Zarządzanie grupami zabezpieczeń i przypisaniami

Zarządzanie zabezpieczeniami i dostępem w PlaidCloud jest proste. Członek otrzymuje lub traci dostęp w zależności od grup, z którymi jest powiązany. Dodawanie lub zmienianie powiązań członka z zabezpieczeniami można łatwo dostosować.

Zarządzanie grupami zabezpieczeń

Grupy zabezpieczeń można dodawać, aktualizować lub usuwać.

Aby zarządzać grupami zabezpieczeń:

Otwórz Identity
Wybierz kartę „Security”
Kliknij „Grupy zabezpieczeń” w menu rozwijanym (zostanie wyświetlony formularz z istniejącymi grupami)
Aby dodać grupę, kliknij „Create Security Group”
Aby edytować uprawnienia grupy, kliknij ikonę znajdującą się najbardziej po lewej stronie

Aby zarządzać członkami grupy:

Otwórz Identity
Wybierz kartę „Security”
Kliknij „Grupy zabezpieczeń” w menu rozwijanym
Kliknij ikonę Członek
Przeciągnij wybranych członków z kolumny „Unassigned Members” do kolumny „Assigned Members” lub odwrotnie, aby usunąć członków

Zarządzanie dostępem do wierszy

Dostęp do wierszy ogranicza, które wiersze tabeli może widzieć grupa zabezpieczeń, na podstawie wartości jednej kolumny. Na przykład kolumna region może ograniczać dostęp: grupa, której przyznano East i Central, jest ograniczona do wierszy z tymi wartościami. Wszystko dla projektu i kolumny — wybór kolumny, wybór źródła jej wartości i decyzja, która grupa co widzi — odbywa się na jednym ekranie, a zapisanie zmian działa natychmiast.

Konfigurowanie i zmienianie dostępu do wierszy wymaga roli Architekta projektu lub administratora dzierżawy. Każdy inny użytkownik, który otworzy kartę Security projektu, zobaczy informację, że dostęp do wierszy jest dostępny tylko dla Architektów, a poniższe punkty wejścia się nie pojawią.

Otwieranie dostępu do wierszy

Każdy punkt wejścia otwiera ten sam ekran Dostępu do wierszy:

Pasek narzędzi Eksploratora tabel zawiera przycisk Dostęp do wierszy z plakietką, gdy tabela już ogranicza wiersze. Otwiera się na pierwszej ograniczonej kolumnie tabeli, jeśli taka istnieje, i możesz przełączyć się na dowolną inną kolumnę tabeli.
Menu aspektów kolumny zawiera pozycję Ogranicz wiersze według tej kolumny…, która otwiera Dostęp do wierszy dla tej kolumny. W kolumnie, która już ogranicza wiersze, pozycja ma postać Wiersze ograniczone tą kolumną — edytuj….
Karta Security projektu wyświetla wszystkie ograniczone kolumny projektu wraz z tabelami, których dotyczą, grupami posiadającymi uprawnienia i stanem w kolumnie Synchronizuj. Wybierz kolumnę, aby ją edytować, lub kliknij Ogranicz kolumnę…, aby rozpocząć nową: wybierz tabelę, a następnie kolumnę. Kolumny, które już ograniczają wiersze, są oznaczone kłódką.
Identity → Członek, na karcie Dostęp do wierszy członka, oraz Identity → Security → Grupy zabezpieczeń, w podsumowaniu Dostępu do wierszy grupy. Otwórz Dostęp do wierszy (lub Edytuj) otwiera wybraną kolumnę; Dodaj ogranicza kolejną kolumnę w projekcie tego wiersza.

Po otwarciu na kolumnie ekran pozostaje na tej kolumnie. Po otwarciu przez Ogranicz kolumnę… lub Dodaj pozwala wybrać kolumnę.

