Вы реализуете озеро данных для аналитики и должны ограничить группу DataScientists доступом только для чтения к пути /raw/sales в пределах одного контейнера. Они не должны видеть данные в других папках. Новые файлы в /raw/sales должны наследовать те же разрешения. Что вы должны сделать?

Для реализации озера данных с детализированным контролем доступа и наследованием разрешений необходимо использовать учетную запись хранения с включенным иерархическим пространством имен (Azure Data Lake Storage Gen2). Это позволяет применять списки контроля доступа (ACL) в стиле POSIX. Назначение роли Storage Blob Data Reader на уровне учетной записи хранения предоставит доступ ко всему контейнеру, а не только к указанному пути. SAS на уровне контейнера также предоставит слишком широкий доступ и не поддерживает наследование разрешений. Включение протокола NFS не решает задачу детализированного контроля доступа и наследования. Установка ACL в стиле POSIX для каталога /raw/sales с разрешениями r-x для группы DataScientists и настройка ACL по умолчанию для этого каталога гарантирует, что новые файлы будут наследовать эти разрешения, обеспечивая требуемый доступ только для чтения к указанному пути.