data-catalog-family`	`target.metastore.id`	Entité (OCID)	Disponible pour utilisation uniquement avec les opérations de magasin de métadonnées.
`data-catalogs`	`target.catalog.id`	Entité (OCID)	Non disponible pour utilisation avec `CreateCatalog` ou les opérations de demande de travail.
`data-catalog-data-assets`	`target.catalog.id`	Entité (OCID)	Non disponible pour utilisation avec les opérations de demande de travail.
`data-catalog-data-assets`	`target.data-asset.key`	La clé est l'identifiant unique universel (UUID) pour la ressource de données dans un format de chaîne. Cet ID n'est pas un OCID.	Disponible pour utilisation uniquement avec les opérations sur les ressources de données, à l'exception de `CreateDataAsset`.
`data-catalog-glossaries`	`target.catalog.id`	Entité (OCID)	Non disponible pour utilisation avec les opérations de demande de travail.
`data-catalog-glossaries`	`target.glossary.key`	Chaîne La clé est l'identifiant unique universel (UUID) pour le glossaire, dans un format de chaîne. Cet ID n'est pas un OCID.	Disponible pour utilisation uniquement avec les opérations sur un glossaire, à l'exception de `CreateGlossary`.
`data-catalog-namespaces`	`target.catalog.id`	Entité (OCID)	Non disponible pour utilisation avec les opérations de demande de travail.
`data-catalog-namespaces`	`target.namespace.key`	La clé est l'identifiant unique universel (UUID) de l'espace de noms, dans un format de chaîne. Cet ID n'est pas un OCID.	Disponible uniquement pour les opérations d'espace de noms.
`data-catalog-metastores`	`target.metastore.id`	Entité (OCID)	Disponible pour utilisation uniquement avec les opérations de magasin de métadonnées.
`data-catalog-metastore-assets`	`target.metastore.id`	Entité (OCID)	Disponible pour utilisation uniquement avec les opérations d'immobilisation de magasin de métadonnées.
`data-catalog-metastore-assets`	`target.metastore.catalog.key` `target.metastore.database.key` `target.metastore.table.key`	Entité (OCID)	Disponible pour utilisation uniquement avec les opérations d'immobilisation de magasin de métadonnées.
`data-catalog-metastore-assets`	`target.metastore.catalog.name` `target.metastore.database.name` `target.metastore.table.name`	Chaîne	Disponible pour utilisation uniquement avec les opérations d'immobilisation de magasin de métadonnées.

Informations détaillées sur les combinaisons Verbe + Type de ressource

Les tableaux suivants présentent les autorisations et les opérations d'API couvertes par chaque verbe pour le catalogue de données. Le niveau d'accès est cumulatif depuis inspect > read > use > manage. Un signe plus (+) dans une cellule de tableau indique un accès incrémentiel comparé à la cellule directement au-dessus, alors que "aucun accès supplémentaire" indique qu'il n'y a aucun accès incrémentiel.

data-catalogs

Les API couvertes pour le type de ressource data-catalogs sont indiquées ici. Les API sont affichées en ordre alphabétique pour chaque autorisation.


INSPECT
Autorisations	API entièrement couvertes	API partiellement couvertes
CATALOG_INSPECT	`ListCatalogs`	aucune
CATALOG_JOB_DEFINITION_INSPECT	`ListJobDefinitions`
CATALOG_JOB_INSPECT	`ListJobs`
CATALOG_JOB_INSPECT	`ListWorkRequests`
READ
Autorisations	API entièrement couvertes	API partiellement couvertes
INSPECT +	INSPECT +	aucune
CATALOG_JOB_DEFINITION_READ	`GetJobDefinition`
CATALOG_JOB_DEFINITION_READ	`ListJobDefinitionPermissions`
CATALOG_JOB_READ	`GetJob`
	`GetJobExecution`
	`GetJobLog`
	`GetJob`
	`GetJobExecution`
	`GetJobLog`
	`ListJobMetrics`
CATALOG_READ	`GetCatalog`
	`GetType`
	`ListCatalogPermissions`
	`ListDataAssetPermissions`
	`ListGlossaries`
	`ListTypes`
	`ListSearchResults`
	`SuggestMatches`
CATALOG_WORK_REQUEST_READ	`GetWorkRequest`
	`ListWorkRequestErrors`
	`ListWorkRequestLogs`
USE
Autorisations	API entièrement couvertes	API partiellement couvertes
READ +	READ +	aucune
CATALOG_UPDATE	`UpdateCatalog`
CATALOG_JOB_DEFINITION_CREATE	`CreateJobDefinition`
CATALOG_JOB_DEFINITION_UPDATE	`UpdateJobDefinition`
CATALOG_JOB_DEFINITION_DELETE	`DeleteJobDefinition`
CATALOG_JOB_CREATE	`CreateJob`
CATALOG_JOB_UPDATE	`UpdateJob`
CATALOG_JOB_DELETE	`DeleteJobDefinition`
CATALOG_ATTACH_CATALOG_PRIVATE_ENDPOINT	`AttachCatalogPrivateEndpoint`
CATALOG_DETACH_CATALOG_PRIVATE_ENDPOINT	`DetachCatalogPrivateEndpoint`
MANAGE
Autorisations	API entièrement couvertes	API partiellement couvertes
USE +	USE +	aucune
CATALOG_CREATE	`CreateCatalog`
CATALOG_DELETE	`DeleteCatalog`
CATALOG_MOVE	`ChangeCatalogCompartment`

data-catalog-private-endpoints

Les API couvertes pour le type de ressource data-catalog-private-endpoints sont indiquées ici. Les API sont affichées en ordre alphabétique pour chaque autorisation.


