IAM-Berechtigungen für den Dataplex Universal Catalog

Mit Dataplex Universal Catalog-Berechtigungen können Nutzer bestimmte Aktionen für Dataplex Universal Catalog-Dienste, -Ressourcen und -Vorgänge ausführen. Mit der Berechtigung dataplex.datascans.create kann ein Nutzer beispielsweise Dataplex Universal Catalog-Datenscans in Ihrem Projekt erstellen. Sie erteilen den Nutzern die Berechtigungen nicht direkt, sondern weisen ihnen Rollen zu, die eine oder mehrere Berechtigungen enthalten.

In diesem Dokument werden die für Dataplex Universal Catalog relevanten IAM-Berechtigungen beschrieben. Weitere Informationen zu vordefinierten Dataplex Universal Catalog-Rollen und den darin enthaltenen Berechtigungen finden Sie unter IAM-Rollen für Dataplex Universal Catalog.

Eine ausführliche Beschreibung von IAM und den entsprechenden Funktionen finden Sie in der IAM-Dokumentation.

Berechtigungen zum Festlegen und Abrufen von IAM-Richtlinien

In der folgenden Tabelle sind die Berechtigungen aufgeführt, die zum Abrufen und Festlegen von IAM-Berechtigungen erforderlich sind:

Ressource	API-Methode	IAM-Berechtigung
Eintragstypen	GetIamPolicy	dataplex.entryTypes.getIamPolicy
Eintragstypen	SetIamPolicy	dataplex.entryTypes.setIamPolicy
Aspekttypen	GetIamPolicy	dataplex.aspectTypes.getIamPolicy
Aspekttypen	SetIamPolicy	dataplex.aspectTypes.setIamPolicy
Eintragsgruppen	GetIamPolicy	dataplex.entryGroups.getIamPolicy
Eintragsgruppen	SetIamPolicy	dataplex.entryGroups.setIamPolicy
Lakes	GetIamPolicy	dataplex.lakes.getIamPolicy
Lakes	SetIamPolicy	dataplex.lakes.setIamPolicy

Berechtigungen für die Metadatenverwaltung

Die Berechtigungen, die zum Ausführen von Vorgängen für Eintragstypen, Aspekttypen, Eintragsgruppen und Einträge erforderlich sind, hängen davon ab, ob es sich um Systemressourcen oder benutzerdefinierte Ressourcen handelt. Systemressourcen werden von Dataplex Universal Catalog definiert, benutzerdefinierte Ressourcen von Ihnen oder Ihrer Organisation.

Für Vorgänge, die sich auf mehrere Ressourcen beziehen (z. B. das Erstellen eines Eintrags eines bestimmten Eintrags oder das Hinzufügen eines Aspekts eines bestimmten Aspekttyps zu einem Eintrag), benötigen Sie möglicherweise mehrere Berechtigungen, die mit den Ressourcen verknüpft sind.

Eintragstypen

Zum Erstellen und Verwalten von Eintragstypen benötigen Sie mindestens die Standardberechtigungen create, get, list, update und delete.

Wenn Sie einen Eintragstyp erstellen, müssen Sie die Berechtigung haben, jeden Aspekttyp zu verwenden, den Sie für diesen Eintragstyp als erforderlich kennzeichnen möchten.

Wenn Sie einen Eintragstyp verwenden möchten (z. B. zum Erstellen von Einträgen eines Eintragstyps), muss Ihnen die Berechtigung use für den Eintragstyp gewährt werden.

In der folgenden Tabelle sind die Berechtigungen aufgeführt, die für den Umgang mit Eintragstypen erforderlich sind:

Vorgang	Für benutzerdefinierte Eintragstypen erforderliche Berechtigungen
Eintragstypen auflisten	dataplex.entryTypes.list
Eintragstypen abrufen	dataplex.entryTypes.get
Eintragstypen erstellen	dataplex.entryTypes.create dataplex.aspectTypes.use (für jeden erforderlichen Aspekttyp im Eintragstyp) dataplex.entryGroups.useASPECT_TYPE (für jeden erforderlichen Systemaspekttyp im Eintragstyp). Berechtigungen für Systemaspekttypen
Eintragstypen aktualisieren	dataplex.entryTypes.update dataplex.aspectTypes.use (für jeden erforderlichen Aspekttyp im Eintragstyp) dataplex.entryGroups.useASPECT_TYPE (für jeden erforderlichen Systemaspekttyp im Eintragstyp). Berechtigungen für Systemaspekttypen
Eintragstypen löschen	dataplex.entryTypes.delete dataplex.aspectTypes.use (für erforderliche Aspekttypen in den Eintragstypen) dataplex.entryGroups.useASPECT_TYPE (für jeden erforderlichen Systemaspekttyp im Eintragstyp). Berechtigungen für Systemaspekttypen
Eintragstypen verwenden (beim Erstellen von Einträgen, Aktualisieren von Feldern für Einträge auf oberster Ebene und erforderlichen Aspekttypwerten)	dataplex.entryTypes.use dataplex.entries.create oder dataplex.entries.update dataplex.aspectTypes.use (für jeden erstellten oder aktualisierten Aspekt)

Aspekttypen

Zum Erstellen und Verwalten von Aspekttypen benötigen Sie die Standardberechtigungen create, get, list, update und delete.

Wenn Sie einen Aspekttyp verwenden möchten, z. B. um ihn als optionalen Aspekt an einen Eintrag anzuhängen, benötigen Sie die Berechtigung use für den Aspekttyp.

Aspekttypen werden in Systemaspekttypen und benutzerdefinierte Aspekttypen unterteilt. Systemaspekttypen werden von Dataplex Universal Catalog erstellt und benutzerdefinierte Aspekttypen von Ihnen oder Ihrer Organisation. Systemaspekttypen werden weiter in nutzbare und schreibgeschützte unterteilt. Weitere Informationen finden Sie unter Kategorien von Aspekttypen.

In der folgenden Tabelle sind die Berechtigungen aufgeführt, die für den Umgang mit benutzerdefinierten und System-Aspekttypen erforderlich sind:

Vorgang	Erforderliche Berechtigungen für benutzerdefinierte Aspekttypen	Für verwendbare Systemaspekttypen erforderliche Berechtigungen	Für schreibgeschützte Systemaspekttypen erforderliche Berechtigungen
Aspekttypen auflisten	dataplex.aspectTypes.list	Nicht zutreffend (N/A)	–
Aspekttypen abrufen	dataplex.aspectTypes.get	Gewährt an allUsers	Gewährt an allUsers
Aspekttypen erstellen	dataplex.aspectTypes.create	–	–
Aspekttypen aktualisieren	dataplex.aspectTypes.update	–	–
Aspekttypen löschen	dataplex.aspectTypes.delete	–	–
Optionale Werte für den Aspekttyp beim Erstellen oder Aktualisieren von Einträgen festlegen	dataplex.aspectTypes.use dataplex.entries.create oder dataplex.entries.update	dataplex.entryGroups.useASPECT_TYPE. Weitere Informationen finden Sie unter Berechtigungen für Systemaspekttypen. dataplex.entries.create oder dataplex.entries.update	–
Erforderliche Werte für den Aspekttyp beim Erstellen oder Aktualisieren von Einträgen festlegen	dataplex.aspectTypes.use dataplex.entryTypes.use dataplex.entries.create oder dataplex.entries.update	dataplex.entryGroups.useASPECT_TYPE. Weitere Informationen finden Sie unter Berechtigungen für Systemaspekttypen. dataplex.entryTypes.use dataplex.entries.create oder dataplex.entries.update	–

Eintragsgruppen

Zum Erstellen und Verwalten von Eintragsgruppen benötigen Sie die Standardberechtigungen create, get, list, update und delete.

Eintragsgruppen werden in Systemeintragsgruppen, die von Dataplex Universal Catalog erstellt werden, und benutzerdefinierte Eintragsgruppen, die von Ihnen oder Ihrer Organisation erstellt werden, unterteilt. Weitere Informationen finden Sie unter Kategorien von Eintragsgruppen.