Siatka dostępu do wierszy

Aby ograniczyć tabelę według kolumny:

Otwórz Dostęp do wierszy z dowolnego z powyższych punktów wejścia i wybierz kolumnę, jeśli nie otwarto jej z już wybraną — selektor oferuje rzeczywiste kolumny tabeli, a nie dowolny tekst.
Wybierz Źródło wartości — Kolumna (unikatowe wartości kolumny tabeli), Wymiar (węzły wymiaru) lub Lista (wartości wpisywane ręcznie). Typ wartości wynika z typu danych kolumny.
Dla każdej grupy zabezpieczeń zaznacz wartości, które ta grupa może widzieć. Siatka wyświetla grupy mające dostęp do projektu oraz każdą grupę, która ma już uprawnienie do tej kolumny.
Ustaw Everyone else na sees all rows lub sees no rows — dotyczy to każdej grupy bez zaznaczeń w siatce.
Kliknij Zapisz.

Zapis działa na żywo. Własne zapytania PlaidCloud stosują się do zmiany od razu, a pulpity Superset — w ciągu około minuty; nie ma osobnego kroku zastosowania zmiany ani okna zatwierdzania. Stan synchronizacji na ekranie pokazuje, jak daleko zmiana dotarła; zobacz Synchronizowanie pulpitów.

Siatka zajmuje się też szczegółami za Ciebie:

Wiele wartości. Wartości są posortowane. Gdy kolumna ma więcej wartości, niż się mieści, siatka wyświetla komunikat „More values than fit here — type to search.”, a pole filtra przeszukuje całą kolumnę, zachowując każdą wartość, którą grupa już posiada.
Puste wartości. Jedno pole wyboru Puste wartości — widoczne dla każdej grupy z uprawnieniem decyduje o wierszach bez wartości w kolumnie. Zaznacz je, a każda grupa z jakimkolwiek uprawnieniem do kolumny zobaczy te wiersze.
Tabela, która nie została jeszcze zbudowana, pokazuje Najpierw zbuduj tę tabelę (uruchom przepływ pracy, który ją tworzy) zamiast pustej listy.
Zapis czeka na wartości widoczne na ekranie. Podczas ładowania wartości — po zmianie źródła wartości, wymiaru lub tabeli albo po zastosowaniu szablonu — przycisk Zapisz jest wyłączony, a jego podpowiedź brzmi „Save is available once this source’s values load.” Jeśli ładowanie się nie powiedzie, siatka informuje o tym i prosi o ponowny wybór źródła; nic nie zostaje zapisane, dopóki ładowanie się nie powiedzie.

Jedna nazwa kolumny, wszystkie tabele

Ograniczenie należy do nazwy kolumny w projekcie, a nie do pojedynczej tabeli. Gdy region ogranicza wiersze, każda tabela w projekcie z kolumną o nazwie region jest przez nią filtrowana — zarówno w własnych zapytaniach PlaidCloud, jak i na pulpitach. Lista Applies to w siatce pokazuje te tabele. Jest tylko do odczytu, ponieważ decyduje o niej nazwa kolumny, a tabela dodana później z tą samą kolumną jest objęta ograniczeniem, gdy tylko zostanie opublikowana.

Gdy żadna tabela w projekcie nie ma kolumny o tej nazwie, okno ostrzega, że ograniczenie nie będzie filtrować żadnego pulpitu, dopóki taka tabela nie powstanie, a ponadto pokazuje Applies to 0 tables. Dodaj kolumnę do tabeli lub popraw nazwę kolumny, a ostrzeżenie zniknie.

Kończenie ograniczenia

Zakończ ograniczanie w siatce usuwa ograniczenie po potwierdzeniu w tekście — „Stop restricting rows by ‘region’? Every group’s grant on it is removed and everyone sees its rows.” Dostęp do wierszy potwierdza następnie komunikatem „Rows in ‘region’ are no longer restricted.” Wraz z tym znika zestaw danych Superset tej kolumny, chyba że wykresy nadal go używają; w takim przypadku Dostęp do wierszy informuje, że zestaw danych pozostaje, i ile wykresów go używa.

Kolumny nie można zmienić nazwy ani usunąć, dopóki ogranicza wiersze. Architekt zostaje poinformowany, że najpierw musi zakończyć ograniczanie w Dostępie do wierszy; każdy inny użytkownik zostaje poproszony o kontakt z Architektem projektu.

