Эта функция доступна в тарифных планах dbt Enterprise и Enterprise+. Если вы хотите узнать больше, свяжитесь с нами по адресу sales@getdbt.com.
Тарифные планы dbt Enterprise и Enterprise+ поддерживают ряд готовых наборов разрешений для управления доступом в аккаунте dbt. Дополнительную информацию об управлении доступом на основе ролей (RBAC) см. в документации по управлению доступом.
Следующие наборы разрешений доступны для назначения во всех аккаунтах dbt с тарифными планами уровня Enterprise. Их можно назначать группам dbt, а через них — пользователям. С группой dbt может быть связано несколько наборов разрешений. Приоритет имеют назначенные разрешения, предоставляющие более широкий доступ.
Доступ к возможностям и функциям dbt разделён на наборы разрешений уровня аккаунта (account-level) и уровня проекта (project-level). Разрешения уровня аккаунта предназначены прежде всего для администрирования аккаунта (приглашения пользователей, настройки SSO и создания групп). Разрешения уровня проекта предназначены для настройки и обслуживания самих проектов (настройки окружений, доступа к IDE и запуска заданий). Наборы разрешений уровня аккаунта могут предоставлять доступ к функциям проектов, а наборы разрешений уровня проекта — к функциям аккаунта. Сравнить наборы и предоставляемый ими доступ можно в таблицах разрешений.
Пользователи с лицензией Read-Only
Если у вас есть пользователи с лицензией Read-Only, вы можете включить детализированные разрешения для своего аккаунта. Эта настройка включается один раз, и отменить её нельзя. После её включения пользователи Read-Only сохраняют доступ к проектам, только если входят в группу с набором разрешений Read-Only, охватывающим все проекты.
Администратор аккаунта (Account admin)
Набор разрешений Account admin предоставляет наивысший уровень доступа и контроля над аккаунтом и проектами dbt. Рекомендуем ограничивать количество пользователей и групп, которым назначен набор разрешений Account admin.
Основные особенности:
Account admin — набор разрешений уровня аккаунта.
Неограниченный доступ ко всем функциям.
Разрешения по умолчанию для каждого пользователя, создающего новый аккаунт dbt.
Разрешения, назначаемые по умолчанию группе Owner.
Администратор (Admin)
Набор разрешений Admin предназначен для администрирования проектов, но также предоставляет ограниченный доступ на уровне аккаунта для приглашения пользователей и назначения им доступа.
Основные особенности:
Admin — набор разрешений уровня проекта.
Неограниченный доступ к существующим проектам, но без возможности создавать новые.
Возможность приглашать новых участников и назначать доступ, но без возможности создавать группы.
Доступ к Catalog.
Разрешения, назначаемые по умолчанию группе Member.
Просмотр аккаунта (Account Viewer)
Набор разрешений Account Viewer предоставляет доступ к аккаунту dbt только для чтения. Подходит всем, кому нужна информация об аккаунте dbt без возможности создавать или изменять конфигурации.
Account Viewer — набор разрешений уровня аккаунта.
Доступ только для чтения ко всем настройкам, проектам, окружениям и запускам.
Доступ только для чтения к журналам аудита, включая конфиденциальную информацию уровня аккаунта.
Нет доступа к IDE.
Доступ к Catalog
Аналитик (Analyst)
Набор разрешений Analyst предназначен для пользователей, которым нужно запускать и анализировать модели dbt в IDE, но которые не могут ничего создавать или редактировать за пределами IDE.
Основные особенности:
Analyst — набор разрешений уровня проекта.
Полный доступ к IDE и возможность настраивать личные учётные данные для адаптеров и Git.
Доступ только для чтения к конфигурациям окружений.
Возможность просматривать задания, но не редактировать их.
Доступ к Catalog.
Аналитик с доступом для чтения (Analyst read)
Набор разрешений Analyst read — это набор уровня проекта для пользователей, которым нужен доступ только для чтения для анализа моделей dbt и ресурсов проекта без возможности разработки или внесения изменений. Он не изменяет лицензию пользователя.
В тарифных планах уровня Enterprise можно назначать Analyst read пользователям Read-Only. Это позволяет им управлять собственными учётными данными хранилища данных и использовать сервер dbt MCP. Они могут подключаться через OAuth или с помощью персонального токена доступа. Варианты аутентификации MCP описаны в разделе Подключение сервера dbt MCP к платформе dbt.
