[Документация Yandex Cloud](../../../index.md) > [Yandex DataLens](../../index.md) > [Yandex DataLens Platform](../index.md) > [Управление доступом](index.md) > Справочник прав доступа

# Справочник прав доступа

В DataLens Platform используются следующие права доступа:

* [для доступа к сервису](#service-roles) — определяют, кто имеет доступ к интерфейсу DataLens Platform и какие операции с метаданными будут доступны пользователям.
* [для доступа к отдельным объектам](#object-roles) — определяют уровень доступа к конкретному объекту, например коллекции, воркбуку или REST-каталогу.

О том, как назначать роли, читайте в разделе [Управление правами доступа](manage-access.md).

## Права доступа к сервису {#service-roles}

### Посещение {#service-visitor}

Право `Посещение` предоставляет минимальный доступ к сервису DataLens Platform. Просмотр или редактирование объектов возможны при наличии соответствующих прав для доступа к этим объектам.

Право доступа `Посещение` можно предоставить с помощью ролей:
* `datalens.tenants.visitor` на уровне экземпляра;
* `datalens.visitor` на уровне организации.

### Администрирование {#service-admin}

Право `Администрирование` (`datalens.tenants.admin`) предоставляет полный доступ к сервису DataLens Platform и всем объектам в нем, а также полный доступ к администрированию метаданных.

Включает разрешения, предоставляемые правами доступа [`Посещение`](#service-visitor) и [`Администрирование метаданных`](#data-catalog-admin).

Право доступа `Администрирование` можно предоставить с помощью ролей:
* `datalens.tenants.admin` на уровне экземпляра;
* `datalens.admin` на уровне организации;
* `datalens.instances.admin` на уровне организации (роль устарела, не рекомендуется использовать).

### Просмотр метаданных {#data-catalog-viewer}

Пользователи с правом `Просмотр метаданных` могут:

* просматривать информацию о поставках данных;
* просматривать информацию о доменах и правах доступа к ним;
* просматривать информацию о данных;
* просматривать информацию о связях данных;
* просматривать информацию о глоссариях;
* просматривать информацию о терминах;
* просматривать информацию о классификациях;
* просматривать информацию о тегах;
* просматривать информацию о квотах.

Право доступа `Просмотр метаданных` можно предоставить с помощью роли `data-catalog.viewer` на уровне организации.

### Использование метаданных {#data-catalog-data-consumer}

Пользователи с правом `Использование метаданных` могут:

* использовать и изменять домены;
* изменять данные и связи данных;
* изменять глоссарии;
* использовать и изменять термины;
* изменять классификации;
* использовать и изменять теги.

Включает разрешения, предоставляемые правом доступа [`Просмотр метаданных`](#data-catalog-viewer).

Право доступа `Использование метаданных` можно предоставить с помощью роли `data-catalog.dataConsumer` на уровне организации.

### Управление разметкой метаданных {#data-catalog-data-steward}

Пользователи с правом `Управление разметкой метаданных` могут создавать, запускать, останавливать, изменять и удалять поставки данных.

Включает разрешения, предоставляемые правом доступа [`Использование метаданных`](#data-catalog-data-consumer).

Право доступа `Управление разметкой метаданных` можно предоставить с помощью роли `data-catalog.dataSteward` на уровне организации.

### Редактирование метаданных {#data-catalog-editor}

Пользователи с правом `Редактирование метаданных` могут:

* создавать, изменять и удалять поставки данных;
* создавать и удалять домены;
* создавать и удалять данные и связи данных;
* создавать и удалять глоссарии, термины, классификации и теги.

Включает разрешения, предоставляемые правом доступа [`Использование метаданных`](#data-catalog-data-consumer).

Право доступа `Редактирование метаданных` можно предоставить с помощью роли `data-catalog.editor` на уровне организации.

### Администрирование метаданных {#data-catalog-admin}

Пользователи с правом `Администрирование метаданных` могут:

* просматривать информацию о правах доступа к метаданным и изменять такие права доступа;
* изменять права доступа к доменам.

Включает разрешения, предоставляемые правами доступа [`Редактирование метаданных`](#data-catalog-editor) и [`Управление разметкой метаданных`](#data-catalog-data-steward).

Право доступа `Администрирование метаданных` можно предоставить с помощью роли `data-catalog.admin` на уровне организации.

## Права для доступа к объектам {#object-roles}

В DataLens Platform доступ можно выдавать к следующим объектам, с учётом вложенности:

* **Коллекция**
   * коллекция;
   * воркбук (доступ распространяется на вложенные подключения, датасеты, чарты, дашборды, отчеты, HTML-страницы и SQL-запросы);
   * общие объекты — подключения или датасеты;
   * рабочее пространство;
   * поставка данных;
   * кластер Apache Airflow™;
   * кластер Apache Spark™;
   * кластер Trino.

* **REST-каталог**
   * пространство имён;
   * таблица;
   * представление.

