Permisos de IAM de Knowledge Catalog

En este documento, se proporciona una referencia de los permisos de Identity and Access Management (IAM) para los recursos de Knowledge Catalog (anteriormente, Dataplex Universal Catalog). Usa estos permisos para crear roles personalizados o verificar el acceso detallado necesario para la administración de metadatos, los análisis de datos, las operaciones del lake, las tareas y los entornos.

Permisos y roles

No otorgas permisos a los usuarios directamente. En su lugar, les otorgas roles, que incluyen uno o más permisos. Este enfoque se alinea con el principio de privilegio mínimo, que te recomienda otorgar solo el acceso necesario para que una cuenta de servicio o de usuario realice sus tareas.

IAM ofrece roles predefinidos para casos de uso comunes. Si estos roles predefinidos no satisfacen tus necesidades específicas, puedes crear tus propios roles personalizados que contengan solo los permisos específicos requeridos.

Para obtener más información sobre los roles predefinidos de Knowledge Catalog y los permisos que contienen, consulta Roles de IAM de Knowledge Catalog.

Para obtener una descripción detallada de IAM y sus características, consulta la documentación de IAM.

Permisos de configuración y obtención de políticas de IAM

En la siguiente tabla, se enumeran los permisos que se requieren para obtener y establecer permisos de IAM:

Recurso Método de la API Permisos de IAM
Tipos de aspecto GetIamPolicy dataplex.aspectTypes.getIamPolicy
Tipos de aspecto SetIamPolicy dataplex.aspectTypes.setIamPolicy
Grupos de entrada GetIamPolicy dataplex.entryGroups.getIamPolicy
Grupos de entrada SetIamPolicy dataplex.entryGroups.setIamPolicy
Tipos de entrada GetIamPolicy dataplex.entryTypes.getIamPolicy
Tipos de entrada SetIamPolicy dataplex.entryTypes.setIamPolicy
Lakes GetIamPolicy dataplex.lakes.getIamPolicy
Lakes SetIamPolicy dataplex.lakes.setIamPolicy

Permisos de administración de metadatos

El conjunto de permisos que se requiere para realizar operaciones en tipos de entrada, tipos de vínculo de entrada, tipos de aspecto, grupos de entrada, entradas y vínculos de entrada depende de si los recursos son recursos del sistema o recursos personalizados. Knowledge Catalog define los recursos del sistema, y tú o tu organización definen los recursos personalizados.

Para enriquecer las entradas y los vínculos de entrada con información adicional, puedes adjuntar aspectos.

Para realizar operaciones relacionadas con varios recursos (por ejemplo, crear una entrada de un tipo de entrada en particular o agregar un aspecto de un tipo de aspecto en particular a una entrada o un vínculo de entrada), es posible que necesites varios permisos asociados con los recursos.

Tipos de entrada

Para crear y administrar tipos de entrada, debes tener al menos los permisos estándar create, get, list, update y delete.

Cuando creas un tipo de entrada, debes tener permisos para usar cada tipo de aspecto que desees marcar como obligatorio para ese tipo de entrada.

Para usar un tipo de entrada (por ejemplo, para crear entradas de un tipo de entrada), debes tener el permiso use en el tipo de entrada.

En la siguiente tabla, se enumeran los permisos necesarios para operar con tipos de entrada:

Operación Permisos de IAM
Cómo crear tipos de entrada

dataplex.entryTypes.create

dataplex.aspectTypes.use (para cada tipo de aspecto obligatorio en el tipo de entrada)

dataplex.entryGroups.useASPECT_TYPE (para cada tipo de aspecto del sistema requerido en el tipo de entrada). Consulta los permisos para los tipos de aspectos del sistema.

Borra tipos de entradas

dataplex.entryTypes.delete

dataplex.aspectTypes.use (para los tipos de aspectos obligatorios en los tipos de entrada)

dataplex.entryGroups.useASPECT_TYPE (para cada tipo de aspecto del sistema requerido en el tipo de entrada). Consulta los permisos para los tipos de aspectos del sistema.