Основные особенности:
Analyst read — набор разрешений уровня проекта.
Доступ только для чтения к Connections (на уровне аккаунта и проекта), Projects, репозиториям (настройкам репозиториев Git), конфигурации Semantic Layer, Environments, пользовательским переменным окружения и метаданным Catalog (Metadata GraphQL API).
Нет доступа для чтения к заданиям и запускам.
Включает user_credential_write, поэтому пользователи могут просматривать и редактировать собственные учётные данные в разделе Your profile > Credentials без доступа к Studio IDE или dbt platform CLI. Пользователям Read-Only нужны личные учётные данные на этой странице, чтобы выполнять запросы к хранилищу данных в аналитических функциях, таких как Semantic Layer. В режиме Explore в dbt Wizard для пользователей без личных учётных данных вместо них используются учётные данные для аналитики проекта.
Нет доступа для записи и возможности разработки в Studio IDE или dbt platform CLI.
Чтобы получить доступ к возможностям этого набора разрешений, пользователей обязательно нужно добавить в группу, которой назначен набор разрешений Analyst read. Пока пользователи не добавлены в группу, доступа у них не будет. Инструкции по настройке см. в разделе Настройка доступа пользователей только для чтения.
Администратор биллинга (Billing admin)
Набор разрешений Billing admin позволяет просматривать сведения об использовании продукта, влияющие на итоговую стоимость dbt (например, о запущенных моделях).
Основные особенности:
Billing admin — набор разрешений уровня аккаунта.
Неограниченный доступ к разделу Billing в Account settings.
Доступ для чтения к публичным моделям.
Другого доступа нет.
Администратор Cost Insights (Cost Insights Admin)
Набор разрешений Cost Insights Admin предоставляет минимальные разрешения, необходимые для настройки Cost Insights, управления его параметрами и просмотра данных о затратах.
Основные особенности:
Cost Insights Admin — набор разрешений как уровня аккаунта, так и уровня проекта.
Возможность настраивать учётные данные для метаданных платформы и параметры Cost Insights в настройках подключения.
Возможность просматривать данные о затратах и экономии по проектам, моделям и заданиям.
Доступ только для чтения к подключениям, проектам, заданиям и метаданным.
Доступ к dbt Catalog.
Просмотр Cost Insights (Cost Insights Viewer)
Набор разрешений Cost Insights Viewer предоставляет доступ только для чтения к данным Cost Insights с минимальными разрешениями, необходимыми для просмотра информации об оценочных затратах и их сокращении.
Лицензии Read-Only недостаточно для просмотра Cost Insights. Назначьте этот набор разрешений через группу.
Основные особенности:
Cost Insights Viewer — набор разрешений как уровня аккаунта, так и уровня проекта.
Доступ только для чтения к данным о затратах и экономии по проектам, моделям и заданиям.
Доступ только для чтения к подключениям, учётным данным для метаданных платформы, проектам, заданиям и метаданным.
Нет возможности настраивать или редактировать параметры Cost Insights.
Доступ к dbt Catalog.
Администратор баз данных (Database admin)
Администраторы баз данных управляют настройками взаимодействия между dbt и используемыми базами данных.
Основные особенности:
Database admin — набор разрешений уровня проекта.
Возможность настраивать и поддерживать конфигурации Semantic Layer.
Доступ для записи к настройкам платформы данных в окружениях (учётным данным, вычислительным ресурсам хранилища, схеме для каждого окружения), включая:
Редактирование настроек профиля, таких как имя профиля, учётные данные развёртывания, расширенные атрибуты и переопределения подключения, например schema, role, database и т. д. (набор полей зависит от платформы данных).
Создание новых профилей для доступных проектов, включая выбор подключения, с которым связан профиль
Подходит для случаев, когда администраторам хранилища данных нужен доступ к dbt только для настройки платформы данных в окружениях.
Доступ только для чтения к подключениям уровня аккаунта, настройкам репозиториев Git, заданий и запусков.
Доступ к Catalog.
