Stratégies de catalogue de données

Créez des stratégies pour contrôler qui a accès à Data Catalog, ainsi que le type d'accès de chaque groupe d'utilisateurs.

Par défaut, seuls les utilisateurs du groupe Administrators ont accès à toutes les ressources Data Catalog. Pour chaque utilisateur de Data Catalog, vous devez créer des stratégies qui lui affectent les droits appropriés sur les ressources Data Catalog.

Pour obtenir la liste complète des stratégies Oracle Cloud Infrastructure, reportez-vous à Référence de stratégie.

Types de ressource

Data Catalog propose des types de ressource individuels et agrégés pour l'écriture de stratégies.

Vous pouvez utiliser les types de ressource agrégés pour écrire moins de stratégies. Par exemple, au lieu d'autoriser un groupe à gérer data-catalogs et data-catalog-data-assets, vous pouvez définir une stratégie permettant au groupe de gérer le type de ressource agrégé data-catalog-family.


Type agrégé de ressource	Types individuels de ressource
`data-catalog-family`	`data-catalogs` `data-catalog-private-endpoints` `data-catalog-metastores` `data-catalog-data-assets` `data-catalog-glossaries` `data-catalog-namespaces`

Les API couvertes pour le type agrégé de ressource data-catalog-family couvrent les API pour data-catalogs, data-catalog-private-endpoints, data-catalog-metastores, data-catalog-data-assets, data-catalog-glossaries et data-catalog-namespaces.

Par exemple :

allow group catalog-admins to manage data-catalog-family in compartment x

revient à écrire les stratégies suivantes :

allow group catalog-admins to manage data-catalogs in compartment x
allow group catalog-admins to manage data-catalog-private-endpoints in compartment x
allow group catalog-admins to manage data-catalog-metastores in compartment x
allow group catalog-admins to manage data-catalog-data-assets in compartment x
allow group catalog-admins to manage data-catalog-glossaries in compartment x
allow group catalog-admins to manage data-catalog-namespaces in compartment x

Types de ressource pour les groupes dynamiques

Utilisez des groupes dynamiques pour regrouper vos ressources de catalogue de données. Pour plus d'informations, reportez-vous à Création de groupes dynamiques.

Pour définir un groupe dynamique pour les ressources de catalogue de données, utilisez les types de ressource suivants :

datacatalog
datacatalogprivateendpoint
datacatalogmetastore

L'exemple suivant présente une règle de mise en correspondance qui inclut tous les catalogues d'un compartiment :

Any{resource.type='datacatalog', resource.compartment.id = '<OCID of data catalog compartment>'}

Variables prises en charge

Pour ajouter des conditions à vos stratégies, vous pouvez utiliser des variables générales ou propres à un service Oracle Cloud Infrastructure.


Les opérations pour ce type de ressource...	Variables pouvant être utilisées	Type de variable	Commentaires
`data-catalog-family`	`target.catalog.id`	Entité (OCID)	Non disponible pour utilisation avec `CreateCatalog` ou des opérations de demande de travail.
`data-catalog-family`	`target.metastore.id`	Entité (OCID)	Disponible pour utilisation uniquement avec les opérations de metastore.
`data-catalogs`	`target.catalog.id`	Entité (OCID)	Non disponible pour utilisation avec `CreateCatalog` ou des opérations de demande de travail.
`data-catalog-data-assets`	`target.catalog.id`	Entité (OCID)	Non disponible pour utilisation avec des opérations de demande de travail.
`data-catalog-data-assets`	`target.data-asset.key`	La clé est l'identificateur unique universel (UUID) de la ressource de données, sous forme de chaîne. Cet ID n'est pas un OCID.	Disponible pour utilisation uniquement avec des opérations de ressource de données, à l'exception de `CreateDataAsset`.
`data-catalog-glossaries`	`target.catalog.id`	Entité (OCID)	Non disponible pour utilisation avec des opérations de demande de travail.
`data-catalog-glossaries`	`target.glossary.key`	Chaîne La clé est l'identificateur unique universel (UUID) du glossaire, sous forme de chaîne. Cet ID n'est pas un OCID.	Disponible pour utilisation uniquement avec des opérations de glossaire, à l'exception de `CreateGlossary`.
`data-catalog-namespaces`	`target.catalog.id`	Entité (OCID)	Non disponible pour utilisation avec des opérations de demande de travail.
`data-catalog-namespaces`	`target.namespace.key`	La clé est l'identificateur unique universel (UUID) de l'espace de noms, sous forme de chaîne. Cet ID n'est pas un OCID.	Disponible uniquement avec les opérations d'espace de noms.
`data-catalog-metastores`	`target.metastore.id`	Entité (OCID)	Disponible pour utilisation uniquement avec les opérations de metastore.
`data-catalog-metastore-assets`	`target.metastore.id`	Entité (OCID)	Disponible pour utilisation uniquement avec les opérations de ressource de metastore.
`data-catalog-metastore-assets`	`target.metastore.catalog.key` `target.metastore.database.key` `target.metastore.table.key`	Entité (OCID)	Disponible pour utilisation uniquement avec les opérations de ressource de metastore.
`data-catalog-metastore-assets`	`target.metastore.catalog.name` `target.metastore.database.name` `target.metastore.table.name`	Chaîne	Disponible pour utilisation uniquement avec les opérations de ressource de metastore.