INSPECT
Autorisations	API entièrement couvertes	API partiellement couvertes
CATALOG_PRIVATE_ENDPOINT_INSPECT	`ListCatalogPrivateEndpoints`	aucune
READ
Autorisations	API entièrement couvertes	API partiellement couvertes
INSPECT +	INSPECT +	aucune
CATALOG_PRIVATE_ENDPOINT_READ	`GetCatalogPrivateEndpoint`	aucune
USE
Autorisations	API entièrement couvertes	API partiellement couvertes
READ +	READ +	aucune
CATALOG_PRIVATE_ENDPOINT_MOVE	`AttachCatalogPrivateEndpoint`
	`DetachCatalogPrivateEndpoint`
	`UpdateCatalogPrivateEndpoint`
MANAGE
Autorisations	API entièrement couvertes	API partiellement couvertes
USE +	USE +	aucune
CATALOG_PRIVATE_ENDPOINT_MOVE	`ChangeCatalogPrivateEndpointCompartment`
CATALOG_PRIVATE_ENDPOINT_CREATE	`CreateCatalogPrivateEndpoint`
CATALOG_PRIVATE_ENDPOINT_DELETE	`DeleteCatalogPrivateEndpoint`

data-catalog-data-assets

Les API couvertes pour le type de ressource data-catalog-data-assets sont indiquées ici. Les API sont affichées en ordre alphabétique pour chaque autorisation.


INSPECT
Autorisations	API entièrement couvertes	API partiellement couvertes
CATALOG_DATA_ASSET_INSPECT	`ListDataAssets`	aucune
CATALOG_DATA_ASSET_TAG_INSPECT	`ListAttributeTags`
	`ListDataAssetTags`
	`ListEntityTags`
	`ListFolderTags`
READ
Autorisations	API entièrement couvertes	API partiellement couvertes
INSPECT +	INSPECT +	aucune
CATALOG_DATA_ASSET_READ	`GetAttribute`
	`GetConnection`
	`GetDataAsset`
	`GetEntity`
	`GetFolder`
	`GetPattern`
	`ListAttributes`
	`ListConnections`
	`ListEntities`
	`ListDerivedLogicalEntities`
	`ListFolders`
	`ListPattern`
	`ParseConnection`
	`ValidatePattern`
CATALOG_DATA_ASSET_TAG_READ	`GetAttributeTag`
	`GetDataAssetTag`
	`GetEntityTag`
	`GetFolderTag`
USE
Autorisations	API entièrement couvertes	API partiellement couvertes
READ +	READ +	aucune
CATALOG_DATA_ASSET_UPDATE	`AddDataSelectorPatterns`
	`CreateAttribute`
	`CreateConnection`
	`CreateEntity`
	`CreateFolder`
	`CreatePattern`
	`DeleteAttribute`
	`DeleteConnection`
	`DeleteEntity`
	`DeleteFolder`
	`DeletePattern`
	`ImportConnection`
	`RemoveDataSelectorPatterns`
	`TestConnection`
	`UpdateAttribute`
	`UpdateConnection`
	`UpdateDataAsset`
	`UpdateEntity`
	`UpdateFolder`
	`UpdatePattern`
	`ValidateConnection`
CATALOG_DATA_ASSET_TAG_CREATE	`CreateAttributeTag`
	`CreateDataAssetTag`
	`CreateEntityTag`
	`CreateFolderTag`
CATALOG_DATA_ASSET_TAG_DELETE	`DeleteDataAssetTag`
	`DeleteAttributeTag`
	`DeleteEntityTag`
	`DeleteFolderTag`
CATALOG_DATA_ASSET_TAG_UPDATE	non utilisé
MANAGE
Autorisations	API entièrement couvertes	API partiellement couvertes
USE +	USE +	aucune
CATALOG_DATA_ASSET_CREATE	`CreateDataAsset`
CATALOG_DATA_ASSET_DELETE	`DeleteDataAsset`

data-catalog-glossaries

Les API couvertes pour le type de ressource data-catalog-glossaries sont indiquées ici. Les API sont affichées en ordre alphabétique pour chaque autorisation.