In der folgenden Tabelle sind die Berechtigungen aufgeführt, die für den Umgang mit Eintragssammlungen erforderlich sind:

Vorgang	Erforderliche Berechtigungen für benutzerdefinierte Eintragsgruppen	Erforderliche Berechtigungen für Systemeintragsgruppen (beginnend mit „@“)
Eintragsgruppen erstellen	dataplex.entryGroups.create	–
Eintragsgruppen aktualisieren	dataplex.entryGroups.update	–
Eintragsgruppen löschen	dataplex.entryGroups.delete	–
Eintragsgruppen auflisten	dataplex.entryGroups.list	dataplex.entryGroups.list
Eintragsgruppen abrufen	dataplex.entryGroups.get	dataplex.entryGroups.get

Einträge

Zum Erstellen und Verwalten von Einträgen benötigen Sie die Standardberechtigungen create, get, list, update und delete.

Wichtige Hinweise:

• Für die Methoden „Suchen“ (LookupEntry) und „Abrufen“ (SearchEntries) ist die Berechtigung des ursprünglichen Quellsystems für den Eintrag erforderlich. Wenn die Quelle beispielsweise eine BigQuery-Tabelle ist, benötigen Sie die Berechtigung bigquery.tables.get.
• Wenn Sie einen Eintrag erstellen oder die Felder der obersten Ebene eines Eintrags aktualisieren, benötigen Sie die Berechtigung use für den Eintragstyp.
• Wenn Sie ein erforderliches Attribut erstellen, aktualisieren oder löschen, benötigen Sie die Berechtigung use für den Eintragstyp eines Eintrags sowie für den zugrunde liegenden Attributtyp. Das liegt daran, dass die erforderlichen Aspekte durch den Eintragstyp erzwungen werden.
• Wenn Sie ein optionales Attribut erstellen, aktualisieren oder löschen, benötigen Sie die Berechtigung use für den Attributtyp des Attributs.
• Wenn Sie einen Eintrag einfügen oder aktualisieren (UpdateEntry mit allow_missing = True), benötigen Sie die Berechtigung create.

Weitere Informationen zu den Eintragstypen, auf denen Einträge basieren, finden Sie unter Kategorien von Eintragstypen.

In der folgenden Tabelle sind die Berechtigungen aufgeführt, die für den Umgang mit Einträgen erforderlich sind:

Vorgang	Eintrag auf Grundlage eines benutzerdefinierten Eintragstyps	Eintrag basierend auf dem verwendbaren Systemeintragstyp	Eintrag basierend auf schreibgeschütztem Systemeintragstyp
Einträge erstellen	dataplex.entries.create dataplex.entryTypes.use dataplex.aspectTypes.use (für jeden erstellten Aspekt) dataplex.entryGroups.useASPECT_TYPE (für jeden Aspekt eines erstellten nutzbaren Systemaspekttyps). Berechtigungen für Systemaspekttypen	dataplex.entries.create dataplex.entryGroups.useENTRY_TYPE. Berechtigungen für System-Eintragstypen dataplex.entryGroups.useASPECT_TYPE (für jeden erstellten Systemaspekt). Berechtigungen für Systemaspekttypen dataplex.aspectTypes.use (für jeden benutzerdefinierten Aspekt)	–
Einträge aktualisieren	dataplex.entries.update dataplex.entryTypes.use (zum Aktualisieren von Feldern der obersten Ebene oder erforderlichen Aspekten) dataplex.aspectTypes.use (für jeden aktualisierten Aspekt) dataplex.entryGroups.useASPECT_TYPE (für jeden aktualisierten Systemaspekt). Berechtigungen für Systemaspekttypen dataplex.entries.create (wenn allow_missing den Wert True hat)	dataplex.entries.update dataplex.entryGroups.useENTRY_TYPE (zum Aktualisieren von Feldern der obersten Ebene oder erforderlichen Aspekten). Berechtigungen für Systemeingabetypen dataplex.aspectTypes.use (für jeden aktualisierten benutzerdefinierten Aspekt) dataplex.entryGroups.useASPECT_TYPE (für jeden Aspekt, der zu Systemaspekttypen gehört). Berechtigungen für Systemaspekttypen dataplex.entries.create (wenn allow_missing den Wert True hat)	dataplex.entries.update dataplex.aspectTypes.use (für jeden aktualisierten benutzerdefinierten Aspekt) dataplex.entryGroups.useASPECT_TYPE (für jeden Aspekt eines aktualisierten nutzbaren Systemaspekttyps). Berechtigungen für Systemaspekttypen Felder der obersten Ebene und erforderliche Aspekte können nicht bearbeitet werden.
Einträge auflisten	dataplex.entries.list	dataplex.entries.list	dataplex.entries.list
Einträge abrufen	dataplex.entries.get	dataplex.entries.get	dataplex.entries.get
Einträge suchen	Leseberechtigung für das ursprüngliche Quellsystem. Bei benutzerdefinierten Einträgen ist dies dataplex.entries.get, da Dataplex Universal Catalog als ursprüngliches Quellsystem behandelt wird.	Leseberechtigung für das ursprüngliche Quellsystem. Bei benutzerdefinierten Einträgen ist dies dataplex.entries.get, da Dataplex Universal Catalog als ursprüngliches Quellsystem behandelt wird.	Leseberechtigung für das ursprüngliche Quellsystem. Bei benutzerdefinierten Einträgen ist dies dataplex.entries.get, da Dataplex Universal Catalog als ursprüngliches Quellsystem behandelt wird.
Einträge suchen	Leseberechtigung für das ursprüngliche Quellsystem. Bei benutzerdefinierten Einträgen ist dies dataplex.entries.get, da Dataplex Universal Catalog als ursprüngliches Quellsystem behandelt wird.	Leseberechtigung für das ursprüngliche Quellsystem. Bei benutzerdefinierten Einträgen ist dies dataplex.entries.get, da Dataplex Universal Catalog als ursprüngliches Quellsystem behandelt wird.	Leseberechtigung für das ursprüngliche Quellsystem. Bei benutzerdefinierten Einträgen ist dies dataplex.entries.get, da Dataplex Universal Catalog als ursprüngliches Quellsystem behandelt wird.