Ограниченный доступ к переменным окружения. В следующей таблице показано, что разрешено на каждом уровне:
Уровень
Доступ
Задание
Возможность переопределить значение переменной окружения для задания
Окружение
Только чтение. Нельзя создавать, редактировать или удалять переменные окружения
Учётные данные пользователя
Нет доступа, поскольку этот набор не включает доступ к Studio IDE
Предоставление доступа для записи к окружению этого не меняет. Оно расширяет разрешения для заданий и запусков до уровня записи, но доступ к переменным окружения остаётся доступом только для чтения.
Разработчик (Developer)
Набор разрешений Developer предназначен для пользователей, которые создают и поддерживают разрабатываемые модели dbt и управляют их работой в рабочей среде. Это основной набор разрешений для пользователей, работающих в IDE; его не следует путать с лицензией Developer.
Основные особенности:
Developer — набор разрешений уровня проекта.
Возможность создавать, редактировать и тестировать код dbt в IDE.
Доступ только для чтения к базовым настройкам окружений, заданий, запусков и Git.
Пользователи управляют своими учётными данными для хранилищ данных и Git.
Доступ к Catalog.
Администратор миграции на v2 (v2 Migration Admin)
Этот набор разрешений позволяет пользователям выполнять действия в рамках перехода на dbt v2. Рекомендуем предоставлять это разрешение только пользователям, которые активно занимаются миграцией проекта на dbt v2.
По умолчанию всем пользователям доступен интерфейс перехода на dbt v2. Если настройка разрешений на обновление включена, выполнять обновления могут только пользователи с набором разрешений v2 Migration Admin или Account admin. Если настройка отключена (флажок не установлен), обновления не ограничены.
v2 Migration Admin — назначается только учётным записям пользователей. Нельзя назначать сервисным токенам.
Account admin — назначается учётным записям пользователей или сервисным токенам. Позволяет выполнять обновления как пользователям, так и сервисным токенам.
Доступ только для чтения к подключениям и публичным моделям.
Доступ к Catalog.
Создатель заданий (Job creator)
Job creator — набор разрешений уровня проекта с ограниченной областью действия для пользователей, которым нужно управлять заданиями в назначенных проектах без более широкого административного доступа.
Основные особенности:
Job creator — набор разрешений уровня проекта.
Возможность создавать, редактировать и запускать задания в окружениях тех типов, для которых у группы есть доступ для записи к окружению. Без доступа для записи действия с заданиями и запусками ограничены чтением.
Нет возможности создавать или удалять окружения либо редактировать переменные окружения.
Более ограниченный доступ, чем у Job admin, который позволяет редактировать окружения, переменные окружения и конфигурации платформы данных.
Запуск заданий (Job runner)
Job runner — специализированный набор разрешений для пользователей, которым нужен доступ для запуска заданий и просмотра результатов.
Основные особенности:
Job runner — набор разрешений уровня проекта.
Возможность запускать задания.
Доступ только для чтения к заданиям, включая их статус и результаты.
Другого доступа к функциям dbt нет.
Просмотр заданий (Job viewer)
Job viewer позволяет пользователям отслеживать и проверять выполнение заданий в dbt. Пользователи с этой ролью могут просматривать статус, журналы и результаты заданий, но не могут запускать или изменять их.
Основные особенности:
Job viewer — набор разрешений уровня проекта.
Доступ только для чтения к результатам, статусу и журналам заданий.
Другого доступа к функциям dbt нет.
Доступ к Catalog.
Управление приложениями маркетплейса (Manage marketplace apps)
Manage marketplace apps — специализированный набор разрешений, связанный с приложениями маркетплейса dbt. Обычно используется для Snowflake Native App.
Основные особенности:
Manage marketplace apps — набор разрешений уровня аккаунта.
Используется исключительно для интеграций с приложениями маркетплейса.
Не предназначен для обычного назначения пользователям или группам.
Метаданные (только Discovery API)
Metadata — набор разрешений для интеграций с Discovery API, предоставляющий доступ только для чтения.
Основные особенности:
Metadata — набор разрешений уровня проекта.
Доступ только для чтения к метаданным моделей dbt, запусков, источников и тестов.
Нет доступа для изменения, выполнения или управления заданиями dbt, репозиториями и пользователями.
Другого доступа к функциям dbt нет.