Détails des combinaisons de verbe et de type de ressource

Les tableaux suivants indiquent les droits d'accès et les opérations d'API couverts par chaque verbe pour Data Catalog. Le niveau d'accès est cumulatif à mesure que vous passez d'un verbe à l'autre de la façon suivante :inspect > read > use > manage. La présence d'un signe plus (+) dans une cellule du tableau indique un accès incrémentiel par rapport à la cellule située directement au-dessus, tandis que la mention "aucun élément supplémentaire" indique l'absence d'accès incrémentiel.

data-catalogs

Les API couvertes pour le type de ressource data-catalogs sont répertoriées ici. Les API sont affichées par ordre alphabétique pour chaque droit d'accès.


INSPECT
Droits d'accès	API complètement couvertes	API partiellement couvertes
CATALOG_INSPECT	`ListCatalogs`	aucune
CATALOG_JOB_DEFINITION_INSPECT	`ListJobDefinitions`
CATALOG_JOB_INSPECT	`ListJobs`
CATALOG_JOB_INSPECT	`ListWorkRequests`
READ
Droits d'accès	API complètement couvertes	API partiellement couvertes
INSPECT +	INSPECT +	aucune
CATALOG_JOB_DEFINITION_READ	`GetJobDefinition`
CATALOG_JOB_DEFINITION_READ	`ListJobDefinitionPermissions`
CATALOG_JOB_READ	`GetJob`
	`GetJobExecution`
	`GetJobLog`
	`GetJob`
	`GetJobExecution`
	`GetJobLog`
	`ListJobMetrics`
CATALOG_READ	`GetCatalog`
	`GetType`
	`ListCatalogPermissions`
	`ListDataAssetPermissions`
	`ListGlossaries`
	`ListTypes`
	`ListSearchResults`
	`SuggestMatches`
CATALOG_WORK_REQUEST_READ	`GetWorkRequest`
	`ListWorkRequestErrors`
	`ListWorkRequestLogs`
USE
Droits d'accès	API complètement couvertes	API partiellement couvertes
READ +	READ +	aucune
CATALOG_UPDATE	`UpdateCatalog`
CATALOG_JOB_DEFINITION_CREATE	`CreateJobDefinition`
CATALOG_JOB_DEFINITION_UPDATE	`UpdateJobDefinition`
CATALOG_JOB_DEFINITION_DELETE	`DeleteJobDefinition`
CATALOG_JOB_CREATE	`CreateJob`
CATALOG_JOB_UPDATE	`UpdateJob`
CATALOG_JOB_DELETE	`DeleteJobDefinition`
CATALOG_ATTACH_CATALOG_PRIVATE_ENDPOINT	`AttachCatalogPrivateEndpoint`
CATALOG_DETACH_CATALOG_PRIVATE_ENDPOINT	`DetachCatalogPrivateEndpoint`
MANAGE
Droits d'accès	API complètement couvertes	API partiellement couvertes
USE +	USE +	aucune
CATALOG_CREATE	`CreateCatalog`
CATALOG_DELETE	`DeleteCatalog`
CATALOG_MOVE	`ChangeCatalogCompartment`

data-catalog-private-endpoints

Les API couvertes pour le type de ressource data-catalog-private-endpoints sont répertoriées ici. Les API sont affichées par ordre alphabétique pour chaque droit d'accès.