Berechtigungen für Metadatenjobs

In der folgenden Tabelle sind die Berechtigungen aufgeführt, die für die Arbeit mit Metadaten-Importjobs und Metadaten-Exportjobs erforderlich sind.

Vorgang	IAM-Berechtigung
Metadaten-Importjobs erstellen	dataplex.metadataJobs.create dataplex.entryTypes.use (für benutzerdefinierte Eintragstypen im Umfang des Jobs) dataplex.entryTypes.useENTRY_TYPE (für jeden System-Eintragstyp im Bereich des Jobs). Berechtigungen für Systemeingabetypen Diese Berechtigung ist jedoch nicht erforderlich, um optionale Aspekte zu ändern, wenn Sie einen Metadatenimportjob nur für Aspekte ausführen. dataplex.aspectTypes.use (für benutzerdefinierte Aspekttypen im Bereich des Jobs) dataplex.aspectTypes.useASPECT_TYPE (für jeden Systemaspekttyp im Umfang des Jobs). Berechtigungen für Systemaspekttypen dataplex.entryGroups.import (für Eintragsgruppen im Umfang des Jobs)
Metadatenexportjobs erstellen	dataplex.metadataJobs.create dataplex.entryGroups.export dataplex.entryGroups.get resourcemanager.projects.get resourcemanager.projects.list
Auf die exportierten Ergebnisse von Metadaten-Exportjobs zugreifen	storage.objects.get
Metadatenjobs abrufen	dataplex.metadataJobs.get
Metadatenjobs auflisten	dataplex.metadataJobs.list
Metadatenjobs abbrechen	dataplex.metadataJobs.cancel

Systemaspekttypen und Eintragstypen

Jeder vom System definierte Aspekttyp und jeder vom System definierte Eintragstyp hat eigene IAM-Berechtigungen. Diese Berechtigungen haben ein Format wie dataplex.entryGroups.useASPECT_TYPE oder dataplex.entryGroups.useENTRY_TYPE. Die Berechtigung für den Systemaspekttyp overview ist beispielsweise dataplex.entryGroups.useOverviewAspect.

In der folgenden Tabelle sind die Berechtigungen aufgeführt, die für systemdefinierte Aspekttypen und Eintragstypen gelten.

