数据源和工作簿的 RLS 最佳实践

相关文章推荐

奋斗的机器人 · Tableau 和 JDBC - Tableau· 1 月前 ·

呐喊的书签 · 通过查询获取虚拟机 (VM) 信息 - ...· 2 月前 ·

瘦瘦的风衣 · laravel-admin调用时间选择插件_ ...· 1 年前 ·

狂野的荒野 · java布局管理器---BorderLayo ...· 1 年前 ·

傲视众生的鞭炮 · C/C++判断文件/文件夹的状态：文件存在与 ...· 1 年前 ·

苦恼的跑步机 · PHP 类型判断和NULL，空值检查 - ...· 1 年前 ·

</noscript><div id="app" class="wrapper"><header id="tableau-help-article-header" class="container--full-width quick-help-header"><div class="container--centered"><div class="header__back-button"><back-button title="返回"/></div><div class="header__mobile-menu quick-help-hidden"><menu-tree-toggle/></div><div class="header__logo quick-help-hidden"><a href="https://www.tableau.com/zh-cn/"><img src="./Resources/tableau-logo.png" class="header__logo__img" alt="Tableau"/></a></div><div class="header__search"><search-header-help placeholder="搜索"/></div><div class="header__home-button"><home-button title="前往主页"/></div></div></header><div class="container--navigation-top quick-help-hidden content-only-hidden"><div id="help-subheader" class="subheader print-hidden"><div class="container--centered"><h4 class="heading--subheader">Linux 版 Tableau Server 帮助</h4></div></div><div class="container--top-links"><div class="container--centered container--breadcrumbs"><div><breadcrumb-links-help/></div></div><div id="help-container-menu-headings" class="container--menu-headings"><nav class="nav-medium-screen"><menu-heading-links-static-help menu-title="本文内容" :disabled="false" :headings="pageHeadings"/></nav></div></div></div><div class="section--main container--full-width"><div class="container--centered"><nav class="nav-side nav-side--left" role="navigation"><menu-tree-help menu-title="内容"/></nav><article role="main"><h1 id="contentH1">数据源和工作簿的 RLS 最佳实践</h1><div class="caption article__tags content-only-hidden quick-help-hidden"><span class="article__tags--applies-to"> </span><br/><span class="article__tags--role"> </span></div><div id="content-body">&#13; <div role="main" id="mc-main-content"><p>Tableau 中的行级安全性 (RLS) 是指限制特定用户可在工作簿中看到的数据行。这与 Tableau 权限不同，后者用于控制对内容和特性功能的访问。例如，权限控制用户是否可以对工作簿进行注释或编辑，而行级安全性使查看同一仪表板的两个用户能够仅查看允许每个用户查看的数据。</p><p>可通过多种方式在 Tableau 中实现 RLS。例如，您可以在数据源或工作簿级别设置 RLS，或者您可以使用具有数据策略的虚拟连接在连接级别设置 RLS（需要 <span class="VariablesDM_sku">数据管理</span>）。有关备选方案的详细信息，请参见<a href="rls_options_overview.htm" class="MCXref xref" xrefformat="{paratext}">Tableau 中的行级安全性选项概述</a>。</p><p class="note"><b>注意</b>：本主题重点介绍数据源和工作簿的 RLS 最佳实践。有关本主题中概述的概念的更多深入示例，请参考白皮书 <a href="https://www.tableau.com/learn/whitepapers/row-level-security-entitlements-tables" target="_blank" rel="noopener">Best Practices for Row Level Security with Entitlement Tables（适用于具有权利表的行级别安全性的最佳做法）<span class="sr-only">(链接在新窗口中打开)</span></a>或博客 <i>Tableau and Behold</i> 上的 <a href="https://tableauandbehold.com/2016/03/07/how-to-set-up-your-database-for-row-level-security-in-tableau/" target="_blank" rel="noopener">How to Set Up Your Database for Row Level Security in Tableau（如何在 Tableau 中为行级安全性设置数据库）<span class="sr-only">(链接在新窗口中打开)</span></a>。