INSPECT
Droits d'accès	API complètement couvertes	API partiellement couvertes
CATALOG_PRIVATE_ENDPOINT_INSPECT	`ListCatalogPrivateEndpoints`	aucune
READ
Droits d'accès	API complètement couvertes	API partiellement couvertes
INSPECT +	INSPECT +	aucune
CATALOG_PRIVATE_ENDPOINT_READ	`GetCatalogPrivateEndpoint`	aucune
USE
Droits d'accès	API complètement couvertes	API partiellement couvertes
READ +	READ +	aucune
CATALOG_PRIVATE_ENDPOINT_MOVE	`AttachCatalogPrivateEndpoint`
	`DetachCatalogPrivateEndpoint`
	`UpdateCatalogPrivateEndpoint`
MANAGE
Droits d'accès	API complètement couvertes	API partiellement couvertes
USE +	USE +	aucune
CATALOG_PRIVATE_ENDPOINT_MOVE	`ChangeCatalogPrivateEndpointCompartment`
CATALOG_PRIVATE_ENDPOINT_CREATE	`CreateCatalogPrivateEndpoint`
CATALOG_PRIVATE_ENDPOINT_DELETE	`DeleteCatalogPrivateEndpoint`

data-catalog-data-assets

Les API couvertes pour le type de ressource data-catalog-data-assets sont répertoriées ici. Les API sont affichées par ordre alphabétique pour chaque droit d'accès.


INSPECT
Droits d'accès	API complètement couvertes	API partiellement couvertes
CATALOG_DATA_ASSET_INSPECT	`ListDataAssets`	aucune
CATALOG_DATA_ASSET_TAG_INSPECT	`ListAttributeTags`
	`ListDataAssetTags`
	`ListEntityTags`
	`ListFolderTags`
READ
Droits d'accès	API complètement couvertes	API partiellement couvertes
INSPECT +	INSPECT +	aucune
CATALOG_DATA_ASSET_READ	`GetAttribute`
	`GetConnection`
	`GetDataAsset`
	`GetEntity`
	`GetFolder`
	`GetPattern`
	`ListAttributes`
	`ListConnections`
	`ListEntities`
	`ListDerivedLogicalEntities`
	`ListFolders`
	`ListPattern`
	`ParseConnection`
	`ValidatePattern`
CATALOG_DATA_ASSET_TAG_READ	`GetAttributeTag`
	`GetDataAssetTag`
	`GetEntityTag`
	`GetFolderTag`
USE
Droits d'accès	API complètement couvertes	API partiellement couvertes
READ +	READ +	aucune
CATALOG_DATA_ASSET_UPDATE	`AddDataSelectorPatterns`
	`CreateAttribute`
	`CreateConnection`
	`CreateEntity`
	`CreateFolder`
	`CreatePattern`
	`DeleteAttribute`
	`DeleteConnection`
	`DeleteEntity`
	`DeleteFolder`
	`DeletePattern`
	`ImportConnection`
	`RemoveDataSelectorPatterns`
	`TestConnection`
	`UpdateAttribute`
	`UpdateConnection`
	`UpdateDataAsset`
	`UpdateEntity`
	`UpdateFolder`
	`UpdatePattern`
	`ValidateConnection`
CATALOG_DATA_ASSET_TAG_CREATE	`CreateAttributeTag`
	`CreateDataAssetTag`
	`CreateEntityTag`
	`CreateFolderTag`
CATALOG_DATA_ASSET_TAG_DELETE	`DeleteDataAssetTag`
	`DeleteAttributeTag`
	`DeleteEntityTag`
	`DeleteFolderTag`
CATALOG_DATA_ASSET_TAG_UPDATE	non utilisée
MANAGE
Droits d'accès	API complètement couvertes	API partiellement couvertes
USE +	USE +	aucune
CATALOG_DATA_ASSET_CREATE	`CreateDataAsset`
CATALOG_DATA_ASSET_DELETE	`DeleteDataAsset`

data-catalog-glossaries

Les API couvertes pour le type de ressource data-catalog-glossaries sont répertoriées ici. Les API sont affichées par ordre alphabétique pour chaque droit d'accès.


INSPECT
Droits d'accès	API complètement couvertes	API partiellement couvertes
CATALOG_GLOSSARY_INSPECT	`ListGlossaries`	aucune
READ
Droits d'accès	API complètement couvertes	API partiellement couvertes
INSPECT +	INSPECT +	aucune
CATALOG_GLOSSARY_READ	`ExpandTreeForGlossary`
	`ExportGlossary`
	`GetGlossary`
	`GetTerm`
	`GetTermRelationship`
	`ListGlossaryTermRelationships`
	`ListGlossaryTerms`
USE
Droits d'accès	API complètement couvertes	API partiellement couvertes
READ +	READ +	aucune
CATALOG_GLOSSARY_UPDATE	`CreateTerm`
	`CreateTermRelationship`
	`UpdateTerm`
	`DeleteTerm`
	`UpdateTermRelationship`
	`DeleteTermRelationship`
	`UpdateGlossary`
	`ImportGlossary`
MANAGE
Droits d'accès	API complètement couvertes	API partiellement couvertes
USE +	USE +	aucune
CATALOG_GLOSSARY_CREATE	`CreateGlossary`
CATALOG_GLOSSARY_DELETE	`DeleteGlossary`

data-catalog-namespaces

Les API couvertes pour le type de ressource data-catalog-namespaces sont répertoriées ici. Les API sont affichées par ordre alphabétique pour chaque droit d'accès.


