Un système efficace de gestion des autorisations pour un catalogue de données

Le catalogue de données valorise l’ensemble des ressources de données disponibles en s’appuyant sur deux types d’informations : d’une part, des informations purement techniques qui sont automatiquement synchronisées à partir de leurs sources ; d’autre part, des informations métier issues du travail des gestionnaires de données. Ces dernières sont mises à jour manuellement et présentent donc des risques pour l’ensemble de l’organisation.

Un système de gestion des autorisations est donc indispensable pour définir et contrôler les droits d'accès des utilisateurs du catalogue. Dans cet article, nous détaillons les caractéristiques fondamentales et les approches possibles pour mettre en place un système de gestion des autorisations efficace, ainsi que la solution mise en œuvre par la plateforme Actian Data Intelligence catalogue de données.

Système de gestion des autorisations : un outil indispensable pour l'ensemble de l'organisation

Pour le catalogue de données puisse avoir confiance dans les informations qu’ils consultent, il est essentiel que la documentation relative aux objets catalogués soit pertinente, de grande qualité et, surtout, fiable. Vos utilisateurs doivent pouvoir facilement trouver, comprendre et utiliser les ressources de données mises à leur disposition.

L'origine des informations de catalogue et de l'automatisation

Un catalogue de données intègre catalogue de données deux types d’informations. D’une part, il s’agit d’informations purement techniques provenant directement de la source de données. Ces informations sont synchronisées de manière entièrement automatisée et continue entre le catalogue de données chaque source de donnéesafin de garantir leur exactitude et leur actualité. D’autre part, le catalogue contient l’ensemble de la documentation métier ou organisationnelle, issue du travail des responsables de données. Ces informations ne peuvent pas être automatisées ; elles sont mises à jour manuellement par les gestion des données de l’entreprise.

Un système de gestion des autorisations est une condition préalable à l'utilisation d'un catalogue de données

Pour gérer cette deuxième catégorie d'informations, le catalogue doit intégrer des mécanismes de contrôle des accès et des saisies. En effet, il n'est pas souhaitable qu'un utilisateur catalogue de données utilisateur votre organisation catalogue de données créer, modifier, importer, exporter, voire supprimer des informations sans avoir reçu d'autorisation préalable. Un système de gestion des autorisations utilisateur est donc indispensable ; il joue le rôle de gardien des droits d'accès des utilisateurs.

Les trois caractéristiques fondamentales d'un système de gestion des autorisations catalogue de données

La mise en œuvre d'un système de gestion des autorisations à l'échelle de l'entreprise doit répondre à un certain nombre d'attentes dont il convient de tenir compte lors de sa conception. Parmi celles-ci, nous avons choisi, dans cet article, de nous concentrer sur trois caractéristiques fondamentales d'un système de gestion des autorisations : son niveau de granularité et sa flexibilité, sa lisibilité et son auditabilité, ainsi que sa facilité d'administration.

Granularité et flexibilité

Tout d'abord, un système de gestion des autorisations doit offrir un niveau adéquat de granularité et de flexibilité. Certaines actions doivent être accessibles à l'ensemble du catalogue pour faciliter son utilisation. D'autres actions doivent être limitées à certaines parties du catalogue uniquement. Certains utilisateurs disposeront de droits globaux sur tous les objets du catalogue, tandis que d'autres ne pourront modifier que la partie qui leur a été attribuée. Le système de gestion des autorisations doit donc permettre cette gamme de possibilités, allant de l'autorisation globale jusqu'au niveau d'un objet spécifique du catalogue.

Nos clients sont de toutes tailles et présentent des niveaux de maturité très hétérogènes en matière de gouvernance des données. Certains sont des start-ups, d’autres de grandes entreprises. Certains disposent d’une culture des données déjà bien intégrée à leurs processus, tandis que d’autres n’en sont qu’aux prémices de leur processus d’adoption de cette culture. Le système de gestion des autorisations doit donc être suffisamment flexible pour s'adapter à tous les types d'organisations.

Lisibilité et vérifiabilité

Deuxièmement, un système de gestion des autorisations doit être claire et facile à comprendre. Lors d’un audit ou d’un examen des autorisations du système, un administrateur qui explore un objet doit pouvoir déterminer rapidement qui a la possibilité de le modifier. À l’inverse, lorsqu’un administrateur consulte les détails du jeu d’autorisations utilisateur, il doit pouvoir déterminer rapidement le périmètre attribué à cet utilisateur les actions qu’il est autorisé à effectuer sur ce périmètre.

Cela permet simplement de s'assurer que les bonnes personnes ont accès aux zones appropriées et disposent du niveau d'autorisation adapté à leur fonction au sein de l'entreprise.

Vous est-il déjà arrivé d'être confronté à un système d'autorisations si complexe qu'il était impossible de comprendre pourquoi un utilisateur autorisé à accéder à certaines informations ? Ou, au contraire, pourquoi il ne le pouvait pas ?

