Datenverwaltung in Tableau-Semantik

Datenbereichsberechtigungen

Sie müssen über die Berechtigung verfügen, auf den Datenbereich zuzugreifen, in dem sich ein semantisches Modell befindet. Ohne diesen Zugriff wird das Modell nicht angezeigt. Datenbereichsberechtigungen bilden die Grundlage für die Verwaltung in Tableau Semantics und legen fest, welche Modelle sichtbar sind, bevor zusätzliche Sicherheitsrichtlinien angewendet werden.

Policenebenen: ABAC, OLS, FLS und RLS

Nachdem ein Modell sichtbar ist, steuern Data 360-Sicherheitsrichtlinien den Zugriff auf die zugrunde liegenden Daten. Zu diesen Richtlinien zählen die attributbasierte Zugriffssteuerung (ABAC), die Objektebenensicherheit (OLS), die Feldebenensicherheit (FLS) und die Datensatzebenensicherheit (RLS).

• ABAC bestimmt Ihren Zugriff auf ein semantisches Modell. Wenn Sie keinen Zugriff auf Felder oder Objekte in einem semantischen Modell haben, können Sie das semantische Modell anzeigen oder erweitern.
• OLS bestimmt, auf welche Objekte im Datenbereich Sie zugreifen können. Wenn Ihnen der Zugriff auf ein erforderliches Objekt verweigert wird, wird das Objekt ausgeblendet und das semantische Modell kann angezeigt oder erweitert (aber nicht bearbeitet) werden, was durch ein Schlosssymbol neben dem Modellnamen angezeigt wird. Eingeschränkte Objekte können nicht angezeigt, bearbeitet oder abgefragt werden.
• FLS funktioniert ähnlich für einzelne Felder in Objekten. Wenn ein Pflichtfeld eingeschränkt ist, wird es vollständig aus Ihrer Ansicht entfernt und kann nicht im Design oder in Abfragen verwendet werden. Wie bei OLS kann das semantische Modell nur angezeigt oder erweitert werden, wenn auf ein Pflichtfeld nicht zugegriffen werden kann. Eingeschränkte Felder können nicht angezeigt, bearbeitet oder abgefragt werden.
• RLS arbeitet auf Datensatzebene und filtert Daten dynamisch anhand von Kriterien wie Organisationshierarchien, Rollen oder Regionen.

Richtlinien ablehnen überschreiben Richtlinien für Zulassungen immer. Wenn Sie aufgrund von OLS oder FLS keinen Zugriff auf ein erforderliches Objekt oder Feld haben, verhindert ABAC, dass Sie das semantische Modell direkt bearbeiten können. Durch dieses Verhalten werden sensible Daten in der Entwurfs- und Abfragephase geschützt.

Administrativer Zugriff

Administratoren mit allgemeinen Berechtigungen wie "Alle Datensätze anzeigen" oder "Alle Datensätze modifizieren" erhalten eine breitere Sichtbarkeit. Sie können semantische Modelle öffnen und die vollständigen Metadaten anzeigen, einschließlich der normalerweise eingeschränkten Objekte und Felder. Administratoren können das Modell auch dann freigeben, wenn sie nicht der Inhaber sind.

Wenn die Administratoren auch über die Berechtigung "Alle Datensätze modifizieren" verfügen, können sie Modelle verwalten, selbst wenn normale Richtlinien die Bearbeitung blockieren. Abfragen geben jedoch manchmal eingeschränkte Ergebnisse zurück oder schlagen fehl, wenn die angeforderten Daten Felder oder Objekte verwenden, auf die sie keinen Zugriff haben, oder nach RLS gefiltert oder durch eine Ablehnungsrichtlinie blockiert werden.

Freigabe und Zusammenarbeit

Semantische Modelle können über Zugriffsrollen für andere Benutzer freigegeben werden: Betrachter, Editor und Inhaber.

• Betrachter können das Modell öffnen und damit interagieren, jedoch keine Änderungen vornehmen.
• Editoren können das Modell ändern.
• Inhaber haben volle Kontrolle über: Sie können das Modell bearbeiten, den Zugriff verwalten, indem sie es für andere Benutzer freigeben, und das semantische Modell löschen. Die Inhaberschaft kann nicht übertragen werden.

Mit der Freigabe können Sie ein Modell auch dann öffnen, wenn es sonst nicht im Katalog angezeigt würde, die Data 360-Sicherheitsrichtlinien werden dadurch jedoch nicht außer Kraft gesetzt. Sie können das Modell öffnen, aber ABAC, OLS, FLS und RLS bestimmen weiterhin, auf welche Objekte, Felder und Datensätze Sie zugreifen können. Wenn Sie beispielsweise ein Editor sind, können Sie ein Modell erweitern, aber nicht bearbeiten, wenn eine OLS-Richtlinie den Zugriff auf ein erforderliches Objekt blockiert. Im erweiterten Modell haben Sie keinen Zugriff auf Objekte oder Felder, die durch OLS oder FLS blockiert wurden. Bestimmte Funktionen des semantischen Modells können blockiert sein, beispielsweise das Erstellen von Beziehungen zu einem eingeschränkten Objekt.

In Tableau Semantics ist die Freigabe in erster Linie eine Funktion der Zusammenarbeit. Die tatsächliche Datenverwaltung wird weiterhin streng durch Datenbereichsberechtigungen und Sicherheitsrichtlinien erzwungen.

Durchgängiger Schutz

Zusammen bieten Datenbereichsberechtigungen, ABAC, OLS, FLS und RLS mehrschichtigen Schutz für semantische Modelle. Durch diese Struktur wird sichergestellt, dass sensible Daten über den gesamten Lebenszyklus hinweg geschützt bleiben, von der Modellerstellung bis zur Abfrageausführung, ohne dass der Zugriff auf Freigabe- oder Zusammenarbeitsfunktionen angewiesen ist.