Utilizzo della sicurezza a livello di riga con regole basate su tag per limitare l'accesso a un set di dati quando si incorporano dashboard per utenti anonimi

Quando incorpori QuickSight dashboard di Amazon nella tua applicazione per utenti a cui non è stato fornito (registrato) QuickSight, puoi utilizzare la sicurezza a livello di riga () con tag. RLS In questo caso, i tag vengono utilizzati per specificare quali dati gli utenti possono vedere nel pannelli di controllo a seconda di chi sono.

Ad esempio, supponiamo che tu sia una società di logistica che dispone di un'applicazione rivolta ai clienti per vari rivenditori. Migliaia di utenti di questi rivenditori accedono alla tua applicazione per visualizzare i parametri relative al modo in cui i loro ordini vengono spediti dal tuo magazzino.

Non vuoi gestire migliaia di utenti QuickSight, quindi utilizzi l'incorporamento anonimo per incorporare nella tua applicazione le dashboard selezionate in modo che gli utenti autenticati e autorizzati possano vederle. Tuttavia, vuoi assicurarti che i rivenditori visualizzino solo i dati relativi alla loro attività e non ad altri. Puoi utilizzarlo RLS con i tag per assicurarti che i tuoi clienti vedano solo i dati per loro rilevanti.

Per fare ciò, completa la seguente procedura:

Prima di utilizzarla RLS con i tag, tieni presente i seguenti punti:

Passaggio 1: aggiungere RLS tag a un set di dati

Puoi aggiungere regole basate su tag a un set di dati in Amazon. QuickSight In alternativa, puoi chiamare l'UpdateDataSetAPIoperazione CreateDataSet or e aggiungere regole basate su tag in questo modo. Per ulteriori informazioni, consulta Aggiungi RLS tag a un set di dati utilizzando il API.

Utilizzare la procedura seguente per aggiungere RLS tag a un set di dati in. QuickSight

Dopo aver creato una regola basata su tag, viene visualizzata una nuova tabella di Gestisci regole che mostra come le regole basate sui tag si relazionano tra loro. Per apportare modifiche alle regole elencate nella tabella Gestisci regole, scegli l'icona a forma di matita che segue la regola. Quindi aggiungi o rimuovi i tag e scegli Aggiorna. Per applicare la regola aggiornata al set di dati, scegli Applica.

(Facoltativo) Aggiungi la condizione OR ai tag RLS

Puoi anche aggiungere la condizione OR alle regole basate sui tag per personalizzare ulteriormente il modo in cui i dati vengono presentati agli utenti del tuo QuickSight account. Quando utilizzi la condizione OR con le regole basate sui tag, le immagini QuickSight vengono visualizzate se almeno un tag definito nella regola è valido.

Aggiungi RLS tag a un set di dati utilizzando il API

In alternativa, puoi configurare e abilitare la sicurezza a livello di riga basata su tag sul tuo set di dati chiamando l'operazione or. CreateDataSet UpdateDataSet API Utilizza gli esempi seguenti per scoprire come.

create-data-set
		--aws-account-id <value>
		--data-set-id <value>
		--name <value>
		--physical-table-map <value>
		[--logical-table-map <value>]
		--import-mode <value>
		[--column-groups <value>]
		[--field-folders <value>]
		[--permissions <value>]
		[--row-level-permission-data-set <value>]
		[--column-level-permission-rules <value>]
		[--tags <value>]
		[--cli-input-json <value>]
		[--generate-cli-skeleton <value>]
		[--row-level-permission-tag-configuration 
	'{
		"Status": "ENABLED",
		"TagRules": 
			[
				{
					"TagKey": "tag_retailer_id",
					"ColumnName": "retailer_id",
					"TagMultiValueDelimiter": ",",
					"MatchAllValue": "*"
				},
				{
					"TagKey": "tag_role",
					"ColumnName": "role"
				}
			],
		"TagRuleConfigurations":
			[
				tag_retailer_id
			],
			[
				tag_role
			]
	}'
]

{
			"Status": 201,
			"Arn": "arn:aws:quicksight:us-west-2:11112222333:dataset/RLS-Dataset",
			"DataSetId": "RLS-Dataset",
			"RequestId": "aa4f3c00-b937-4175-859a-543f250f8bb2"
		}

Per ulteriori informazioni sull'RowLevelPermissionTagConfigurationelemento, RowLevelPermissionTagConfigurationconsulta Amazon QuickSight API Reference.

Passaggio 2: assegna valori ai RLS tag in fase di esecuzione

È possibile utilizzare i tag RLS solo per l'incorporamento anonimo. È possibile impostare i valori per i tag utilizzando l'GenerateEmbedUrlForAnonymousUserAPIoperazione.

L'esempio seguente mostra come assegnare valori ai RLS tag definiti nel set di dati nel passaggio precedente.

POST /accounts/AwsAccountId/embed-url/anonymous-user
	HTTP/1.1
	Content-type: application/json
	{
		“AwsAccountId”: “string”,
		“SessionLifetimeInMinutes”: integer,
		“Namespace”: “string”, // The namespace to which the anonymous end user virtually belongs
		“SessionTags”:  // Optional: Can be used for row-level security
			[
				{
					“Key”: “tag_retailer_id”,
					“Value”: “West,Central,South”
				}
				{
					“Key”: “tag_role”,
					“Value”: “shift_manager”
				}
			],
		“AuthorizedResourceArns”:
			[
				“string”
			],
		“ExperienceConfiguration”:
			{
				“Dashboard”:
					{
						“InitialDashboardId”: “string”
						// This is the initial dashboard ID the customer wants the user to land on. This ID goes in the output URL.
					}
			}
	}

Di seguito è riportato un esempio della definizione di risposta.

HTTP/1.1 Status
	Content-type: application/json

	{
	"EmbedUrl": "string",
	"RequestId": "string"
	}

RLSil supporto senza registrazione degli utenti QuickSight è supportato solo nell'operazione. GenerateEmbedUrlForAnonymousUser API In questa operazione, in SessionTags, è possibile definire i valori per i tag associati alle colonne del set di dati.

In questo caso, vengono definite le assegnazioni seguenti:

L'utente che utilizza il valore generato URL può visualizzare solo le righe con il shift_manager valore nella role colonna. Tale utente può visualizzare solo il valore West, Central o South nella colonna retailer_id.

Per ulteriori informazioni sull'incorporamento di dashboard per utenti anonimi che utilizzano l'GenerateEmbedUrlForAnonymousUserAPIoperazioneIncorporamento di QuickSight dashboard per utenti anonimi (non registrati), consulta o consulta Amazon GenerateEmbedUrlForAnonymousUserReference QuickSight API