INSPECT
Autorisations	API entièrement couvertes	API partiellement couvertes
CATALOG_GLOSSARY_INSPECT	`ListGlossaries`	aucune
READ
Autorisations	API entièrement couvertes	API partiellement couvertes
INSPECT +	INSPECT +	aucune
CATALOG_GLOSSARY_READ	`ExpandTreeForGlossary`
	`ExportGlossary`
	`GetGlossary`
	`GetTerm`
	`GetTermRelationship`
	`ListGlossaryTermRelationships`
	`ListGlossaryTerms`
USE
Autorisations	API entièrement couvertes	API partiellement couvertes
READ +	READ +	aucune
CATALOG_GLOSSARY_UPDATE	`CreateTerm`
	`CreateTermRelationship`
	`UpdateTerm`
	`DeleteTerm`
	`UpdateTermRelationship`
	`DeleteTermRelationship`
	`UpdateGlossary`
	`ImportGlossary`
MANAGE
Autorisations	API entièrement couvertes	API partiellement couvertes
USE +	USE +	aucune
CATALOG_GLOSSARY_CREATE	`CreateGlossary`
CATALOG_GLOSSARY_DELETE	`DeleteGlossary`

data-catalog-namespaces

Les API couvertes pour le type de ressource data-catalog-namespaces sont indiquées ici. Les API sont affichées en ordre alphabétique pour chaque autorisation.


INSPECT
Autorisations	API entièrement couvertes	API partiellement couvertes
CATALOG_NAMESPACE_INSPECT	`ListNamespaces`	aucune
READ
Autorisations	API entièrement couvertes	API partiellement couvertes
INSPECT +	INSPECT +	aucune
CATALOG_NAMESPACE_READ	`GetCustomProperty`
	`GetNamespace`
	`ListCustomProperties`
USE
Autorisations	API entièrement couvertes	API partiellement couvertes
READ +	READ +	aucune
CATALOG_NAMESPACE_UPDATE	`AssociateCustomProperty`
	`CreateCustomProperty`
	`DeleteCustomProperty`
	`DisassociateCustomProperty`
	`UpdateCustomProperty`
	`UpdateNamespace`
MANAGE
Autorisations	API entièrement couvertes	API partiellement couvertes
USE +	USE +	aucune
CATALOG_NAMESPACE_CREATE	`CreateNamespace`
CATALOG_NAMESPACE_DELETE	`DeleteNamespace`

data-catalog-metastores

Les API couvertes pour le type de ressource data-catalog-metastores sont répertoriées ici. Les API sont affichées en ordre alphabétique pour chaque autorisation.


INSPECT
Autorisations	API entièrement couvertes	API partiellement couvertes
CATALOG_METASTORE_INSPECT	`ListMetastores`	aucune
READ
Autorisations	API entièrement couvertes	API partiellement couvertes
INSPECT +	INSPECT +	aucune
CATALOG_METASTORE_READ	`GetMetastore`	aucune
USE
Autorisations	API entièrement couvertes	API partiellement couvertes
READ +	READ +	aucune
CATALOG_METASTORE_UPDATE	`UpdateMetastore`	aucune
MANAGE
Autorisations	API entièrement couvertes	API partiellement couvertes
USE +	USE +	aucune
CATALOG_METASTORE_CREATE	`CreateMetastore`
CATALOG_METASTORE_DELETE	`DeleteMetastore`
CATALOG_METASTORE_MOVE	`ChangeMetastoreCompartment`

data-catalog-metastore-assets

Les API couvertes pour le type de ressource data-catalog-metastore-assets sont indiquées ici.


INSPECT
Autorisations	API entièrement couvertes	API partiellement couvertes
CATALOG_METASTORE_CATALOG_INSPECT	`MetastoreExecute`	aucune
CATALOG_METASTORE_DATABASE_INSPECT	`MetastoreExecute`
CATALOG_METASTORE_TABLE_INSPECT	`MetastoreExecute`
READ
Autorisations	API entièrement couvertes	API partiellement couvertes
INSPECT +	INSPECT +	aucune
CATALOG_METASTORE_CATALOG_READ	`MetastoreExecute`
CATALOG_METASTORE_DATABASE_READ	`MetastoreExecute`
CATALOG_METASTORE_TABLE_READ	`MetastoreExecute`
USE
Autorisations	API entièrement couvertes	API partiellement couvertes
READ +	READ +	aucune
CATALOG_METASTORE_CATALOG_UPDATE	`MetastoreExecute`
CATALOG_METASTORE_DATABASE_UPDATE	`MetastoreExecute`
CATALOG_METASTORE_TABLE_UPDATE	`MetastoreExecute`
MANAGE
Autorisations	API entièrement couvertes	API partiellement couvertes
USE +	USE +	aucune
CATALOG_METASTORE_CATALOG_CREATE	`MetastoreExecute`
CATALOG_METASTORE_CATALOG_DELETE	`MetastoreExecute`
CATALOG_METASTORE_DATABASE_CREATE	`MetastoreExecute`
CATALOG_METASTORE_DATABASE_DELETE	`MetastoreExecute`
CATALOG_METASTORE_TABLE_CREATE	`MetastoreExecute`
CATALOG_METASTORE_TABLE_DELETE	`MetastoreExecute`

Autorisations requises pour chaque opération d'API

Le tableau suivant répertorie les opérations d'API dans un ordre logique, regroupées par type de ressource. Les types de ressource sont data-catalogs, data-catalog-private-endpoints, data-catalog-data-assets, data-catalog-glossaries et data-catalog-namespaces.

Pour plus d'informations sur les autorisations, voir Autorisations.