Управление уведомлениями (Notification Manager)
Набор разрешений Notification Manager позволяет пользователям настраивать уведомления о заданиях для Slack, Microsoft Teams и электронной почты и управлять ими без полного доступа Account Admin. Он идеально подходит руководителям команд и сотрудникам, отвечающим за эксплуатацию, которым нужно управлять получателями оповещений о заданиях.
Основные особенности:
Notification Manager — набор разрешений уровня аккаунта.
Возможность создавать, редактировать и удалять правила уведомлений о заданиях для получателей в Slack, Microsoft Teams и по электронной почте во всех проектах аккаунта.
Доступ только для чтения к участникам (для заполнения списка выбора получателей).
Доступ только для чтения к статусу конфигурации OAuth для Slack и Microsoft Teams (для просмотра состояния подключения интеграции со Slack и Microsoft Teams).
Подключать и отключать интеграцию со Slack или Microsoft Teams по-прежнему могут только пользователи с разрешениями Account Admin.
Нет доступа к другим настройкам аккаунта, заданиям, запускам и окружениям.
Создатель проектов (Project creator)
Набор разрешений Project creator позволяет создавать, конфигурировать и настраивать новые проекты. Рекомендуется для администраторов команд, которые будут отвечать за проект.
Основные особенности:
Project creator — набор разрешений уровня аккаунта.
Единственный набор разрешений, помимо Account admin, позволяющий создавать проекты.
Ограниченный доступ к настройкам аккаунта. Создатель проектов может создавать и редактировать подключения, приглашать пользователей, создавать группы и назначать лицензии.
Неограниченный доступ к конфигурациям проектов.
Доступ к Catalog
Администратор безопасности (Security admin)
Администраторы безопасности имеют ограниченный доступ к настройкам и политикам безопасности аккаунта dbt. Этот набор предназначен для сотрудников службы безопасности, которым нужно обеспечивать соблюдение стандартов безопасности и контролировать внедрение передовых практик безопасности во всём аккаунте. Лицензия типа IT включает этот набор разрешений по умолчанию.
Основные особенности:
Security admin — набор разрешений уровня аккаунта.
Возможность создавать и редактировать пользователей и группы, а также назначать лицензии.
Возможность создавать и редактировать настройки аутентификации и SSO.
Возможность создавать и редактировать ограничения по IP-адресам, просматривать сервисные токены и управлять доступом пользователей.
Нет доступа к заданиям, запускам, окружениям и IDE.
Семантический слой (Semantic Layer)
Специализированный набор разрешений, строго ограниченный выполнением запросов к Semantic Layer с помощью сервисного токена.
Основные особенности:
Semantic Layer — набор разрешений уровня проекта.
Возможность только выполнять запросы к Semantic Layer.
Другого доступа к функциям dbt нет.
Заинтересованная сторона и доступ только для чтения (Stakeholder и Read-Only)
Stakeholder и Read-Only — идентичные наборы разрешений, похожие на Account Viewer, но без доступа к конфиденциальным данным, таким как настройки аккаунта, платёжная информация или журналы аудита. Подходят тем, кому нужно отслеживать проекты и их конфигурации.
Основные особенности:
Stakeholder — набор разрешений уровня проекта.
Доступ только для чтения к проектам, окружениям, заданиям и запускам.
Доступ только для чтения к информации о пользователях и группах.
Доступ к Catalog.
Нет доступа к IDE.
Ограниченный доступ к содержимому журналов аудита, исключающий конфиденциальную информацию, такую как настройки пользователей и изменения на уровне аккаунта.
Администратор команды (Team admin)
Team admin — административный набор разрешений для руководителей команд и пользователей с аналогичными обязанностями. Эти разрешения позволяют управлять проектами команды.
Основные особенности:
Team admin — набор разрешений уровня проекта.
Доступ для управления проектами команды пользователей. Область действия ограничена, но доступ можно расширить с помощью разрешений для окружений.
Доступ только для чтения ко многим настройкам аккаунта (за исключением конфиденциальных данных, таких как платёжная информация и поставщики аутентификации).
Доступ к Catalog.
Типы лицензий переопределяют разрешения групп
Типы пользовательских лицензий всегда имеют приоритет над наборами разрешений, назначенными через группы. Например, пользователь с лицензией Read-Only не может выполнять административные действия, даже если он состоит в группе Account Admin.