Get entry types dataplex.entryTypes.get
Tipos de entrada de lista dataplex.entryTypes.list
Actualiza los tipos de entrada

dataplex.entryTypes.update

dataplex.aspectTypes.use (para cada tipo de aspecto obligatorio en el tipo de entrada)

dataplex.entryGroups.useASPECT_TYPE (para cada tipo de aspecto del sistema requerido en el tipo de entrada). Consulta los permisos para los tipos de aspectos del sistema.

Cómo usar los tipos de entrada

(cuando se crean entradas, se actualizan los campos de entrada de nivel superior y los valores de tipo de aspecto obligatorios)

dataplex.entryTypes.use

dataplex.entries.create o dataplex.entries.update

dataplex.aspectTypes.use (para cada aspecto creado o actualizado)

Tipos de aspecto

Para crear y administrar tipos de aspectos, debes tener los permisos estándar create, get, list, update y delete.

Para usar un tipo de aspecto (por ejemplo, para adjuntarlo como un aspecto opcional en una entrada o actualizar el aspecto obligatorio en el vínculo de entrada), debes tener el permiso use en el tipo de aspecto.

Los tipos de aspectos se clasifican en tipos de aspectos del sistema y tipos de aspectos personalizados. Knowledge Catalog crea los tipos de aspectos del sistema, mientras que tú o tu organización crean los tipos de aspectos personalizados. Los tipos de aspectos del sistema se clasifican en utilizables y de solo lectura. Para obtener más información, consulta Categorías de tipos de aspectos.

En la siguiente tabla, se enumeran los permisos necesarios para operar en tipos de aspectos personalizados y del sistema:

Operación Permisos necesarios para los tipos de aspectos personalizados Permisos necesarios para los tipos de aspectos del sistema utilizables Permisos necesarios para los tipos de aspectos del sistema de solo lectura
Crea tipos de aspectos dataplex.aspectTypes.create N/A N/A
Borra tipos de aspectos dataplex.aspectTypes.delete N/A N/A
Obtener tipos de aspectos dataplex.aspectTypes.get Se otorgó a allUsers Se otorgó a allUsers
Enumera los tipos de aspectos dataplex.aspectTypes.list No aplicable (N/A) N/A
Establece valores de tipo de aspecto opcionales cuando crees o actualices entradas

dataplex.aspectTypes.use

dataplex.entries.create o dataplex.entries.update

dataplex.entryGroups.useASPECT_TYPE. Consulta los permisos para los tipos de aspectos del sistema.

dataplex.entries.create o dataplex.entries.update

N/A
Establece los valores de tipo de aspecto obligatorios cuando crees o actualices entradas

dataplex.aspectTypes.use

dataplex.entryTypes.use

dataplex.entries.create o dataplex.entries.update

dataplex.entryGroups.useASPECT_TYPE. Consulta los permisos para los tipos de aspectos del sistema.

dataplex.entryTypes.use

dataplex.entries.create o dataplex.entries.update

N/A
Actualiza tipos de aspectos dataplex.aspectTypes.update N/A N/A
Establece los valores de tipo de aspecto requeridos cuando crees o actualices el vínculo de entrada N/A

dataplex.entryGroups.useASPECT_TYPE. Consulta los permisos para los tipos de aspectos del sistema.

dataplex.entryLinkTypes.useENTRY_LINK_TYPE. Consulta los permisos para los tipos de vínculos de entrada del sistema.

dataplex.entries.link Se otorga en los grupos de entrada que contienen entradas vinculadas. Solo se verifica durante la creación del vínculo de entrada.

dataplex.entryLinks.create o dataplex.entryLinks.update

N/A

Grupos de entrada

Para crear y administrar grupos de entradas, debes tener los permisos estándar create, get, list, update y delete.

Los grupos de entradas se clasifican en grupos de entradas del sistema, que crea Knowledge Catalog, y grupos de entradas personalizados, que creas tú o tu organización. Para obtener más información, consulta Categorías de grupos de entradas.

