データ・カタログ・ポリシー

ポリシーを作成して、データ・カタログにアクセスできるユーザー、およびユーザー・グループごとのアクセスのタイプを制御します。

デフォルトでは、管理者グループのユーザーのみがすべてのデータ・カタログ・リソースにアクセスできます。データ・カタログに関連する他のすべてのユーザーに対して、データ・カタログ・リソースに対する適切な権限を付与するポリシーを作成する必要があります。

Oracle Cloud Infrastructureポリシーの完全なリストは、ポリシー・リファレンスを参照してください。

リソース・タイプ

データ・カタログには、ポリシーを記述するための集約リソース・タイプと個別リソース・タイプの両方が用意されています。

集約リソース・タイプを使用すると、書込みポリシーの数を減らすことができます。たとえば、グループがdata-catalogsとdata-catalog-data-assetsを管理することを許可するかわりに、グループが集約リソース・タイプdata-catalog-familyを管理することを許可するポリシーを設定できます。


集約リソース・タイプ	個々のリソースタイプ
`data-catalog-family`	`data-catalogs` `data-catalog-private-endpoints` `data-catalog-metastores` `data-catalog-data-assets` `data-catalog-glossaries` `data-catalog-namespaces`

data-catalog-family集約リソース・タイプに対応するAPIは、data-catalogs、data-catalog-private-endpoints、data-catalog-metastores、data-catalog-data-assets、data-catalog-glossariesおよびdata-catalog-namespacesのAPIに対応しています。

たとえば、

allow group catalog-admins to manage data-catalog-family in compartment x

は、次のポリシーを記述することと同じです:

allow group catalog-admins to manage data-catalogs in compartment x
allow group catalog-admins to manage data-catalog-private-endpoints in compartment x
allow group catalog-admins to manage data-catalog-metastores in compartment x
allow group catalog-admins to manage data-catalog-data-assets in compartment x
allow group catalog-admins to manage data-catalog-glossaries in compartment x
allow group catalog-admins to manage data-catalog-namespaces in compartment x

動的グループのリソース・タイプ

動的グループを使用して、データ・カタログ・リソースをグループ化します。詳細は、動的グループの作成を参照してください。

データ・カタログ・リソースの動的グループを定義するには、次のリソース・タイプを使用します。

datacatalog
datacatalogprivateendpoint
datacatalogmetastore

次の例は、コンパートメント内のすべてのカタログを含む一致ルールを示しています:

Any{resource.type='datacatalog', resource.compartment.id = '<OCID of data catalog compartment>'}

サポートされている変数

ポリシーに条件を追加するには、Oracle Cloud Infrastructureの一般変数またはサービス固有の変数を使用できます。


このリソース・タイプの操作...	使用できる変数...	変数タイプ	コメント
`data-catalog-family`	`target.catalog.id`	エンティティ(OCID)	`CreateCatalog`または作業リクエスト操作では使用できません。
`data-catalog-family`	`target.metastore.id`	エンティティ(OCID)	メタストア操作でのみ使用できます。
`data-catalogs`	`target.catalog.id`	エンティティ(OCID)	`CreateCatalog`または作業リクエスト操作では使用できません。
`data-catalog-data-assets`	`target.catalog.id`	エンティティ(OCID)	作業リクエスト操作では使用できません。
`data-catalog-data-assets`	`target.data-asset.key`	このキーは、データ・アセットの汎用一意識別子(UUID)で、文字列のフォーマットで表されます。このIDはOCIDではありません。	`CreateDataAsset`を除くデータ・アセット操作のみに使用できます。
`data-catalog-glossaries`	`target.catalog.id`	エンティティ(OCID)	作業リクエスト操作では使用できません。
`data-catalog-glossaries`	`target.glossary.key`	文字列このキーは、用語集の汎用一意識別子(UUID)で、文字列のフォーマットで表されます。このIDはOCIDではありません。	`CreateGlossary`を除く用語集操作のみに使用できます。
`data-catalog-namespaces`	`target.catalog.id`	エンティティ(OCID)	作業リクエスト操作では使用できません。
`data-catalog-namespaces`	`target.namespace.key`	キーは、文字列形式のネームスペースの汎用一意識別子(UUID)です。このIDはOCIDではありません。	ネームスペース操作でのみ使用できます。
`data-catalog-metastores`	`target.metastore.id`	エンティティ(OCID)	メタストア操作でのみ使用できます。
`data-catalog-metastore-assets`	`target.metastore.id`	エンティティ(OCID)	メタストア・アセット操作でのみ使用できます。
`data-catalog-metastore-assets`	`target.metastore.catalog.key` `target.metastore.database.key` `target.metastore.table.key`	エンティティ(OCID)	メタストア・アセット操作でのみ使用できます。
`data-catalog-metastore-assets`	`target.metastore.catalog.name` `target.metastore.database.name` `target.metastore.table.name`	文字列	メタストア・アセット操作でのみ使用できます。

