Governance dei dati nella semantica di Tableau

Autorizzazioni spazio dati

È necessario disporre dell'autorizzazione per accedere allo spazio dati in cui risiede un modello semantico. Senza questo accesso, il modello non viene visualizzato. Le autorizzazioni spazio dati costituiscono la base della governance in Tableau Semantics e stabiliscono quali modelli sono visibili prima dell'applicazione di policy di sicurezza aggiuntive.

Livelli policy: ABAC, OLS, FLS e RLS

Dopo che un modello è visibile, le policy di protezione di Data 360 controllano l'accesso ai dati sottostanti. Queste policy includono Controllo dell'accesso basato sugli attributi (ABAC), Protezione a livello di oggetto (OLS), Protezione a livello di campo (FLS) e Protezione a livello di record (RLS).

• ABAC determina l'accesso a un modello semantico. Se non si ha accesso ai campi o agli oggetti di un modello semantico, è possibile visualizzare o estendere il modello semantico.
• OLS determina a quali oggetti dello spazio dati è possibile accedere. Se viene negato l'accesso a un oggetto obbligatorio, l'oggetto viene nascosto e il modello semantico può essere visualizzato o esteso (ma non modificato), indicato da un'icona a forma di lucchetto accanto al nome del modello. Gli oggetti con restrizioni non possono essere visualizzati, modificati o sottoposti a query.
• FLS funziona in modo simile per i singoli campi all'interno degli oggetti. Se un campo obbligatorio è limitato, viene completamente rimosso dalla visualizzazione e non può essere utilizzato nella progettazione o nelle query. Come per OLS, se un campo obbligatorio non è accessibile, il modello semantico può essere solo visualizzato o esteso. I campi con restrizioni non possono essere visualizzati, modificati o sottoposti a query.
• RLS opera a livello di record, filtrando i dati dinamicamente in base a criteri come le gerarchie organizzative, i ruoli o i territori.

Le policy Nega sostituiscono sempre le policy Consenti. Se non si ha accesso ad alcun oggetto o campo obbligatorio a causa di OLS o FLS, ABAC impedisce di modificare direttamente il modello semantico. Questo comportamento protegge i dati sensibili sia in fase di progettazione che di query.

Accesso amministrativo

Gli amministratori con autorizzazioni generali come Visualizza tutti i record o Modifica tutti i record hanno una visibilità più ampia. Possono aprire i modelli semantici e visualizzare i metadati completi, inclusi gli oggetti e i campi normalmente soggetti a restrizioni. Gli amministratori possono condividere il modello anche se non sono titolari.

Se gli amministratori dispongono anche dell'autorizzazione Modifica tutti i record, possono gestire i modelli anche quando le normali policy bloccano la modifica. Tuttavia, le query a volte restituiscono risultati limitati o non riescono se i dati richiesti utilizzano campi o oggetti a cui non hanno accesso, se sono filtrati in base al criterio RLS o se sono bloccati da una policy di rifiuto.

Condivisione e collaborazione

I modelli semantici possono essere condivisi con altri utenti tramite i ruoli di accesso: Visualizzatore, Editor e Titolare.

• Gli utenti possono aprire il modello e interagire con esso ma non possono apportare modifiche.
• Gli editor possono modificare il modello.
• I titolari hanno il controllo completo: possono modificare il modello, gestire l'accesso condividendolo con altri utenti ed eliminare il modello semantico. La proprietà non può essere trasferita.

Con la condivisione, è possibile aprire un modello anche se non lo si vedrebbe altrimenti nel catalogo, ma non si ignorano le policy di sicurezza di Data 360. È possibile aprire il modello, ma ABAC, OLS, FLS e RLS determinano comunque a quali oggetti, campi e record è possibile accedere. Ad esempio, un utente Editor può estendere ma non modificare un modello se una policy OLS blocca l'accesso a un oggetto obbligatorio. Nel modello esteso, non si ha accesso agli oggetti o ai campi bloccati da OLS o FLS. Alcune funzionalità del modello semantico possono essere bloccate, ad esempio la creazione di relazioni con un oggetto limitato.

In Tableau Semantics, la condivisione è principalmente una funzione di collaborazione. La governance dei dati effettiva rimane rigorosamente applicata dalle autorizzazioni spazio dati e dalle policy di sicurezza.

Protezione end-to-end

Insieme, le autorizzazioni spazio dati, ABAC, OLS, FLS e RLS offrono una protezione a livelli per i modelli semantici. Questa struttura garantisce che i dati sensibili rimangano protetti per l'intero ciclo di vita, dalla creazione del modello all'esecuzione delle query, senza ricorrere a funzioni di condivisione o collaborazione per gestire l'accesso.