En la siguiente tabla, se enumeran los permisos necesarios para operar en grupos de entradas:

Operación Permisos necesarios para los grupos de entrada personalizados Permisos necesarios para los grupos de entrada del sistema (que comienzan con @)
Crea grupos de entrada dataplex.entryGroups.create N/A
Borrar grupos de entrada dataplex.entryGroups.delete N/A
Obtener grupos de entradas dataplex.entryGroups.get dataplex.entryGroups.get
Enumera los grupos de entradas dataplex.entryGroups.list dataplex.entryGroups.list
Actualiza grupos de entradas dataplex.entryGroups.update N/A

Entradas

Para crear y administrar entradas, debes tener los permisos estándar create, get, list, update y delete.

Ten en cuenta lo siguiente:

  • Para los métodos de búsqueda (LookupEntry), búsqueda (SearchEntries) y modificación (ModifyEntry), se requiere el permiso del sistema fuente original en la entrada. Por ejemplo, si la fuente es una tabla de BigQuery, necesitas el permiso bigquery.tables.get para ver los metadatos, el permiso bigquery.tables.getData para ver los aspectos de los datos y el permiso bigquery.tables.update para modificar los metadatos de la entrada.
  • Si no se otorga permiso para ver los aspectos de los datos, las entradas seguirán siendo visibles, pero se ocultará el contenido de los aspectos de los datos.
  • Cuando creas una entrada o actualizas los campos de nivel superior de una entrada, debes tener el permiso use en el tipo de entrada.
  • Cuando creas o actualizas un aspecto obligatorio, debes tener el permiso use en el tipo de entrada de una entrada, así como en el tipo de aspecto subyacente. Esto se debe a que el tipo de entrada exige los aspectos obligatorios.
  • Cuando creas, actualizas o borras un aspecto opcional, debes tener el permiso use en el tipo de aspecto de un aspecto.
  • Cuando insertas o actualizas una entrada (UpdateEntry con allow_missing = True), debes tener el permiso create.

Para obtener más información sobre los tipos de entrada en los que se basan las entradas, consulta Categorías de tipos de entrada.

En la siguiente tabla, se enumeran los permisos necesarios para operar en las entradas:

Operación Entrada basada en un tipo de entrada personalizado Entrada basada en el tipo de entrada del sistema utilizable Entrada basada en el tipo de entrada del sistema de solo lectura
Cómo crear entradas

dataplex.entries.create

dataplex.entryTypes.use

dataplex.aspectTypes.use (para cada aspecto personalizado creado)

dataplex.entryGroups.useASPECT_TYPE (para cada aspecto de un tipo de aspecto del sistema utilizable creado). Consulta los permisos para los tipos de aspectos del sistema.

dataplex.entries.create

dataplex.entryGroups.useENTRY_TYPE. Consulta los permisos para los tipos de entrada del sistema.

dataplex.entryGroups.useASPECT_TYPE (para cada aspecto del sistema creado). Consulta los permisos para los tipos de aspectos del sistema.

dataplex.aspectTypes.use (para cada aspecto personalizado creado)

N/A
Get entries

dataplex.entries.get

Para ver los aspectos de los datos, también se requiere dataplex.entries.getData.

dataplex.entries.get

Para ver los aspectos de los datos, también se requiere dataplex.entries.getData.

dataplex.entries.get

Para ver los aspectos de los datos, también se requiere dataplex.entries.getData.

Entradas de la lista dataplex.entries.list dataplex.entries.list dataplex.entries.list
Entradas de búsqueda

Requiere permiso de lectura de metadatos del sistema de origen. Se requiere permiso para leer datos del sistema fuente para ver los aspectos de los datos.

En el caso de las entradas personalizadas, en las que Knowledge Catalog se considera el sistema fuente, estos permisos son dataplex.entries.get y dataplex.entries.getData, respectivamente.

Requiere permiso de lectura de metadatos del sistema de origen. Se requiere permiso para leer datos del sistema fuente para ver los aspectos de los datos.

En el caso de las entradas personalizadas, en las que Knowledge Catalog se considera el sistema fuente, estos permisos son dataplex.entries.get y dataplex.entries.getData, respectivamente.

Requiere permiso de lectura de metadatos del sistema de origen. Se requiere permiso para leer datos del sistema fuente para ver los aspectos de los datos.

En el caso de las entradas personalizadas, en las que Knowledge Catalog se considera el sistema fuente, estos permisos son dataplex.entries.get y dataplex.entries.getData, respectivamente.

