Fiche concept

Contrôles d’accès aux données (DAC)

À jour au 2026-07-24T14:00:00Z

Édité par Cédric-Olivier Mâry, éditeur et directeur de la publication — 27 ans d'écosystème SAP. Comment ces pages sont produites, et où intervient l'automatisation.

Qu'est-ce que Contrôles d’accès aux données (DAC) ?

Une seule règle DAC au niveau Catalog gouverne tous les consommateurs à la fois — SAC, Joule, Delta Sharing, OData, JDBC — remplaçant les trois ou quatre politiques row-security qu'un warehouse générique exigerait.

Les Data Access Controls, ou DAC, sont le mécanisme de sécurité au niveau du catalogue de SAP Datasphere qui restreint quelles lignes et quelles colonnes un utilisateur donné est autorisé à voir. La propriété déterminante n'est pas la logique du prédicat elle-même — la sécurité au niveau ligne existe dans toute base de données mature — mais l'endroit où vit la règle : une règle DAC est attachée une seule fois, au niveau de l'objet catalogue, et chaque consommateur qui lit à travers cet objet hérite automatiquement de la même restriction. Récits SAC, agents Joule, partenaires Delta Sharing, clients OData, connexions JDBC — une seule règle, appliquée de manière identique partout, sans politique séparée à maintenir outil par outil.

Pourquoi cela compte plus qu'il n'y paraît

Pourquoi c'est important

Un prédicat unique appliqué à la couche de vue exposée la plus basse atteint tout consommateur downstream, éliminant la dérive de politique entre outil BI, warehouse et gateway API.
Le pattern filtre région/géographie sert aussi de mécanisme de conformité GDPR — une seule règle couvre le reporting commercial et l'obligation réglementaire.
Les règles DAC sont des objets Catalog nommés, versionnés, code-reviewables — la politique de sécurité devient un artefact auditable au lieu d'une config tribale éparpillée.

Points clés

Sécurité au niveau des lignes + colonnes à l'échelle du catalogue ; une seule règle atteint SAC + Joule + Delta Share + OData + JDBC.
Le prédicat référence des attributs de session ($$session_user) et des colonnes de l'objet cible.
Se lier au plus bas niveau de vue exposée — jamais seulement sur l'Analytic Model.
Cinq modèles canoniques : région · centre de coûts · segment · fenêtre temporelle · masquage de colonne PII.
La table de mapping d'autorisations est détenue par RH/IAM, rafraîchie toutes les heures, branchée sur les claims de l'IdP.
Le push-down est préservé : la réécriture de requête ajoute une clause WHERE, HANA exécute comme un plan standard.
DAC vs rôles SAC : DAC = portée des lignes (cross-tool) ; les rôles SAC = accès aux objets uniquement.
Surcoût de 3-5 ms par règle et par requête ; au-delà de ~10 règles empilées, consolider via un mapping composite.
Data Access Controls (DAC) n'est maîtrisé que lorsqu'il change une décision d'acheteur nommée.
Commencer par le contrat sémantique et le modèle de contrôle avant de démontrer l'outil.

Termes employés sur cette page

DAC (Data Access Control): Règle de sécurité ligne/colonne au niveau du Catalog, appliquée au moment de la réécriture de requête.
DAC predicate: Expression booléenne SQL qui décide si une ligne franchit le filtre de sécurité pour l'utilisateur appelant.
Session attribute: Valeur par utilisateur résolue à partir des claims de l'IdP, des appartenances de groupe ou de tables de correspondance. Référencée sous la forme $$session_user.X.
Authorization mapping table: Table gérée par le client faisant correspondre USER_ID aux périmètres autorisés (région, centre de coûts, segment). Jointe par les prédicats DAC.
Column masking: Variante de DAC qui renvoie une chaîne fixe (p. ex. '***MASKED***') au lieu de la vraie valeur de la colonne lorsque la règle se déclenche.
Cross-tool reach: Propriété qui définit la DAC — une règle sur un objet du catalog s'applique à tout consommateur qui lit l'objet, et pas seulement à un outil de BI.
Query-rewrite: Phase de l'optimiseur Datasphere où le SQL de l'utilisateur est encapsulé dans des clauses WHERE / SELECT supplémentaires pour appliquer la DAC. Push-down préservé.
ABAC: Attribute-Based Access Control — fonctionnalité en preview, héritage de politiques piloté par tags depuis la hiérarchie du Catalog. GA visée au S2 2026.

Sources

Fiche complète réservée aux abonnés. Ce que la fiche complète ajoute : le cadre de décision complet · la comparaison SAP · Snowflake · Databricks · Fabric · les pièges courants et leur correctif · l'aide-mémoire · les schémas d'architecture · les blocs de code · les chiffres à citer.

Ouvrir dans l'application →

Contrôles d’accès aux données (DAC)

Qu'est-ce que Contrôles d’accès aux données (DAC) ?

Pourquoi cela compte plus qu'il n'y paraît

Pourquoi c'est important

Points clés

Termes employés sur cette page

Sources

Concepts liés

Modules d'académie associés

Études approfondies

Guides SAP analytics & TJM