Simplicité de gestion

Enfin, un système de gestion des autorisations doit faire preuve de résilience face à l’augmentation constante du volume du catalogue. Nous savons aujourd’hui que nous vivons dans un monde de données : 2,5 exaoctets de données ont été générés chaque jour en 2020, et on estime que ce chiffre atteindra 463 exaoctets par jour en 2025. Nouveaux projets, nouveaux produits, nouveaux usages : les entreprises doivent faire face quotidiennement à l’explosion de leurs ressources de données.

Pour rester pertinent, un catalogue de données évoluer au rythme des données de l'entreprise. Le système de gestion des autorisations doit donc être capable de s'adapter aux changements de contenu, voire aux mouvements de personnel au sein de l'organisation.

Différentes approches pour la conception d'un système de gestion catalogue de données

Il existe différentes approches pour concevoir un système de gestion catalogue de données , qui répondent plus ou moins aux principales caractéristiques attendues et mentionnées ci-dessus. Nous avons choisi d'en présenter trois en détail dans cet article.

Crowdsourcing

Tout d'abord, l'approche du « crowdsourcing », qui repose sur la confiance accordée à la communauté pour s'autocorriger. Une poignée d'administrateurs peut modérer le contenu, et tous les utilisateurs peuvent contribuer à la documentation. Un système d'audit vient généralement compléter le dispositif afin de s'assurer qu'aucune information n'est perdue par erreur ou par malveillance. Dans ce cas, il n'y a pas de contrôle avant la documentation, mais une correction collective après coup. C'est généralement le système choisi par les encyclopédies en ligne telles que Wikipédia. Le bon fonctionnement de ces systèmes dépend du nombre de contributeurs et de leurs connaissances, car l'autocorrection ne peut être efficace que grâce à la collectivité.

Ce système répond parfaitement aux exigences de clarté : tous utilisateur utilisateurs disposent du même niveau de droits, ce qui élimine toute ambiguïté quant au contrôle d'accès de utilisateur. Il est également simple à administrer : tout nouvel utilisateur du même niveau de droits que les autres, et tout nouvel objet ajouté au catalogue de données accessible à tous. En revanche, il n'est pas possible de gérer la granularité des droits. Tout le monde peut tout faire et tout voir.

Autorisation associée à utilisateur

La deuxième approche pour concevoir un système de gestion des autorisations consiste à utiliser des solutions dans lesquelles le périmètre est associé au profil utilisateur. Lorsqu'un utilisateur créé dans le catalogue de données, les administrateurs lui attribuent un périmètre qui définit les ressources qu'il pourra consulter et modifier. Dans ce cas, tous les contrôles sont effectués en amont, et un utilisateur accéder à une ressource par inadvertance. C'est le type de système utilisé par un système d'exploitation tel que Windows, par exemple.

Ce système présente l'avantage d'être très sécurisé ; il n'y a aucun risque qu'une nouvelle ressource soit visible ou modifiable par des personnes qui n'en ont pas le droit. Cette approche répond également au besoin de clarté : pour chaque utilisateur, toutes les ressources accessibles sont faciles à trouver. Le niveau de granularité attendu est également satisfaisant, puisqu'il est possible d'attribuer les données ressource par ressource.

En revanche, la gestion est plus complexe : chaque fois qu’une nouvelle ressource est ajoutée au catalogue, elle doit être intégrée aux périmètres d’accès des utilisateurs concernés. Il est possible de pallier cette limitation en créant des périmètres dynamiques. Pour ce faire, vous pouvez définir des règles qui attribuent des ressources aux utilisateurs ; par exemple, tous les fichiers PDF seront accessibles à untel. Mais des règles contradictoires peuvent facilement apparaître, ce qui complique la lisibilité du système.

Autorisation associée à la ressource

La dernière approche majeure en matière de conception d'un système de gestion des autorisations catalogue de donnéesconsiste à recourir à des solutions dans lesquelles les actions autorisées sont associées à la ressource à modifier. Pour chaque ressource, les autorisations possibles sont définies utilisateur utilisateur. C'est donc la ressource qui dispose de son propre ensemble d'autorisations. En examinant la ressource, il est alors possible de savoir immédiatement qui peut la consulter ou la modifier. C'est, par exemple, le type de système utilisé par un système d'exploitation de type UNIX.

Le besoin de clarté est parfaitement satisfait : un administrateur peut immédiatement voir les droits des différents utilisateurs lorsqu'il consulte la ressource. Il en va de même pour le besoin de granularité : cette approche permet d'attribuer des droits au niveau le plus global grâce à un système d'héritage, ou au niveau le plus détaillé, directement sur la ressource. Enfin, en termes de facilité d'administration, il est nécessaire d'associer chaque nouvel utilisateur différentes ressources, ce qui peut s'avérer fastidieux. Il existe toutefois des systèmes de groupes permettant d'atténuer cette complexité.

