腾讯云多模态智能数据湖 TCLake 的权限体系分为云 API 权限与数据权限两类。本文介绍 TCLake 的二层权限校验流程、数据权限模型，以及用户、角色、所有者等关键概念。
权限校验流程
TCLake 的访问入口分为管控入口与数据访问入口两类，两类入口经过的权限校验路径不同：
管控入口：包括 TCLake 控制台、云 API。请求依次经过 第一层云 API 权限校验 与 第二层数据权限校验，全部通过后才允许执行。
数据访问入口：包括计算引擎（如 Spark、Flink、Trino 等）、REST API、SDK。请求不经过云 API 权限层，直接进入数据权限层校验。
权限校验说明
第一层：云 API 权限
此层级基于腾讯云访问管理 CAM（Cloud Access Management，CAM）集中管理对 TCLake 服务级 API 的调用权限，仅对管控入口（TCLake 控制台、云 API）的请求生效，确保子账号仅能访问其被授权的功能或页面。
TCLake 提供以下两种预设授权策略，可在 CAM 控制台直接关联给子账号、用户组或 CAM 角色。
策略名称 | 权限范围 |
QcloudTccatalogFullAccess | 拥有 TCLake 所有 API 调用权限，可用于全面管理 TCLake 资源 |
QcloudTccatalogReadOnlyAccess | 仅拥有 TCLake 的只读 API ，可查询元数据与监控数据，禁止写入或删除 |
说明：
计算引擎、REST API、SDK 三类数据访问入口的请求不经过云 API 权限层，直接进入数据权限层校验。这些入口的鉴权完全由数据权限层承担。
第二层：TCLake 数据权限
此层级控制 TCLake 内具体资源的访问与使用权限，覆盖数据目录（Catalog）、Schema、数据表、数据卷、模型，以及角色、用户、授权等管理操作。
即使在云 API 权限允许的大前提下，用户对具体数据资源的操作仍需遵循 TCLake 数据权限层的授权规则。
TCLake 提供内置管理员角色拥有全部数据权限：
角色名称 | 角色描述 |
Admin | 多模态智能数据湖 TCLake 管理员，拥有 TCLake 中所有数据权限及授权权限，可新建/删除自定义角色、为用户关联角色、新建 Catalog |
说明：
TCLake 首次开通用户和 CAM 的主账号默认为 Admin，主账号 Admin 不可取消。
TCLake 数据权限模型
TCLake 数据权限层提供以下三种权限模型，分别覆盖组织化批量授权、个体差异化授权、所有者主导授权三类场景。最终用户对资源的有效权限为三种模型授权结果的并集。
模型 | 全称 | 说明 | 适用场景 |
RBAC | Role-Based Access Control，基于角色的访问控制 | 权限挂载到角色上，用户通过加入角色获得权限 | TCLake 的主要授权方式，创建自定义角色管理权限，根据团队岗位标准化授权 |
IBAC | Identity-Based Access Control，基于身份的访问控制 | 权限直接挂载到用户身份上 | 单个用户的临时授权、个体差异化豁免，适用于无法套用角色的临时授权场景，应作为 RBAC 的补充 |
DAC | Discretionary Access Control，自主访问控制 | 资源所有者拥有资源所有权限，且可把权限授予其他用户或角色 | 无需平台管理员介入即可完成跨团队协作授权 |
关键概念
用户
TCLake 用户来源于腾讯云访问管理 CAM 中的子账号/协作者与 CAM 角色，通过 TCLake 用户同步功能拉取并形成统一用户视图，用于在 TCLake 内授予数据权限与角色。
说明：
如果 CAM 用户或 CAM 角色被删除，其在触发 TCLake 用户同步时也会被同步删除。
角色
角色是权限的集合，不能作为账户直接登录，仅决定用户登录后的权限范围。一个角色可被赋予多个用户，一个用户也可被赋予多个角色。
TCLake 中的角色分为以下两类：
角色类型 | 说明 |
内置角色 | Admin（管理员）/AllAccountUsers（所有用户），不支持删除与修改。 |
自定义角色 | 由 Admin 角色新建，用于细粒度权限管理。 |
建议优先创建自定义角色并为角色授予数据权限，后续新增用户时只需将角色赋予新用户即可继承完整权限配置。
所有者
资源的创建者默认为该资源的所有者（Owner）。所有者天然拥有该资源的全部数据权限，包括读、写、变更、授权与删除权限，且权限不可被回收。
所有权继承规则：上层资源的所有者天然拥有其下所有子对象的全部数据权限。例如：
Catalog 的所有者天然拥有该 Catalog 下所有 Schema、数据表、数据卷、模型的全部权限。
Schema 的所有者天然拥有该 Schema 下所有数据表、数据卷、模型的全部权限。
资源类型 | 所有者来源 |
数据目录（Catalog） | 创建 Catalog 的用户为所有者 |
Schema | 创建 Schema 的用户为所有者 |
数据表、数据卷、模型 | 创建该对象的用户为所有者 |