</p><h2 is="heading-item" :level="2" id="rls-工作流程">RLS 工作流程</h2><p>对于实时连接和多表数据提取，基本 RLS 工作流为：</p><ol><li value="1">通过登录到 Tableau Server 或 Tableau Cloud 来标识用户<ul><li value="1">这需要每个用户不同的用户名和安全单点登录（SSO）</li><li value="2">可以使用 Active Directory、LDAP 或 Tableau REST API 来同步用户名和建立权限</li></ul></li><li value="2">从所有可能的数据权利中检索用户的数据权利集<ul><li value="1">这需要一个可将权利链接到 Tableau 用户名的数据结构</li></ul></li><li value="3">数据按该用户的权利进行筛选<ul><li value="1">这通常需要在计算字段中使用用户函数</li></ul></li><li value="4">已发布的筛选数据用于生成内容<ul><li value="1">使用具有数据源筛选器的已发布（而不是嵌入式）数据源可确保无法通过下载工作簿或通过 Web 编辑工作簿来修改 RLS</li></ul></li></ol><p>联接、计算字段和筛选器的设置方式取决于数据的结构以及用户的管理方式。</p><h2 is="heading-item" :level="2" id="权利表">权利表</h2><p>可依据其对数据进行筛选的任何唯一属性组合都是一个权利。最常见的情况是，有单独的表用于指定权利本身并将这些权利映射到用户或用户角色。从性能角度来看，建议取消规范化，因为联接是高开销的操作。</p><p>权利视图（包括映射到用户或角色的权利）与数据联接。然后应用基于用户的数据源筛选器，作为 WHERE 子句，该子句仅为相关用户引入权限，从而引入适当的数据行。（查询优化应确保在联接处理时在查询之前进行筛选，以尽量减少数据重复。有关详细信息，请参见<a href="#Performa" class="MCXref xref" xrefformat="{paratext}">性能和操作的处理顺序</a>。）</p><h3 is="heading-item" :level="3" id="权利表模型">权利表模型</h3><p>通常，有两种表示权利的模型：</p><p><b>完全映射到最深粒度级别</b></p><ul><li value="1">为每个列完全定义权利。</li><li value="2">映射表中有一行适用于用户具有的每个可能的权利。</li><li value="3">此模型需要较少的联接子句。</li></ul><p><b>稀疏权利</b></p><ul><li value="1">为每个层次结构级别定义权利，使用 NULL 表示“全部”状态。</li><li value="2">映射表有一行适用于权利层次结构中的特定级别，这大大减少了层次结构中高级别用户的权利行数。</li><li value="3">此模型需要更复杂的联接和筛选器。</li></ul><h3 is="heading-item" :level="3" id="用户和角色">用户和角色</h3><p>权利的组合通常表示为<i>角色</i>，后者随后链接到多对多映射表中的用户。这允许轻松更改角色或从角色中移除用户，同时仍保留角色及其权利的记录。</p><p>或者，可以创建直接将用户分配给权利的多对多映射表，而不是联接角色表。这将需要更直接管理表中的值，但确实不需要联接。</p><p class="note"><b>注意：</b>与角色或权利关联的用户值需要与 Tableau 站点上的用户名或全名匹配，以便利用 Tableau Desktop 中的用户功能。</p><h3 is="heading-item" :level="3" id="联接">联接</h3><p>无论用于表示权利的模型如何，建议联接所有权利并将表映射到单个非规范化权利视图中。尽管一开始这将导致权利的“爆炸”（高度重复）版本，但用户的数据源筛选器将减少它。如果您计划使用数据提取，您也将需要此视图。</p><p>当一切都是分层的时，最深层粒度方法可能有性能优势 — 您只需在层次结构的最深层级别执行单个联接即可。仅当最低级别的所有属性都不同时，此方法才有效。如果可能存在重复（例如，多个区域中的中央子区域），则需要联接所有列，以实现不同键值的效果。</p><p>实际的详细信息及其性能特征取决于数据系统，需要进行测试。例如，使用单个键可能会提高性能，因为联接仅在一列上执行，但在考虑其他因素时，为所有列正确编制索引可能会提供相同的性能。</p><h2 is="heading-item" :level="2" id="实现行级安全性">实现行级安全性</h2><h3 is="heading-item" :level="3" id="最深的粒度">最深的粒度</h3><p>创建映射权利的去规范化视图后，将会在视图和 Tableau 数据连接对话框中的视图之间设置内部联接。数据可以保留在传统的星型架构中。或者，维度表和事实表可以一起具体化为两个视图。多表数据提取将生成数据提取表以匹配联接，因此创建两个视图将简化生成的数据提取。SQL 将遵循以下基本模式：</p><div><pre>SELECT * &#13; FROM data d INNER JOIN entitlements e ON&#13; d.attribute_a = e.attribute_a AND &#13; d.attribute_b = e.attribute_b AND ... &#13; WHERE e.username = USERNAME()</pre></div><h3 is="heading-item" :level="3" id="稀疏权利">稀疏权利</h3><p>如果您的权利更类似于稀疏权利模型，则由于 NULL 值的原因，将数据联接到权利的自定义 SQL 将稍微复杂一些。从概念上讲，它看起来如下所示： </p><div><pre>SELECT *&#13; FROM data d &#13; INNER JOIN entitlements e ON&#13; (e.region_id = d.region_id OR ISNULL(e.region_id) AND&#13;