Ressource	IAM-Berechtigung
contacts (Systemaspekttyp)	dataplex.entryGroups.useContactsAspect
data-quality-scorecard (Systemaspekttyp)	dataplex.entryGroups.useDataQualityScorecardAspect
generic (Systemaspekttyp)	dataplex.entryGroups.useGenericAspect
generic (Systemeintragstyp)	dataplex.entryGroups.useGenericEntry
overview (Systemaspekttyp)	dataplex.entryGroups.useOverviewAspect
schema (Systemaspekttyp)	dataplex.entryGroups.useSchemaAspect

Berechtigungen für Lakes, Zonen und Assets

In der folgenden Tabelle sind die Berechtigungen aufgeführt, die für den Umgang mit Lakes, Zonen und Assets erforderlich sind:

API-Methode	IAM-Berechtigung
CreateLake	dataplex.lakes.create
UpdateLake	dataplex.lakes.update
DeleteLake	dataplex.lakes.delete
ListLakes	dataplex.lakes.list
GetLake	dataplex.lakes.get
ListLakeActions	dataplex.lakeActions.list
CreateZone	dataplex.zones.create
UpdateZone	dataplex.zones.update
DeleteZone	dataplex.zones.delete
ListZones	dataplex.zones.list
GetZone	dataplex.zones.get
ListZoneActions	dataplex.zoneActions.list
CreateAsset	dataplex.assets.create
UpdateAsset	dataplex.assets.update
DeleteAsset	dataplex.assets.delete
ListAssets	dataplex.assets.list
GetAsset	dataplex.assets.get
ListAssetActions	dataplex.assetActions.list

Berechtigungen für Aufgaben

In der folgenden Tabelle sind die Berechtigungen aufgeführt, die für die Arbeit mit Aufgaben erforderlich sind:

API-Methode	IAM-Berechtigung
CreateTask	dataplex.tasks.create
UpdateTask	dataplex.tasks.update
DeleteTask	dataplex.tasks.delete
ListTasks	dataplex.tasks.list
GetTask	dataplex.tasks.get
ListJobs	dataplex.tasks.get
getJob	dataplex.tasks.get
CancelJob	dataplex.tasks.cancel

Umgebungsberechtigungen

In der folgenden Tabelle sind die Berechtigungen aufgeführt, die für die Arbeit mit Umgebungen erforderlich sind:

API-Methode	IAM-Berechtigung
CreateEnvironment	dataplex.environments.create
UpdateEnvironment	dataplex.environments.update
DeleteEnvironment	dataplex.environments.delete
ListEnvironments	dataplex.environments.list
GetEnvironment	dataplex.environments.get
CreateContent	dataplex.content.create
UpdateContent	dataplex.content.update
DeleteContent	dataplex.content.delete
ListContent	dataplex.content.list
GetContent	dataplex.content.get
ListSessions	dataplex.environments.get

Berechtigungen für Metadaten

In der folgenden Tabelle sind die Berechtigungen aufgeführt, die für den Umgang mit Einheiten und Partitionen erforderlich sind:

API-Methode	IAM-Berechtigung
CreateEntity	dataplex.entities.create
UpdateEntity	dataplex.entities.update
DeleteEntity	dataplex.entities.delete
GetEntity	dataplex.entities.get
ListEntities	dataplex.entities.list
CreatePartition	dataplex.partitions.create
UpdatePartition	dataplex.partitions.update
DeletePartition	dataplex.partitions.delete
GetPartition	dataplex.partitions.get
ListPartitions	dataplex.partitions.list

Berechtigungen für Datenscans

In der folgenden Tabelle sind die Berechtigungen aufgeführt, die für den Umgang mit Daten-Scans erforderlich sind:

API-Methode	IAM-Berechtigung
CreateDataScan	dataplex.datascans.create
UpdateDataScan	dataplex.datascans.update
DeleteDataScan	dataplex.datascans.delete
ListDataScans	dataplex.datascans.list
GetDataScan (einfache Ansicht)	dataplex.datascans.get
GetDataScan (vollständige Ansicht)	dataplex.datascans.getData
ListDataScanJobs	dataplex.datascans.get
GetDataScanJob (einfache Ansicht)	dataplex.datascans.get
GetDataScanJob (vollständige Ansicht)	dataplex.datascans.getData
RunDataScan	dataplex.datascans.run