Kto może zmieniać projekt ograniczający wiersze

Przepływy pracy, kroki i funkcje zdefiniowane przez użytkownika w projekcie działają jako własna tożsamość usługi projektu, która odczytuje wszystkie wiersze. Kto może je zmieniać, mógłby sprawić, że krok skopiuje wiersze, do których nie ma uprawnień, do tabeli, którą może odczytać, więc ograniczenie wierszy w projekcie ogranicza także to, kto może zmieniać działanie projektu. Gdy projekt ogranicza co najmniej jedną kolumnę:

Automatyzacja jest tylko dla Architektów. Tylko Architekci projektu i administratorzy dzierżawy mogą zmieniać przepływy pracy, kroki, funkcje zdefiniowane przez użytkownika, harmonogramy, zmienne przepływu pracy i projektu oraz szablony e-mail powiadomień — a z tego samego powodu także importować pakiet przepływu pracy, konwertować przepływ pracy Alteryx, importować, kopiować lub przywracać zawartość do projektu ani zmieniać środowiska połączeń, domyślnego konta dokumentów lub trybu księgowania ERP. Wszyscy pozostali nadal mogą uruchamiać przepływy pracy projektu: Początek, Zatrzymaj, Wznów i Uruchom wybrane kroki pozostają dostępne. Edytor kroku, elementy sterujące tworzeniem przepływu pracy, edytor UDF i formularz harmonogramu otwierają się dla nich w trybie tylko do odczytu, z banerem wskazującym Architektów, do których należy się zwrócić: „This project restricts rows, so only its Architects can change workflows, steps, UDFs, schedules, variables and notify templates. You can still run them.”
Wymiary odczytywane przez ograniczoną kolumnę są tylko dla Architektów. Wymiar, który decyduje o tym, kto widzi które wiersze — źródło wartości ograniczonej kolumny — może być zmieniany wyłącznie przez Architekta projektu lub administratora dzierżawy oraz przez własne przepływy pracy projektu. Obejmuje to dodawanie, przenoszenie, zmianę nazwy, kopiowanie, czyszczenie, ładowanie i przywracanie jego węzłów oraz sam wymiar. Każdy inny użytkownik zobaczy komunikat „This dimension decides who sees which rows of ‘region’, so only a project Architect can change it.” Wymiary, których nie odczytuje żadne ograniczenie, pozostają bez zmian.
Tabela źródłowa uprawnień jest tylko dla Architektów. Tabela powiązana jako źródło uprawnień kolumny może mieć zmieniane wiersze lub zostać usunięta wyłącznie przez Architekta projektu, administratora dzierżawy albo przepływy pracy projektu — czy to przez Edytor danych, import, ładowanie przez konektor, czy API.
Kopiowanie projektu jest tylko dla Architektów, a kopia wyświetla komunikat „This copy is not row-restricted.” — nowy projekt nie ma żadnego ograniczenia, dopóki go nie skonfigurujesz.
Przywrócenie wcześniejszej wersji jest zmianą jak każda inna. Przywrócenie własnych ustawień projektu lub wymiaru wymienionego powyżej wymaga Architekta projektu. Przywrócenie zawsze dotyczy elementu, do którego należy wersja, więc nie można go skierować na inny projekt, aby obejść tę zasadę — zobacz Historia wersji.
Edycja danych w ograniczonej tabeli wymaga Architekta, jak opisano w sekcji Dostęp do wierszy i Edytor danych.

Zanim pierwsza kolumna w projekcie zostanie ograniczona, Dostęp do wierszy informuje, kogo to dotyczy: „Restricting rows here means only Architects can change this project’s workflows, steps, UDFs, schedules and notify templates. N members can change them today; they will still be able to run them.”

Uruchomienia działają dokładnie tak jak wcześniej, także te zaplanowane, ponieważ działają jako tożsamość usługi projektu. To, co daje uruchomienie, zależy od projektu nadanego przez jego Architektów: tabela wyjściowa bez ograniczonej kolumny, plik eksportu, e-mail z powiadomieniem lub wpis w dzienniku nie są filtrowane dla osoby, która je odczytuje.