Modifica entradas

dataplex.entries.update

dataplex.entryTypes.use (para actualizar campos de nivel superior o aspectos obligatorios)

dataplex.aspectTypes.use (para cada aspecto personalizado modificado)

dataplex.entryGroups.useASPECT_TYPE (para cada aspecto del sistema que se modificó). Consulta los permisos para los tipos de aspectos del sistema.

Requiere permiso de actualización de metadatos del sistema de origen original.

En el caso de las entradas personalizadas, es dataplex.entries.update, ya que Knowledge Catalog se considera el sistema fuente original.

dataplex.aspectTypes.use (para cada aspecto personalizado modificado)

dataplex.entryGroups.useASPECT_TYPE (para cada aspecto del sistema que se modificó). Consulta los permisos para los tipos de aspectos del sistema.

Requiere permiso de actualización de metadatos del sistema de origen original.

dataplex.aspectTypes.use (para cada aspecto personalizado modificado)

dataplex.entryGroups.useASPECT_TYPE (para cada aspecto de un tipo de aspecto del sistema utilizable que se haya modificado). Consulta los permisos para los tipos de aspectos del sistema.

Entradas de búsqueda

Permiso de lectura del sistema fuente original

En el caso de las entradas personalizadas, es dataplex.entries.get, ya que Knowledge Catalog se considera el sistema fuente original.

Permiso de lectura del sistema fuente original

En el caso de las entradas personalizadas, es dataplex.entries.get, ya que Knowledge Catalog se considera el sistema fuente original.

Permiso de lectura del sistema fuente original

En el caso de las entradas personalizadas, es dataplex.entries.get, ya que Knowledge Catalog se considera el sistema fuente original.

Actualizar entradas

dataplex.entries.update

dataplex.entryTypes.use (para actualizar campos de nivel superior o aspectos obligatorios)

dataplex.aspectTypes.use (para cada aspecto actualizado)

dataplex.entryGroups.useASPECT_TYPE (para cada aspecto del sistema que se actualiza) Consulta los permisos para los tipos de aspectos del sistema.

dataplex.entries.create (si allow_missing es True)

dataplex.entries.update

dataplex.entryGroups.useENTRY_TYPE (para actualizar campos de nivel superior o aspectos obligatorios). Consulta los permisos para los tipos de entrada del sistema.

dataplex.aspectTypes.use (para cada aspecto personalizado actualizado)

dataplex.entryGroups.useASPECT_TYPE (para cada aspecto que pertenece a tipos de aspectos del sistema). Consulta los permisos para los tipos de aspectos del sistema.

dataplex.entries.create (si allow_missing es True)

dataplex.entries.update

dataplex.aspectTypes.use (para cada aspecto personalizado actualizado)

dataplex.entryGroups.useASPECT_TYPE (para cada aspecto de un tipo de aspecto del sistema utilizable que se actualizó). Consulta los permisos para los tipos de aspectos del sistema.

No se pueden editar los campos de nivel superior ni los aspectos obligatorios.

Vínculos de entrada

Para crear y administrar vínculos de entrada, debes tener los permisos create, get, list y delete en dataplex.entryLinks.

Ten en cuenta lo siguiente:

  • La creación de vínculos de entrada (CreateEntryLink) también requiere permisos sobre el tipo de vínculo de entrada y permisos para las entradas específicas del vínculo.
  • Cuando creas un vínculo de entrada con un aspecto obligatorio, necesitas los permisos para usar el tipo de aspecto.
  • Cuando insertas o actualizas un vínculo de entrada (UpdateEntryLink con allow_missing = True), también debes tener los mismos permisos necesarios para CreateEntryLink.

En la siguiente tabla, se enumeran los permisos necesarios para operar en vínculos de entrada:

Operación Permisos de IAM
Cómo crear vínculos de entrada

dataplex.entryLinks.create (en el grupo de entrada)

Permisos necesarios según el tipo de vínculo de entrada:

  • Sinónimo: dataplex.glossaryTerms.use (en ambas entradas de términos)
  • Definición: dataplex.glossaryTerms.use (en la entrada del término) y dataplex.entries.link (en la entrada de destino)
  • Otro: dataplex.entries.link (en ambas entradas)

Permiso para usar el tipo de vínculo de entrada:

Permisos para los aspectos obligatorios especificados por el tipo de vínculo de entrada:

Borra vínculos de entrada dataplex.entryLinks.delete (en el grupo de entrada)
Cómo obtener vínculos de entrada

dataplex.entryLinks.get (en el grupo de entrada)

Vínculos a entradas de búsqueda

Requiere permiso de lectura de metadatos del sistema de origen en la entrada para la que se buscan vínculos de entrada.