Le modèle de gestion catalogue de données du catalogue de données : simple, clair et flexible

Parmi ces approches, voyons plus en détail celle retenue par la plateforme Actian Data Intelligence et comment elle est mise en œuvre.

L'approche axée sur les ressources a été privilégiée

Résumons les différents avantages et inconvénients de chacune des approches évoquées ci-dessus. Tant dans les systèmes de gestion des autorisations utilisateur ressources que dans utilisateur, le besoin de granularité est bien pris en compte : ces systèmes permettent d’attribuer des autorisations ressource par ressource. En revanche, dans le cas du crowdsourcing, la philosophie de base est que tout le monde peut accéder à tout. La lisibilité est clairement meilleure dans les systèmes de crowdsourcing ou dans ceux où les autorisations sont associées à la ressource. Elle reste satisfaisante dans les systèmes où les autorisations sont associées à utilisateur, mais souvent au détriment de la simplicité d’administration. Enfin, la simplicité d’administration est nettement optimisée pour l’approche de crowdsourcing et dépend de ce que vous allez modifier le plus : la ressource ou les utilisateurs.

L'approche de crowdsourcing ne répondant pas à nos besoins en matière de granularité, nous l'avons écartée. Il nous restait alors deux options : un modèle d'autorisation basé sur les ressources ou un modèle d'autorisation utilisateur. La lisibilité étant légèrement meilleure avec le modèle d'autorisation basé sur les ressources, et le contenu du catalogue devant évoluer plus rapidement que le nombre d'utilisateurs, l'option d'autorisation utilisateur nous a semblé la moins pertinente.

L'option que nous avons choisie au sein de la plateforme Actian Data Intelligence était donc la troisième : utilisateur sont associées à la ressource.

Fonctionnement du système de gestion catalogue de données du catalogue de données

Dans catalogue de données de la plateforme Actian Data Intelligence, il est possible de définir utilisateur pour chaque utilisateur dispose du droit de manipuler les objets de l’ensemble du catalogue, d’un ou plusieurs types d’objets, ou uniquement ceux relevant de son périmètre. Cela permet une granularité optimale, mais aussi la définition de rôles plus globaux. Par exemple, les « super-stewards » pourraient disposer d’une autorisation pour intervenir sur des parties entières du catalogue, telles que le glossaire.

Nous associons ensuite à chaque objet du catalogue une liste de conservateurs, c'est-à-dire les personnes chargées de documenter cet objet. Ainsi, il suffit de consulter les détails de l'objet pour savoir immédiatement à qui s'adresser pour corriger ou compléter la documentation, ou pour obtenir une réponse à une question le concernant. Le système est donc clair et facile à comprendre. Le champ d'action des utilisateurs est défini avec précision grâce à un système granulaire, jusqu'au niveau de l'objet dans le catalogue.

Lorsqu'un nouvel utilisateur ajouté au catalogue, il est alors nécessaire de définir son champ d'action. Pour l'instant, cette configuration s'effectue via la modification groupée des objets. Afin de simplifier encore davantage la gestion, il sera bientôt possible de définir des groupes d'utilisateurs spécifiques. Ainsi, lorsqu'un nouveau collaborateur arrive, il ne sera plus nécessaire de l'ajouter nommément à chaque objet relevant de son champ d'action. Il suffira de l'ajouter au groupe pour que son champ d'action lui soit automatiquement attribué.

Enfin, nous avons volontairement choisi de ne pas mettre en place workflow de validation de la documentation dans le catalogue. Nous estimons que la responsabilisation de l’équipe est l’un des facteurs clés de la réussite de catalogue de données . C’est pourquoi le seul contrôle que nous avons mis en place est celui qui détermine les droits et le périmètre utilisateur. Une fois ces deux éléments définis, les personnes en charge de la documentation sont libres d’agir. Le système est complété par un journal des événements relatifs aux modifications, afin de garantir une traçabilité totale, ainsi que par un système de discussion sur les objets. Cela permet à chacun de suggérer des modifications ou de signaler des erreurs dans la documentation.

Si vous souhaitez en savoir plus sur notre modèle de gestion des autorisations ou obtenir davantage d'informations sur notre catalogue de données.

À propos de l'auteur

À propos de Actian Corporation

Actian permet aux entreprises de gérer et de gouverner leurs données en toute confiance, quelle que soit leur ampleur. Les organisations font confiance aux solutions gestion des données d'intelligence des données d'Actian pour rationaliser leurs environnements de données complexes et accélérer la mise à disposition de données prêtes pour l'IA. Conçues pour être flexibles, les solutions Actian s'intègrent de manière transparente et fonctionnent de manière fiable dans les environnements sur site, dans le cloud et hybrides. Pour en savoir plus sur Actian, la division données et IA de HCL Software, rendez-vous sur actian.com.