Wartości podawane na początku uruchomienia. Każdy, kto może uruchomić przepływ pracy, może go rozpocząć z własnymi wartościami jego zmiennych — robi to App Runner na podstawie odpowiedzi z formularza, a także API i narzędzia AI. Te wartości obowiązują tylko w tym uruchomieniu: nigdy nie są zapisywane w przepływie pracy i nie widzi ich żadne inne uruchomienie, eksport ani czytelnik. Ponieważ uruchomienie działa jako tożsamość usługi, wartości mogą zmienić to, co dane uruchomienie odczytuje i zapisuje, więc uprawnienie do uruchamiania przepływów pracy nadawaj osobom, którym ufasz.

Projekty, które nie ograniczają wierszy. Te zasady obowiązują dopiero wtedy, gdy projekt ogranicza kolumnę. W projekcie, który nie ogranicza żadnej, każdy, kto może zmieniać automatyzację projektu, może napisać krok lub funkcję zdefiniowaną przez użytkownika, która — działając jako tożsamość usługi projektu — zmienia dostęp do projektu, czyniąc go jednym z jego Architektów. Jest to zamierzone: taki projekt nie obiecuje izolacji wierszy. Ogranicz prawa do tworzenia tam do osób, którym ufasz jako Architektom, lub ogranicz kolumnę.

Synchronizowanie pulpitów

Dostęp do wierszy pokazuje, na jakim etapie drogi do pulpitów jest zmiana — w siatce oraz w kolumnie Synchronizuj na karcie Security projektu:

Stan	Co oznacza
Oczekiwanie	Zmiana jest zapisana i w drodze do pulpitów. Zwykle znika w ciągu około minuty.
Ponawianie	Wysłanie nie powiodło się i jest ponawiane. Obok stanu wyświetlana jest przyczyna niepowodzenia wraz z przyciskiem Ponów, aby wysłać ponownie od razu.
Jeszcze nie zastosowano	Ograniczenia projektu nie zostały jeszcze wysłane do pulpitów.
Zastosowano	Ostatnia próba wysłania ograniczeń do pulpitów zakończyła się powodzeniem.
Zsynchronizowano z pulpitami	Dostęp do wierszy porównał to, co egzekwują pulpity, z tym, co sam by zapisał, i oba się zgadzają.
Pulpity różnią się	Pulpity nie egzekwują tego, co zapisałby Dostęp do wierszy — reguła została zmieniona lub usunięta w Superset albo nie można sprawdzić opublikowanego widoku tabeli.
Błąd	Wysłanie ograniczeń nie powiodło się. Przyczyna jest wyświetlana obok stanu.

Gdy zmiana osiągnie stan Zastosowano, siatka sprawdza ją względem pulpitów i przechodzi do Zsynchronizowano z pulpitami lub Pulpity różnią się. Pulpity różnią się i Błąd oferują Ponów, co wysyła ograniczenia projektu ponownie. Jeśli nie można odczytać stanu w ogóle, siatka wyświetla komunikat „Nie można sprawdzić stanu synchronizacji.”

Błąd spowodowany przez jedną tabelę wskazuje tabelę i mówi, co zrobić — na przykład tabela opublikowana bez ograniczonej kolumny („Republish or unpublish it.”) albo tabela z ograniczoną kolumną, która nie jest opublikowana, a pulpity nie mogą jej filtrować, dopóki nie zostanie opublikowana. Stan pozostaje na Błąd i wskazuje nieopublikowaną tabelę, dopóki jej nie opublikujesz lub nie ograniczysz kolumny w opublikowanej tabeli. Taka tabela nie wstrzymuje reszty projektu: wszystkie pozostałe tabele są na bieżąco synchronizowane.

Pulpity stosują te same uprawnienia co własne zapytania PlaidCloud:

Filtrowana jest każda opublikowana tabela z tą kolumną, a nie tylko tabela wyświetlana podczas konfigurowania ograniczenia.
Grupa, której przyznano tylko niektóre wartości, jest filtrowana, nawet gdy wszyscy pozostali widzą wszystkie wiersze, w każdej tabeli, której zestaw danych pulpitu istnieje.
Zmiany członkostwa w grupach zabezpieczeń docierają do pulpitów samoczynnie. Dodanie kogoś do grupy lub usunięcie go w PlaidCloud, wyłączenie lub usunięcie członka, usunięcie grupy albo dodanie nowego członka, który dołącza do Twoich domyślnych grup zabezpieczeń, aktualizuje to, co widzi na pulpitach, w ciągu około minuty, w każdym projekcie, który przyznaje tej grupie wartości, bez konieczności ponownego otwierania Dostępu do wierszy. Zmiana członkostwa wykonana poza PlaidCloud — bezpośrednio w Keycloak albo przez jednokrotne logowanie umieszczające kogoś w grupie podczas logowania — dociera do pulpitów w ciągu około 15 minut, bez niczego do zapisania ani ponowienia.