動詞とリソース・タイプの組合せの詳細

次の表に、データ・カタログの各動詞でカバーされている権限およびAPI操作を示します。アクセス・レベルは、inspect > read > use > manageの順に累積されます。表セル内のプラス記号(+)は、そのすぐ上のセルと比較した増分アクセスを示しますが、「余分なし」は増分アクセスを示しません。

data-catalogs

ここには、data-catalogsリソース・タイプに対応しているAPIがリストされます。APIは権限ごとにアルファベット順に表示されます。


INSPECT
権限	完全にカバーされるAPI	一部カバーされるAPI
CATALOG_INSPECT	`ListCatalogs`	なし
CATALOG_JOB_DEFINITION_INSPECT	`ListJobDefinitions`
CATALOG_JOB_INSPECT	`ListJobs`
CATALOG_JOB_INSPECT	`ListWorkRequests`
読取り
権限	完全にカバーされるAPI	一部カバーされるAPI
検査+	検査+	なし
CATALOG_JOB_DEFINITION_READ	`GetJobDefinition`
CATALOG_JOB_DEFINITION_READ	`ListJobDefinitionPermissions`
CATALOG_JOB_READ	`GetJob`
	`GetJobExecution`
	`GetJobLog`
	`GetJob`
	`GetJobExecution`
	`GetJobLog`
	`ListJobMetrics`
CATALOG_READ	`GetCatalog`
	`GetType`
	`ListCatalogPermissions`
	`ListDataAssetPermissions`
	`ListGlossaries`
	`ListTypes`
	`ListSearchResults`
	`SuggestMatches`
CATALOG_WORK_REQUEST_READ	`GetWorkRequest`
	`ListWorkRequestErrors`
	`ListWorkRequestLogs`
使用
権限	完全にカバーされるAPI	一部カバーされるAPI
READ +	READ +	なし
CATALOG_UPDATE	`UpdateCatalog`
CATALOG_JOB_DEFINITION_CREATE	`CreateJobDefinition`
CATALOG_JOB_DEFINITION_UPDATE	`UpdateJobDefinition`
CATALOG_JOB_DEFINITION_DELETE	`DeleteJobDefinition`
CATALOG_JOB_CREATE	`CreateJob`
CATALOG_JOB_UPDATE	`UpdateJob`
CATALOG_JOB_DELETE	`DeleteJobDefinition`
CATALOG_ATTACH_CATALOG_PRIVATE_ENDPOINT	`AttachCatalogPrivateEndpoint`
CATALOG_DETACH_CATALOG_PRIVATE_ENDPOINT	`DetachCatalogPrivateEndpoint`
管理
権限	完全にカバーされるAPI	一部カバーされるAPI
USE +	USE +	なし
CATALOG_CREATE	`CreateCatalog`
CATALOG_DELETE	`DeleteCatalog`
CATALOG_MOVE	`ChangeCatalogCompartment`

data-catalog-private-endpoints

ここには、data-catalog-private-endpointsリソース・タイプに対応しているAPIがリストされます。APIは権限ごとにアルファベット順に表示されます。


INSPECT
権限	完全にカバーされるAPI	一部カバーされるAPI
CATALOG_PRIVATE_ENDPOINT_INSPECT	`ListCatalogPrivateEndpoints`	なし
読取り
権限	完全にカバーされるAPI	一部カバーされるAPI
検査+	検査+	なし
CATALOG_PRIVATE_ENDPOINT_READ	`GetCatalogPrivateEndpoint`	なし
使用
権限	完全にカバーされるAPI	一部カバーされるAPI
READ +	READ +	なし
CATALOG_PRIVATE_ENDPOINT_MOVE	`AttachCatalogPrivateEndpoint`
	`DetachCatalogPrivateEndpoint`
	`UpdateCatalogPrivateEndpoint`
管理
権限	フル・カバーされるAPI	一部カバーされるAPI
USE +	USE +	なし
CATALOG_PRIVATE_ENDPOINT_MOVE	`ChangeCatalogPrivateEndpointCompartment`
CATALOG_PRIVATE_ENDPOINT_CREATE	`CreateCatalogPrivateEndpoint`
CATALOG_PRIVATE_ENDPOINT_DELETE	`DeleteCatalogPrivateEndpoint`

data-catalog-data-assets

ここには、data-catalog-data-assetsリソース・タイプに対応しているAPIがリストされます。APIは権限ごとにアルファベット順に表示されます。