En el caso de las entradas personalizadas vinculadas, en las que Knowledge Catalog se considera el sistema fuente, el permiso es dataplex.entries.get.

En el caso de las entradas del sistema vinculadas, el permiso es el permiso de lectura del sistema de origen de la entrada vinculada.

Vínculo de entrada de actualización

dataplex.entryLinks.update (en el grupo de entrada)

Permiso para usar el tipo de vínculo de entrada:

Permisos para los aspectos obligatorios especificados por el tipo de vínculo de entrada:

Si allow_missing es True, también se aplican todos los permisos de Create entry link.

Limitaciones para los aspectos en los vínculos de entrada

Se aplican las siguientes limitaciones al uso de aspectos con vínculos de entrada.

Permisos de trabajos de metadatos

En la siguiente tabla, se indican los permisos necesarios para trabajar con los trabajos de importación de metadatos y los trabajos de exportación de metadatos.

Operación Permisos de IAM
Accede a los resultados exportados de los trabajos de exportación de metadatos

storage.objects.get

Cómo cancelar trabajos de metadatos

dataplex.metadataJobs.cancel

Crea trabajos de exportación de metadatos

dataplex.metadataJobs.create

dataplex.entryGroups.export

dataplex.entryGroups.get

resourcemanager.projects.get

resourcemanager.projects.list

Crea trabajos de importación de metadatos

dataplex.metadataJobs.create

dataplex.entryTypes.use (para tipos de entrada personalizados en el alcance del trabajo)

dataplex.entryTypes.useENTRY_TYPE (para cada tipo de entrada del sistema en el alcance del trabajo). Consulta los permisos para los tipos de entrada del sistema. Sin embargo, este permiso no es necesario para modificar aspectos opcionales cuando se ejecuta un trabajo de importación de metadatos solo de aspectos.

dataplex.aspectTypes.use (para tipos de aspectos personalizados en el alcance del trabajo)

dataplex.aspectTypes.useASPECT_TYPE (para cada tipo de aspecto del sistema en el alcance del trabajo). Consulta los permisos para los tipos de aspectos del sistema.

dataplex.entryGroups.import (para grupos de entradas en el alcance del trabajo)

Obtén trabajos de metadatos

dataplex.metadataJobs.get

Enumera trabajos de metadatos

dataplex.metadataJobs.list

Tipos de aspectos, tipos de entrada y tipos de vínculos de entrada del sistema

Cada tipo de aspecto definido por el sistema, tipo de entrada definido por el sistema y tipo de vínculo de entrada definido por el sistema tiene sus propios permisos de IAM. Estos permisos usan un formato como dataplex.entryGroups.useASPECT_TYPE, dataplex.entryGroups.useENTRY_TYPE o dataplex.entryGroups.useENTRY_LINK_TYPE. Por ejemplo, el permiso para el tipo de aspecto del sistema overview es dataplex.entryGroups.useOverviewAspect.

En la siguiente tabla, se enumeran los permisos que se aplican a los tipos de aspectos, los tipos de entrada y los tipos de vínculos de entrada definidos por el sistema.