Uprawnienia wymiarów

Gdy źródłem wartości jest Wymiar, zaznacz węzeł, aby przyznać wszystko, co jest pod nim. Uprawnienie podąża za wymiarem: członek dodany pod zaznaczonym węzłem otrzymuje uprawnienie dla tej grupy przy następnej synchronizacji po zapisaniu wymiaru, a członek przeniesiony spod niego lub usunięty przestaje je mieć — nikt nie musi ponownie otwierać siatki. Gdy ją ponownie otworzysz, zaznaczone wcześniej węzły są znów zaznaczone.

Odznaczenie czegokolwiek pod zaznaczonym węzłem odznacza węzeł, a grupa zachowuje tylko członków, którzy nadal są zaznaczeni. Ponowne zaznaczenie tego członka nie zaznacza węzła ponownie — kliknij w tym celu pole samego węzła. Wklej, Zaznacz wszystko i Odwróć zaznaczają członków, nigdy węzły.

Członek wymiaru, którego nazwy nie można użyć jako wartości dostępu do wierszy, jest odrzucany przy zapisie z podaniem jego nazwy. Jeśli taki członek pojawi się później, jego wiersze nie są nikomu przyznane, a stan synchronizacji podaje jego nazwę: „Dimension ‘…’ member ‘…’ cannot be used as a row access value, so its rows are not granted. Rename it in the dimension.”

Powiązanie uprawnień z tabelą źródłową

Zamiast zaznaczać wartości ręcznie, możesz wskazać ograniczonej kolumnie tabelę źródłową, która już zawiera odpowiedź — jeden wiersz na grupę i wartość, którą może ona widzieć. Najpierw ogranicz kolumnę w siatce, a następnie dodaj krok przepływu pracy Ustaw dostęp do wierszy, wskazujący kolumnę, tabelę źródłową oraz kolumny grupy i wartości tabeli źródłowej. Pierwsze uruchomienie kroku wiąże kolumnę z tą tabelą: ręcznie ustawione uprawnienia kolumny są czyszczone, a jej uprawnienia są ustawiane na podstawie wierszy tabeli.

Po powiązaniu kolumna jest należąca do źródła: siatka Dostępu do wierszy pokazuje ją jako zablokowaną, z plakietką wskazującą tabelę źródłową, a ręczna edycja jej uprawnień jest odrzucana, dopóki nie klikniesz Usuń powiązanie.

Każde kolejne uruchomienie kroku ponownie odczytuje tabelę źródłową i ponownie stosuje uprawnienia — zaplanuj je po przepływie pracy, który ładuje lub odświeża tę tabelę, a grupa dodana, usunięta lub przypisana inaczej w danych źródłowych trafi do Dostępu do wierszy przy następnym uruchomieniu, bez ręcznej edycji siatki.

Ponieważ to tabela źródłowa decyduje o tym, kto co widzi, jej wiersze może zmieniać lub ją usunąć tylko Architekt projektu, administrator dzierżawy albo własne przepływy pracy projektu. Każdy inny użytkownik zobaczy komunikat „This table supplies the row access grants for ‘region’, so only a project Architect can change its rows or delete it.”

Szablony ograniczeń

Jeśli masz kształt ograniczenia, którego chcesz użyć ponownie — to samo źródło wartości, typ wartości i ustawienie pustych wartości — zapisz go raz i zastosuj wszędzie tam, gdzie jest potrzebny, zamiast odtwarzać go kolumna po kolumnie.

