Kusto 基于角色的访问控制
适用于:✅Azure 数据资源管理器
Kusto 使用基于角色的访问控制 (RBAC) 模型,其中的主体根据为其分配的角色访问资源。 角色是为特定群集、数据库、表、外部表、具体化视图或函数定义的。 如果是为群集定义的,该角色将应用于群集中的所有数据库。 如果是为数据库定义的,该角色将应用于数据库中的所有实体。
Azure 资源管理器 (ARM) 角色(例如订阅所有者或群集所有者)会授予资源管理的访问权限。 对于数据管理,需要本文档中所述的角色。
注意
若要删除数据库,至少需要群集上的参与者 ARM 权限。 若要分配 ARM 权限,请参阅使用 Azure 门户分配 Azure 角色。
角色和权限
下表概述了在每个范围可用的角色和权限。
“权限”列显示授予每个角色的访问权限。
“依赖项”列列出了获取该行中的角色所需的最低角色。 例如,若要成为表管理员,你首先必须是“数据库用户”之类的角色,或者是拥有数据库用户权限的角色,例如数据库管理员或 AllDatabasesAdmin。 当“依赖项”列中列出了多个角色时,只需其中一个角色即可获取该角色。
“管理”列提供添加或删除角色主体的方法。
作用域 | 角色 | 权限 | 依赖项 | 管理 |
---|---|---|---|---|
群集 | AllDatabasesAdmin | 对群集中所有数据库的完全权限。 可以显示和更改某些群集级别策略。 包括所有权限。 | Azure 门户 | |
群集 | AllDatabasesViewer | 读取群集中任意数据库的所有数据和元数据。 | Azure 门户 | |
群集 | AllDatabasesMonitor | 在群集中任意数据库的上下文中执行 .show 命令。 |
Azure 门户 | |
数据库 | 管理员 | 特定数据库范围内的完全权限。 包括所有较低级别的权限。 | Azure 门户或管理命令 | |
数据库 | 用户 | 读取数据库的所有数据和元数据。 创建表和函数,并成为这些表和函数的管理员。 | Azure 门户或管理命令 | |
数据库 | 查看者 | 读取所有数据和元数据,但打开了 RestrictedViewAccess 策略的表除外。 | Azure 门户或管理命令 | |
数据库 | Unrestrictedviewer | 读取所有数据和元数据,包括打开了 RestrictedViewAccess 策略的表中的数据。 | 数据库用户或数据库查看者 | Azure 门户或管理命令 |
数据库 | 引入者 | 将数据引入到数据库的所有表中,但无权查询数据。 | Azure 门户或管理命令 | |
数据库 | 监视 | 在数据库及其子实体的上下文中执行 .show 命令。 |
Azure 门户或管理命令 | |
表 | 管理员 | 特定表范围内的完全权限。 | 数据库用户 | 管理命令 |
表 | 引入者 | 将数据引入表中,但无权查询数据。 | 数据库用户或数据库引入者 | 管理命令 |
外部表 | 管理员 | 特定外部表范围内的完全权限。 | 数据库用户或数据库查看者 | 管理命令 |
具体化视图 | 管理员 | 拥有更改视图、删除视图以及向另一个主体授予管理员权限的完全权限。 | 数据库用户或表管理员 | 管理命令 |
函数 | 管理员 | 拥有更改函数、删除函数以及向另一个主体授予管理员权限的完全权限。 | 数据库用户或表管理员 | 管理命令 |