INSPECT
Droits d'accès	API complètement couvertes	API partiellement couvertes
CATALOG_NAMESPACE_INSPECT	`ListNamespaces`	aucune
READ
Droits d'accès	API complètement couvertes	API partiellement couvertes
INSPECT +	INSPECT +	aucune
CATALOG_NAMESPACE_READ	`GetCustomProperty`
	`GetNamespace`
	`ListCustomProperties`
USE
Droits d'accès	API complètement couvertes	API partiellement couvertes
READ +	READ +	aucune
CATALOG_NAMESPACE_UPDATE	`AssociateCustomProperty`
	`CreateCustomProperty`
	`DeleteCustomProperty`
	`DisassociateCustomProperty`
	`UpdateCustomProperty`
	`UpdateNamespace`
MANAGE
Droits d'accès	API complètement couvertes	API partiellement couvertes
USE +	USE +	aucune
CATALOG_NAMESPACE_CREATE	`CreateNamespace`
CATALOG_NAMESPACE_DELETE	`DeleteNamespace`

data-catalog-metastores

Les API couvertes pour le type de ressource data-catalog-metastores sont répertoriées ici. Les API sont affichées par ordre alphabétique pour chaque droit d'accès.


INSPECT
Droits d'accès	API complètement couvertes	API partiellement couvertes
CATALOG_METASTORE_INSPECT	`ListMetastores`	aucune
READ
Droits d'accès	API complètement couvertes	API partiellement couvertes
INSPECT +	INSPECT +	aucune
CATALOG_METASTORE_READ	`GetMetastore`	aucune
USE
Droits d'accès	API complètement couvertes	API partiellement couvertes
READ +	READ +	aucune
CATALOG_METASTORE_UPDATE	`UpdateMetastore`	aucune
MANAGE
Droits d'accès	API complètement couvertes	API partiellement couvertes
USE +	USE +	aucune
CATALOG_METASTORE_CREATE	`CreateMetastore`
CATALOG_METASTORE_DELETE	`DeleteMetastore`
CATALOG_METASTORE_MOVE	`ChangeMetastoreCompartment`

data-catalog-metastore-assets

Les API couvertes pour le type de ressource data-catalog-metastore-assets sont répertoriées ici.


INSPECT
Droits d'accès	API complètement couvertes	API partiellement couvertes
CATALOG_METASTORE_CATALOG_INSPECT	`MetastoreExecute`	aucune
CATALOG_METASTORE_DATABASE_INSPECT	`MetastoreExecute`
CATALOG_METASTORE_TABLE_INSPECT	`MetastoreExecute`
READ
Droits d'accès	API complètement couvertes	API partiellement couvertes
INSPECT +	INSPECT +	aucune
CATALOG_METASTORE_CATALOG_READ	`MetastoreExecute`
CATALOG_METASTORE_DATABASE_READ	`MetastoreExecute`
CATALOG_METASTORE_TABLE_READ	`MetastoreExecute`
USE
Droits d'accès	API complètement couvertes	API partiellement couvertes
READ +	READ +	aucune
CATALOG_METASTORE_CATALOG_UPDATE	`MetastoreExecute`
CATALOG_METASTORE_DATABASE_UPDATE	`MetastoreExecute`
CATALOG_METASTORE_TABLE_UPDATE	`MetastoreExecute`
MANAGE
Droits d'accès	API complètement couvertes	API partiellement couvertes
USE +	USE +	aucune
CATALOG_METASTORE_CATALOG_CREATE	`MetastoreExecute`
CATALOG_METASTORE_CATALOG_DELETE	`MetastoreExecute`
CATALOG_METASTORE_DATABASE_CREATE	`MetastoreExecute`
CATALOG_METASTORE_DATABASE_DELETE	`MetastoreExecute`
CATALOG_METASTORE_TABLE_CREATE	`MetastoreExecute`
CATALOG_METASTORE_TABLE_DELETE	`MetastoreExecute`

Droits d'accès requis pour chaque opération d'API

Le tableau suivant présente les opérations d'API dans un ordre logique, regroupées par type de ressource. Les types de ressource sont data-catalogs, data-catalog-private-endpoints, data-catalog-data-assets, data-catalog-glossaries et data-catalog-namespaces.

Pour plus d'informations sur les droits d'accès, reportez-vous à Droits d'accès.