Zapisz jako szablon…, z otwartego ekranu Dostępu do wierszy, zapisuje kształt bieżącej kolumny jako nazwany szablon na poziomie dzierżawy. Zapisuje tylko kształt — żadne uprawnienia się z nim nie przenoszą.
Zastosuj szablon, w kolumnie innego projektu, rozpoczyna tę kolumnę od kształtu szablonu, z pustymi uprawnieniami każdej grupy do uzupełnienia.

Każdy Architekt projektu może zapisywać i stosować szablony. Zmiana nazwy (Zmień nazwę…) i usunięcie (Usuń) szablonu wymaga administratora dzierżawy, ponieważ szablon jest współdzielony w całej dzierżawie. Usunięcie szablonu pozostawia kolumny, do których został zastosowany, ograniczone tak jak dotąd.

Uprawnienia z atrybutów grup SSO

Kolumna może też pobierać uprawnienia od Twojego dostawcy tożsamości zamiast z PlaidCloud. Architekt projektu włącza tę opcję dla kolumny w Dostępie do wierszy, włączając Accept row-access grants from SSO group attributes.

Po włączeniu atrybut Keycloak row_access.<column> grupy zabezpieczeń ustawia wartości, które ta grupa może widzieć przez tę kolumnę — ustaw atrybut na grupie w Keycloak, a PlaidCloud automatycznie go odbierze dla każdej grupy, która ma już dostęp do projektu. W samym Dostępie do wierszy nie trzeba niczego więcej konfigurować, a uprawnienia pozostają zsynchronizowane zarówno we własnych zapytaniach PlaidCloud, jak i na pulpitach Superset.

Podgląd przed zapisem

Dostęp do wierszy pokazuje, co oznacza zmiana, zanim ją zatwierdzisz:

Stopka Podgląd jako pokazuje, ile wierszy tabeli z ich łącznej liczby zobaczyłaby grupa, wraz z próbką samych wierszy — wybierz dowolną grupę w siatce, aby zobaczyć jej podgląd. Podgląd odświeża się po zapisie.
Przed zapisem Dostęp do wierszy ostrzega o wszystkim, co zasługuje na ponowne spojrzenie: grupie bez zaznaczonych wartości i o tym, czy oznacza to, że widzi ona wszystkie wiersze, czy żadnego, zgodnie z Twoim ustawieniem Everyone else; członkach z dostępem do projektu, których nie obejmuje uprawnienie żadnej grupy; albo wierszach, których wartość w tej kolumnie jest pusta (NULL) i które nie są przyznane żadnej grupie.

Co widzi ograniczony członek

Wszędzie tam, gdzie ograniczony członek odczytuje tabelę po nazwie, otrzymuje tylko swoje wiersze — w siatce Eksploratora tabel, aspektach kolumn i pobieraniach, oknie pobierania tabeli, aplikacjach i narzędziach odczytujących jako przeglądający oraz na pulpitach. Eksplorator tabel pokazuje na pasku narzędzi Wiersze ograniczone Twoim dostępem, gdy oglądana siatka została przefiltrowana przez Twoje uprawnienia, a rozpoczęcie pobierania, które zostanie przefiltrowane, wyświetla komunikat „Wiersze ograniczone Twoim dostępem.” Architekt, który odczytuje wszystkie wiersze, nie widzi żadnego z tych komunikatów.

Dostęp do wierszy i zapytania pisane samodzielnie

Dostęp do wierszy ogranicza, które wiersze może widzieć grupa, przez filtrowanie tabeli, do której jest zdefiniowany. Zapytanie napisane samodzielnie nie ma jednej tabeli, do której można dołączyć ten filtr — zapytanie może łączyć, zestawiać lub zagnieżdżać dowolnie wiele tabel — więc w projekcie, który ogranicza wiersze, PlaidCloud odmawia uruchomienia zapytania dostarczonego przez wywołującego, zamiast zwracać wiersze, których nic nie zweryfikowało.

Dotyczy to odczytu przez własny SQL, eksportowania wyników własnego SQL do pliku lub innej bazy danych oraz wpisania warunku wiersza w podglądzie „Test row 1” kroku rozgałęziającego. Nie dotyczy odczytu tabeli po nazwie, który jest zwykłym sposobem odczytu danych przez aplikacje i narzędzia — stosują one uprawnienia i zwracają wiersze, do których przeglądający jest uprawniony. Aspekt kolumny zapisany jako zwykłe zapytanie do jednej tabeli jest również odczytywany po nazwie, więc zwraca własne wartości członka, zamiast być odrzucany.