Это гарантирует, что ограничения, связанные с лицензией, всегда применяются независимо от членства в группах.
Разрешения:
Разрешения:
Разрешения уровня аккаунта — Разрешения, связанные с управлением аккаунтом dbt. Например, управление оплатой и настройками аккаунта.
Разрешения уровня проекта — Разрешения, связанные с проектами в dbt. Например, управление репозиториями и доступом к Studio IDE или dbt platform CLI.
примечание
Некоторые наборы разрешений предоставляют доступ к настройкам окружения только для чтения. Этот доступ может быть расширен за счёт более высоких привилегий, если пользователь включён в группу, для которой настроен доступ к окружению с правом записи.
Наборы разрешений уровня аккаунта позволяют управлять аккаунтом dbt и его настройками (например, создавать сервисные токены, приглашать пользователей и настраивать SSO). Они также предоставляют разрешения на уровне проекта. Набор разрешений Account Admin — это наивысший уровень доступа, который можно назначить.
(W)rite — Создание нового или изменение существующего. Включает отправку, создание, удаление, распределение, изменение и разработку.
(R)ead — Может просматривать, но не может создавать или изменять какие-либо поля.
(W)rite — Создание новых или изменение существующих. Включает send, create, delete, allocate, modify и develop.
(R)ead — Можно просматривать, но нельзя создавать или изменять какие‑либо поля.
*Наборы разрешений с доступом на запись (W) к настройкам аккаунта позволяют изменять настройки на уровне аккаунта. Набор разрешений Notification Manager предоставляет отдельный доступ на запись к уведомлениям о заданиях (Slack, Microsoft Teams и электронная почта), не требуя полного доступа к настройкам аккаунта.
**Набор разрешений Cost Insights Admin позволяет изменять учётные данные для метаданных платформы и настройки Cost Insights в настройках подключения, хотя для подключений этот набор разрешений предоставляет доступ только на чтение (R).
Доступ к учётным данным
Пользователи могут открыть страницу Credentials в разделе Your profile, если у них есть разрешение develop_access или user_credential_write хотя бы в одном проекте.
Администратор может предоставить разрешение user_credential_write любой группе независимо от назначенного ей набора разрешений. Пользователи, у которых есть только разрешение user_credential_write, могут настраивать на этой странице учётные данные для хранилища данных и Git; для переопределения переменных окружения и версии dbt по-прежнему требуется разрешение develop_access.
Наборы разрешений на уровне проекта позволяют выполнять различные задачи в рамках проектов. В первую очередь они предоставляют доступ к ресурсам уровня проекта, таким как репозитории и Studio IDE или dbt platform CLI, но также могут включать некоторые разрешения уровня аккаунта.
Наборы разрешений проекта позволяют вам работать с проектами в разных ролях. В первую очередь они предоставляют доступ к разрешениям уровня проекта, таким как репозитории и или , но также могут включать некоторые разрешения уровня аккаунта.
Запись (W) — Создание новых или изменение существующих объектов. Включает send, create, delete, allocate, modify и develop.
Чтение (R) — Просмотр без возможности создавать или изменять какие-либо поля.
*Cost Insights Admin позволяет изменять учётные данные для доступа к метаданным платформы и настройки Cost Insights в разделе Connection settings, хотя для этого набора разрешений доступ к подключениям (Connections) предоставляется только для чтения (R).
*По умолчанию эти разрешения предоставляют доступ только для чтения (R), но с помощью разрешений для сред его можно изменить на доступ для записи (W). Эта настройка позволяет пользователям с этими наборами разрешений создавать, изменять и удалять задания и их запуски. Она не позволяет им создавать или удалять среду. Доступ для записи (W) к средам — это отдельное право. Оно есть у Admin и Job admin и включает создание и удаление сред.
**Пользовательские переменные среды для ролей Developer и Analyst задаются в разделе Credentials настроек учетной записи (Account settings).
***Набор разрешений Analyst read также включает user_credential_write, что позволяет пользователям управлять своими учетными данными на странице Credentials (в разделе Your profile).
****Database admin может переопределять значение переменной среды для задания, но не может создавать, изменять или удалять переменные среды на уровне среды. Включение доступа для записи в среду не меняет этого. Подробнее см. в разделе Database admin.