### Основные доступы {#object-main-roles}

Для каждого объекта доступны доступы четырех уровней: `Ограниченный просмотр`, `Просмотр`, `Редактирование` и `Администрирование`. Каждая следующий доступ включает разрешения, предоставляемые предыдущим. Набор разрешений зависит от типа объекта.

При создании объекта автору автоматически назначается доступ `Администрирование` на этот объект.

#### Ограниченный просмотр {#limited-viewer}

Доступ `Ограниченный просмотр` позволяет просматривать ограниченную информацию об объекте:

* на воркбуке — просматривать вложенные в него чарты и дашборды, а также информацию о назначенных правах доступа к воркбуку;
* на коллекции — просматривать информацию о коллекции, вложенных в нее коллекциях и воркбуках, в том числе просматривать чарты и дашборды вложенных воркбуков;
* на общем объекте — просматривать чарты и дашборды, которые используют общий объект, без прямого доступа к нему;
* на REST-каталоге, пространстве имен, таблице или представлении — просматривать метаданные объекта без чтения данных;
* на рабочем пространстве — просматривать информацию о рабочем пространстве без права его использования;
* на кластере — просматривать информацию о кластере без права выполнения операций.

#### Просмотр {#viewer}

Доступ `Просмотр` позволяет просматривать объект и использовать его без права редактирования:

* на воркбуке — просматривать все вложенные в него объекты, а также информацию о назначенных правах доступа к воркбуку;
* на коллекции — просматривать информацию о коллекции и вложенных в нее коллекциях и воркбуках, а также все объекты вложенных воркбуков;
* на общем объекте — просматривать этот объект и права доступа к нему;
* на REST-каталоге, пространстве имен, таблице или представлении — просматривать метаданные объекта и читать данные;
* на рабочем пространстве — просматривать информацию о рабочем пространстве и использовать его;
* на кластере — просматривать информацию о кластере и выполнять базовые операции.

#### Редактирование {#editor}

Доступ `Редактирование` позволяет изменять объект без права настраивать доступ к нему:

* на воркбуке — редактировать воркбук и все вложенные в него объекты, а также создавать копии воркбука;
* на коллекции — редактировать коллекцию и все вложенные в нее коллекции и воркбуки, создавать их копии, а также создавать новые коллекции и воркбуки внутри;
* на общем объекте — редактировать этот объект;
* на REST-каталоге, пространстве имен, таблице или представлении — управлять объектом без настройки прав доступа;
* на рабочем пространстве — управлять рабочим пространством без редактирования прав доступа;
* на кластере — управлять кластером без редактирования прав доступа.

#### Администрирование {#admin}

Доступ `Администрирование` позволяет полностью управлять объектом, в том числе настраивать права доступа к нему:

* на воркбуке — редактировать, перемещать и удалять воркбук и все вложенные в него объекты, создавать копии воркбука, а также изменять права доступа к нему;
* на коллекции — редактировать, перемещать и удалять коллекцию и все вложенные в нее коллекции и воркбуки, создавать новые объекты внутри, а также изменять права доступа;
* на общем объекте — редактировать, перемещать и удалять этот объект, а также настраивать права доступа к нему;
* на REST-каталоге, пространстве имен, таблице или представлении — управлять объектом и настраивать права доступа к нему;
* на рабочем пространстве — управлять рабочим пространством и настраивать права доступа к нему;
* на кластере — управлять кластером и настраивать права доступа к нему.

### Дополнительные доступы для коллекций {#collection-roles}

#### Посещение коллекции {#collections-visitor}

Доступ `Посещение коллекции` позволяет просматривать информацию о текущей коллекции без доступа ко вложенным в нее объектам.

#### Создание в коллекции {#collections-creator}

Доступ `Создание в коллекции` позволяет просматривать коллекцию и создавать объекты внутри нее, без доступа к существующим объектам внутри нее.

Пользователи с этим правом доступа могут:

* просматривать информацию о текущей коллекции и вложенных в нее воркбуках и коллекциях;
* создавать воркбуки и коллекции внутри текущей коллекции.

Включает разрешения, предоставляемые доступом `Посещение коллекции`.

### Роли для привязки общих объектов {#binding-roles}

_Общие объекты_ — это подключения и датасеты, которые можно переиспользовать и привязывать к нескольким воркбукам для работы разных команд. Роли для привязки можно назначить как на сам общий объект, так и на коллекцию, в которой хранятся общие объекты.

При привязке с делегацией права доступа к общему объекту внутри воркбука не проверяются: объект доступен всем, у кого есть доступ к воркбуку. При привязке без делегации пользователям нужно выдать доступ к оригиналу — общему объекту.

#### Привязки без делегаций {#limited-entry-binding-creator}

Доступ `Привязки без делегаций` позволяет привязывать общий объект к воркбукам без делегации прав доступа.

#### Привязки с делегациями {#entry-binding-creator}

Доступ `Привязки с делегациями` позволяет привязывать общий объект к воркбукам с делегацией или без делегации прав доступа.

#### Полезные ссылки {#see-also}

* [Управление доступом к Yandex DataLens Platform](index.md)
* [Управление правами доступа](manage-access.md)