Osoba, której odmówiono, dowiaduje się, którego projektu to dotyczyło, i zostaje wskazana na odczyty po nazwie. Architekt projektu może uruchomić zapytanie w zapisanej postaci i wyeksportować jego wyniki w dowolnym formacie, ponieważ Architekt może już przyznać sobie każdą wartość każdej ograniczonej kolumny.

Import arkusza kalkulacyjnego nie jest sam w sobie zapytaniem napisanym samodzielnie — zwykły import pliku nie odczytuje żadnych ograniczonych danych, a jedynie tworzy nową tabelę projektu z przesłanego pliku, więc Dostęp do wierszy go nie dotyczy. Wyjątkiem jest import, w którym projekcja danych jest dostarczona przez wywołującego: wyrażenie dla kolumny lub dynamiczne mapowanie Excel. Na interaktywnym ekranie importu są one odrzucane tak samo jak powierzchnie z dowolnym SQL powyżej i wymagają Architekta projektu, ponieważ projekcja dostarczona przez wywołującego mogłaby odczytać inną tabelę. Import uruchamiany z przepływu pracy nie jest w żadnym przypadku dotknięty, ponieważ działa jako własna tożsamość usługi projektu.

Dostęp do wierszy i Edytor danych

Edytor danych odczytuje i zapisuje tabelę bezpośrednio, więc Dostęp do wierszy dotyczy go po obu stronach.

Otwarcie ograniczonej tabeli w Edytorze danych pokazuje tylko wiersze przyznane Twojej grupie zabezpieczeń — ten sam filtr, który podąża za Tobą na pulpit, i działa nawet wtedy, gdy ograniczona kolumna nie jest jedną z kolumn wyświetlanych w siatce.

Zapisanie edycji wymaga roli Architekt w projekcie. Zapis zastępuje wiersze tabeli w całości, zamiast je odczytywać, i nie jest filtrowany wiersz po wierszu, więc edycja danych w ograniczonej tabeli jest traktowana jako czynność autorska, a nie odczyt: każdy bez roli Architekta zostaje poinformowany, że jest ona potrzebna. Tabela bez ograniczonej kolumny jest edytowana jak dotąd, podobnie jak każdy projekt, który nie ogranicza wierszy.

Liczba wierszy i rozmiary tabel

Liczba wierszy i rozmiar magazynu tabeli opisują całą tabelę, a nie wiersze, które możesz widzieć, więc ujawniłyby ograniczonemu czytelnikowi, ile wierszy istnieje poza jego uprawnieniami. W projekcie, który ogranicza wiersze, każdy, którego odczyty są filtrowane, nie widzi liczby wierszy ani rozmiaru żadnej z tabel projektu — na listach tabel, w wyszukiwaniu, szczegółach tabeli i migawkach oraz przez asystenta AI i narzędzia AI połączone przez MCP. Obejmuje to każdą tabelę w projekcie, także tabele bez ograniczonej kolumny. Ukryte są dla nich także sumy samego projektu — łączna liczba wierszy i rozmiar na stronie głównej, na listach projektów i w wyszukiwaniu oraz w szczegółach projektu.

To samo dotyczy historii uruchomień przepływu pracy. Odczytane i zapisane wiersze zarejestrowane dla każdego uruchomienia i kroku również opisują całą tabelę, więc dla tych samych czytelników te liczby są puste — w historii uruchomień przepływu pracy i kroku oraz przez asystenta AI i narzędzia AI połączone przez MCP. Dla nich Weave nie sprawdza kroków pod kątem wierszy ani pustych wartości w odróżnieniu od poprzednich uruchomień, ponieważ ustalenie samo w sobie ujawniłoby im, że liczba wierszy całej tabeli się zmieniła.

Architekci projektu widzą te wartości jak dotąd, podobnie jak wszyscy w projekcie, który nie ogranicza wierszy.