INSPECT
権限	フル・カバーされるAPI	一部カバーされるAPI
CATALOG_DATA_ASSET_INSPECT	`ListDataAssets`	なし
CATALOG_DATA_ASSET_TAG_INSPECT	`ListAttributeTags`
	`ListDataAssetTags`
	`ListEntityTags`
	`ListFolderTags`
読取り
権限	フル・カバーされるAPI	一部カバーされるAPI
検査+	検査+	なし
CATALOG_DATA_ASSET_READ	`GetAttribute`
	`GetConnection`
	`GetDataAsset`
	`GetEntity`
	`GetFolder`
	`GetPattern`
	`ListAttributes`
	`ListConnections`
	`ListEntities`
	`ListDerivedLogicalEntities`
	`ListFolders`
	`ListPattern`
	`ParseConnection`
	`ValidatePattern`
CATALOG_DATA_ASSET_TAG_READ	`GetAttributeTag`
	`GetDataAssetTag`
	`GetEntityTag`
	`GetFolderTag`
使用
権限	フル・カバーされるAPI	一部カバーされるAPI
READ +	READ +	なし
CATALOG_DATA_ASSET_UPDATE	`AddDataSelectorPatterns`
	`CreateAttribute`
	`CreateConnection`
	`CreateEntity`
	`CreateFolder`
	`CreatePattern`
	`DeleteAttribute`
	`DeleteConnection`
	`DeleteEntity`
	`DeleteFolder`
	`DeletePattern`
	`ImportConnection`
	`RemoveDataSelectorPatterns`
	`TestConnection`
	`UpdateAttribute`
	`UpdateConnection`
	`UpdateDataAsset`
	`UpdateEntity`
	`UpdateFolder`
	`UpdatePattern`
	`ValidateConnection`
CATALOG_DATA_ASSET_TAG_CREATE	`CreateAttributeTag`
	`CreateDataAssetTag`
	`CreateEntityTag`
	`CreateFolderTag`
CATALOG_DATA_ASSET_TAG_DELETE	`DeleteDataAssetTag`
	`DeleteAttributeTag`
	`DeleteEntityTag`
	`DeleteFolderTag`
CATALOG_DATA_ASSET_TAG_UPDATE	未使用
管理
権限	フル・カバーされるAPI	一部カバーされるAPI
USE +	USE +	なし
CATALOG_DATA_ASSET_CREATE	`CreateDataAsset`
CATALOG_DATA_ASSET_DELETE	`DeleteDataAsset`

data-catalog-glossaries

ここには、data-catalog-glossariesリソース・タイプに対応しているAPIがリストされます。APIは権限ごとにアルファベット順に表示されます。


INSPECT
権限	フル・カバーされるAPI	一部カバーされるAPI
CATALOG_GLOSSARY_INSPECT	`ListGlossaries`	なし
読取り
権限	フル・カバーされるAPI	一部カバーされるAPI
検査+	検査+	なし
CATALOG_GLOSSARY_READ	`ExpandTreeForGlossary`
	`ExportGlossary`
	`GetGlossary`
	`GetTerm`
	`GetTermRelationship`
	`ListGlossaryTermRelationships`
	`ListGlossaryTerms`
使用
権限	完全にカバーされるAPI	一部カバーされるAPI
READ +	READ +	なし
CATALOG_GLOSSARY_UPDATE	`CreateTerm`
	`CreateTermRelationship`
	`UpdateTerm`
	`DeleteTerm`
	`UpdateTermRelationship`
	`DeleteTermRelationship`
	`UpdateGlossary`
	`ImportGlossary`
管理
権限	完全にカバーされるAPI	一部カバーされるAPI
USE +	USE +	なし
CATALOG_GLOSSARY_CREATE	`CreateGlossary`
CATALOG_GLOSSARY_DELETE	`DeleteGlossary`