Recurso Permisos de IAM
contacts (tipo de aspecto del sistema) dataplex.entryGroups.useContactsAspect
data-profile (tipo de aspecto del sistema) dataplex.entryGroups.useDataProfileAspect
data-quality-rule-template (tipo de aspecto del sistema) dataplex.entryGroups.useDataQualityRuleTemplateAspect
data-quality-rule-template (tipo de entrada del sistema) dataplex.entryGroups.useDataQualityRuleTemplateEntry
data-quality-scorecard (tipo de aspecto del sistema) dataplex.entryGroups.useDataQualityScorecardAspect
data-rules (tipo de aspecto del sistema) dataplex.entryGroups.useDataRulesAspect
definition (tipo de vínculo de entrada del sistema) dataplex.entryGroups.useDefinitionEntryLink
generic (tipo de aspecto del sistema) dataplex.entryGroups.useGenericAspect
generic (tipo de entrada del sistema) dataplex.entryGroups.useGenericEntry
guidelines (tipo de aspecto del sistema) dataplex.entryGroups.useGuidelinesAspect
overview (tipo de aspecto del sistema) dataplex.entryGroups.useOverviewAspect
related (tipo de vínculo de entrada del sistema) dataplex.entryGroups.useRelatedEntryLink
schema (tipo de aspecto del sistema) dataplex.entryGroups.useSchemaAspect
schema-join (tipo de aspecto del sistema) dataplex.entryGroups.useSchemaJoinAspect
schema-join (tipo de vínculo de entrada del sistema) dataplex.entryGroups.useSchemaJoinEntryLink
synonym (tipo de vínculo de entrada del sistema) dataplex.entryGroups.useSynonymEntryLink

Permisos de lakes, zonas y recursos

En la siguiente tabla, se enumeran los permisos necesarios para operar en lagos, zonas y recursos:

Método de la API Permisos de IAM
CreateAsset dataplex.assets.create
CreateLake dataplex.lakes.create
CreateZone dataplex.zones.create
DeleteAsset dataplex.assets.delete
DeleteLake dataplex.lakes.delete
DeleteZone dataplex.zones.delete
GetAsset dataplex.assets.get
GetLake dataplex.lakes.get
GetZone dataplex.zones.get
ListAssetActions dataplex.assetActions.list
ListAssets dataplex.assets.list
ListLakeActions dataplex.lakeActions.list
ListLakes dataplex.lakes.list
ListZoneActions dataplex.zoneActions.list
ListZones dataplex.zones.list
UpdateAsset dataplex.assets.update
UpdateLake dataplex.lakes.update
UpdateZone dataplex.zones.update

Permisos de tareas

En la siguiente tabla, se enumeran los permisos necesarios para operar en tareas:

Método de la API Permisos de IAM
CancelJob dataplex.tasks.cancel
CreateTask dataplex.tasks.create
DeleteTask dataplex.tasks.delete
GetJob dataplex.tasks.get
GetTask dataplex.tasks.get
ListJobs dataplex.tasks.get
ListTasks dataplex.tasks.list
UpdateTask dataplex.tasks.update

Permisos del entorno

En la siguiente tabla, se enumeran los permisos necesarios para operar en entornos:

Método de la API Permisos de IAM
CreateContent dataplex.content.create
CreateEnvironment dataplex.environments.create
DeleteContent dataplex.content.delete
DeleteEnvironment dataplex.environments.delete
GetContent dataplex.content.get
GetEnvironment dataplex.environments.get
ListContent dataplex.content.list
ListEnvironments dataplex.environments.list
ListSessions dataplex.environments.get
UpdateContent dataplex.content.update
UpdateEnvironment dataplex.environments.update

Permisos de metadatos

En la siguiente tabla, se enumeran los permisos necesarios para operar en entidades y particiones:

Método de la API Permisos de IAM
CreateEntity dataplex.entities.create
CreatePartition dataplex.partitions.create
DeleteEntity dataplex.entities.delete
DeletePartition dataplex.partitions.delete
GetEntity dataplex.entities.get
GetPartition dataplex.partitions.get
ListEntities dataplex.entities.list
ListPartitions dataplex.partitions.list

Permisos de análisis de datos

En la siguiente tabla, se enumeran los permisos necesarios para operar en los análisis de datos:

Método de la API Permisos de IAM
CreateDataScan dataplex.datascans.create
DeleteDataScan dataplex.datascans.delete
GetDataScan (vista básica) dataplex.datascans.get
GetDataScan (vista completa) dataplex.datascans.getData
GetDataScanJob (vista básica) dataplex.datascans.get
GetDataScanJob (vista completa) dataplex.datascans.getData
ListDataScanJobs dataplex.datascans.get
ListDataScans dataplex.datascans.list
RunDataScan dataplex.datascans.run
UpdateDataScan dataplex.datascans.update