Sprawdzanie, co widzi członek

Aby sprawdzić, co może widzieć konkretna osoba, a nie co jest przyznane grupie: otwórz Identity → Członek, wybierz członka i otwórz jego kartę Dostęp do wierszy. Kolumna Efektywny dostęp wymienia, dla każdego ograniczonego projektu i kolumny, wartości, które ten członek widzi przez wszystkie swoje grupy łącznie — w tym uprawnienia z atrybutów grup SSO oraz puste wiersze (NULL), gdy uprawnienie grupy je obejmuje. Architekt projektu jest wyświetlany jako Widzi wszystkie wiersze (Architect), ponieważ Architekt odczytuje wszystkie wiersze. To ta sama odpowiedź, którą stosują własne zapytania PlaidCloud, więc jest przydatna dla pomocy technicznej i do potwierdzenia, że zmiana zrobiła to, co zamierzono, zanim ktoś zgłosi problem.

Czytelniejsze błędy

Gdy Dostęp do wierszy blokuje działanie — zapytanie napisane samodzielnie w ograniczonym projekcie, edycję bez roli Architekta, zmianę automatyzacji, wymiaru lub tabeli źródłowej uprawnień oraz inne opisane powyżej przypadki — komunikat wskazuje, co jest ograniczone i co zrobić dalej, na przykład których Architektów poprosić, zamiast ogólnego błędu.

Dostęp do wierszy jest audytowany

Ograniczanie lub zdejmowanie ograniczenia kolumny oraz edycja uprawnień grupy zapisują wpis w dzienniku projektu tego projektu — kto dokonał zmiany i kiedy. Otwórz Analyze → Projects → Log w projekcie, aby go zobaczyć. Nie trzeba niczego włączać w Dostępie do wierszy, aby uzyskać ten ślad; jest rejestrowany tak samo jak każda inna śledzona zmiana projektu.

Ustawianie domyślnych grup zabezpieczeń

Aby skrócić czas potrzebny na dodawanie nowych członków, wskaż zestaw domyślnych grup zabezpieczeń. Zapewnia to bazowy zestaw grup zabezpieczeń dla nowych członków bez konieczności ręcznego przypisywania każdej osoby. Ustawienie jest dostępne przy dodawaniu nowej grupy zabezpieczeń, jeśli zaznaczysz pole na dole okna grupy zabezpieczeń o nazwie „Assign to New Users by Default”.

Przeprowadzanie audytu zabezpieczeń

Funkcja audytu zabezpieczeń pozwala zobaczyć członkostwo w grupach wszystkich członków i wszystkich grup.

Aby przeprowadzić audyt zabezpieczeń:

Otwórz Identity
Wybierz kartę „Security”
Kliknij „Security Group Audit” w menu rozwijanym

Ponieważ wszystkie tabele w PlaidCloud można wyeksportować do formatu pliku CSV, powiązania grup z członkami można przeglądać poza PlaidCloud, zarówno w celach historycznych, jak i dla zwykłej zabawy podczas przeglądania offline.

Aby wyeksportować dane z formularza „Security Group Audit”:

Otwórz Identity
Wybierz kartę „Security”
Kliknij „Security Group Audit” w menu rozwijanym
Kliknij małą ikonę po prawej stronie „Username” w tabeli
Kliknij „Export CSV” lub „Export XLXS”, w zależności od preferencji

Wyświetlanie dostępnych ustawień uprawnień

Każda aplikacja używana w obszarze roboczym ma określone dostępne uprawnienia. Uprawnienia grup zabezpieczeń opierają się na uprawnieniach tych aplikacji.

Pełną listę dostępnych uprawnień dla każdej aplikacji można wyświetlić w obiekcie Security Bin.

Aby uzyskać dostęp do Security Bin:

Otwórz Identity
Wybierz „Security”
Kliknij „Security Bins” w menu rozwijanym

Aby zobaczyć szczegółowe ustawienia zabezpieczeń każdej aplikacji, wybierz ikonę tagów po lewej stronie.

Te dostępne informacje o ustawieniach zabezpieczeń mają charakter wyłącznie informacyjny. Szczegółowe informacje o zarządzaniu uprawnieniami znajdziesz w powyższej sekcji Zarządzanie grupami zabezpieczeń.