Uso da segurança por linha com regras baseadas em etiquetas para restringir o acesso ao conjunto de dados ao realizar a incorporação de painéis para usuários anônimos

Ao incorporar QuickSight painéis da Amazon em seu aplicativo para usuários que não estão provisionados (registrados) QuickSight, você pode usar a segurança em nível de linha (RLS) com tags. Nesse caso, você usa tags para especificar quais dados os usuários poderão visualizar no painel, dependendo de quem eles são.

Por exemplo, suponhamos que você tenha uma empresa no setor de logística com uma aplicação voltada ao cliente para vários varejistas. Milhares de usuários desses varejistas acessam sua aplicação para visualizar as métricas relacionadas à forma como os pedidos estão sendo enviados de seu local de armazenamento.

Você não quer gerenciar milhares de usuários QuickSight, então você usa a incorporação anônima para incorporar os painéis selecionados em seu aplicativo que seus usuários autenticados e autorizados possam ver. No entanto, você deseja garantir que os varejistas visualizem somente os dados relativos aos seus negócios e não aos de outras empresas. Você pode usar a RLS com tags para garantir que seus clientes visualizem somente os dados relevantes para eles.

Para fazer isso, conclua as seguintes etapas:

Antes de usar a RLS com tags, lembre-se dos seguintes pontos:

Etapa 1: adicionar a RLS com tags a um conjunto de dados

Você pode adicionar regras baseadas em tags a um conjunto de dados na Amazon. QuickSight Como alternativa, você pode chamar a operação de API CreateDataSet ou UpdateDataSet e adicionar regras baseadas em tags dessa forma. Para obter mais informações, consulte Adicionar RLS com tags a um conjunto de dados usando a API.

Use o procedimento a seguir para adicionar tags RLS a um conjunto de dados no. QuickSight

Após criar uma regra baseada em tags, uma nova tabela Gerenciar regras será exibida para mostrar como suas regras baseadas em tags se relacionam. Para fazer alterações nas regras listadas na tabela Gerenciar regras, escolha o ícone de lápis próximo à regra. Em seguida, adicione ou remova as tags e escolha Atualizar. Para aplicar a regra atualizada ao conjunto de dados, escolha Aplicar.

(Opcional) Adicionar a condição Or à RLS com tags

Você também pode adicionar a condição OR às suas regras baseadas em tags para personalizar ainda mais a forma como os dados são apresentados aos usuários QuickSight da sua conta. Quando você usa a condição OR com suas regras baseadas em tags, as imagens QuickSight aparecem se pelo menos uma tag definida na regra for válida.

Adicionar RLS com tags a um conjunto de dados usando a API

Como alternativa, você pode configurar e habilitar a segurança por linha baseada em tags em seu conjunto de dados ao chamar a operação de API CreateDataSet ou UpdateDataSet. Use os exemplos apresentados a seguir para aprender a fazer isso.

create-data-set
		--aws-account-id <value>
		--data-set-id <value>
		--name <value>
		--physical-table-map <value>
		[--logical-table-map <value>]
		--import-mode <value>
		[--column-groups <value>]
		[--field-folders <value>]
		[--permissions <value>]
		[--row-level-permission-data-set <value>]
		[--column-level-permission-rules <value>]
		[--tags <value>]
		[--cli-input-json <value>]
		[--generate-cli-skeleton <value>]
		[--row-level-permission-tag-configuration 
	'{
		"Status": "ENABLED",
		"TagRules": 
			[
				{
					"TagKey": "tag_retailer_id",
					"ColumnName": "retailer_id",
					"TagMultiValueDelimiter": ",",
					"MatchAllValue": "*"
				},
				{
					"TagKey": "tag_role",
					"ColumnName": "role"
				}
			],
		"TagRuleConfigurations":
			[
				tag_retailer_id
			],
			[
				tag_role
			]
	}'
]

{
			"Status": 201,
			"Arn": "arn:aws:quicksight:us-west-2:11112222333:dataset/RLS-Dataset",
			"DataSetId": "RLS-Dataset",
			"RequestId": "aa4f3c00-b937-4175-859a-543f250f8bb2"
		}

Para obter mais informações sobre o RowLevelPermissionTagConfiguration elemento, consulte RowLevelPermissionTagConfigurationa Amazon QuickSight API Reference.

Etapa 2: atribuir valores à RLS com tags no runtime

Você pode usar tags para a RLS somente para a incorporação anônima. É possível definir valores para as tags usando a operação de API GenerateEmbedUrlForAnonymousUser.

O exemplo apresentado a seguir mostra como atribuir valores à RLS com tags definida no conjunto de dados na etapa anterior.

POST /accounts/AwsAccountId/embed-url/anonymous-user
	HTTP/1.1
	Content-type: application/json
	{
		“AwsAccountId”: “string”,
		“SessionLifetimeInMinutes”: integer,
		“Namespace”: “string”, // The namespace to which the anonymous end user virtually belongs
		“SessionTags”:  // Optional: Can be used for row-level security
			[
				{
					“Key”: “tag_retailer_id”,
					“Value”: “West,Central,South”
				}
				{
					“Key”: “tag_role”,
					“Value”: “shift_manager”
				}
			],
		“AuthorizedResourceArns”:
			[
				“string”
			],
		“ExperienceConfiguration”:
			{
				“Dashboard”:
					{
						“InitialDashboardId”: “string”
						// This is the initial dashboard ID the customer wants the user to land on. This ID goes in the output URL.
					}
			}
	}

Veja um exemplo a seguir de definição de resposta.

HTTP/1.1 Status
	Content-type: application/json

	{
	"EmbedUrl": "string",
	"RequestId": "string"
	}

O suporte a RLS sem registrar usuários QuickSight é suportado somente na operação da GenerateEmbedUrlForAnonymousUser API. Nesta operação, em SessionTags, é possível definir os valores das tags associadas às colunas do conjunto de dados.

Neste caso, são definidas as seguintes atribuições:

O usuário que usar o URL gerado poderá visualizar somente as linhas com o valor shift_manager na coluna role. Esse usuário poderá visualizar somente o valor West, Central ou South na coluna retailer_id.

Para obter mais informações sobre a incorporação de painéis para usuários anônimos usando a operação de GenerateEmbedUrlForAnonymousUser APIIncorporação de QuickSight painéis para usuários anônimos (não registrados), consulte ou GenerateEmbedUrlForAnonymousUserna Amazon QuickSight API Reference