data-catalog-namespaces

ここには、data-catalog-namespacesリソース・タイプに対応しているAPIがリストされます。APIは権限ごとにアルファベット順に表示されます。


INSPECT
権限	完全にカバーされるAPI	一部カバーされるAPI
CATALOG_NAMESPACE_INSPECT	`ListNamespaces`	なし
読取り
権限	完全にカバーされるAPI	一部カバーされるAPI
検査+	検査+	なし
CATALOG_NAMESPACE_READ	`GetCustomProperty`
	`GetNamespace`
	`ListCustomProperties`
使用
権限	完全にカバーされるAPI	一部カバーされるAPI
READ +	READ +	なし
CATALOG_NAMESPACE_UPDATE	`AssociateCustomProperty`
	`CreateCustomProperty`
	`DeleteCustomProperty`
	`DisassociateCustomProperty`
	`UpdateCustomProperty`
	`UpdateNamespace`
管理
権限	完全にカバーされるAPI	一部カバーされるAPI
USE +	USE +	なし
CATALOG_NAMESPACE_CREATE	`CreateNamespace`
CATALOG_NAMESPACE_DELETE	`DeleteNamespace`

data-catalog-metastores

ここには、data-catalog-metastoresリソース・タイプに対応しているAPIがリストされます。APIは権限ごとにアルファベット順に表示されます。


INSPECT
権限	完全にカバーされるAPI	一部カバーされるAPI
CATALOG_METASTORE_INSPECT	`ListMetastores`	なし
読取り
権限	完全にカバーされるAPI	一部カバーされるAPI
検査+	検査+	なし
CATALOG_METASTORE_READ	`GetMetastore`	なし
使用
権限	フル・カバーされるAPI	一部カバーされるAPI
READ +	READ +	なし
CATALOG_METASTORE_UPDATE	`UpdateMetastore`	なし
管理
権限	フル・カバーされるAPI	一部カバーされるAPI
USE +	USE +	なし
CATALOG_METASTORE_CREATE	`CreateMetastore`
CATALOG_METASTORE_DELETE	`DeleteMetastore`
CATALOG_METASTORE_MOVE	`ChangeMetastoreCompartment`

data-catalog-metastore-assets

ここでは、data-catalog-metastore-assetsリソース・タイプでカバーされるAPIをリストします。


INSPECT
権限	フル・カバーされるAPI	一部カバーされるAPI
CATALOG_METASTORE_CATALOG_INSPECT	`MetastoreExecute`	なし
CATALOG_METASTORE_DATABASE_INSPECT	`MetastoreExecute`
CATALOG_METASTORE_TABLE_INSPECT	`MetastoreExecute`
読取り
権限	フル・カバーされるAPI	一部カバーされるAPI
検査+	検査+	なし
CATALOG_METASTORE_CATALOG_READ	`MetastoreExecute`
CATALOG_METASTORE_DATABASE_READ	`MetastoreExecute`
CATALOG_METASTORE_TABLE_READ	`MetastoreExecute`
使用
権限	フル・カバーされるAPI	一部カバーされるAPI
READ +	READ +	なし
CATALOG_METASTORE_CATALOG_UPDATE	`MetastoreExecute`
CATALOG_METASTORE_DATABASE_UPDATE	`MetastoreExecute`
CATALOG_METASTORE_TABLE_UPDATE	`MetastoreExecute`
管理
権限	フル・カバーされるAPI	一部カバーされるAPI
USE +	USE +	なし
CATALOG_METASTORE_CATALOG_CREATE	`MetastoreExecute`
CATALOG_METASTORE_CATALOG_DELETE	`MetastoreExecute`
CATALOG_METASTORE_DATABASE_CREATE	`MetastoreExecute`
CATALOG_METASTORE_DATABASE_DELETE	`MetastoreExecute`
CATALOG_METASTORE_TABLE_CREATE	`MetastoreExecute`
CATALOG_METASTORE_TABLE_DELETE	`MetastoreExecute`

各API操作に必要な権限

次の表に、論理的な順序で、リソース・タイプ別にグループ化してAPI操作を示します。リソース・タイプは、data-catalogs、data-catalog-private-endpoints、data-catalog-data-assets、data-catalog-glossariesおよびdata-catalog-namespacesです。

権限の詳細は、権限を参照してください。