Embedded data: beperken op basis van gebruikers-attributen

Samenvatting

Embedded data in ThoughtSpot gebruikt ABAC en RLS-variabelen om per gebruiker alleen toegestane rijen te tonen.

Embedded data en ThoughtSpot ABAC

ThoughtSpot koppelt attribute-based access control aan row-level security via formulevariabelen. Voor elk attribuut, zoals regio of productlijn, maak je een variabele aan. Een RLS-regel leest die waarde met `ts_var()` op iedere tabel met afgeschermde gegevens.

De backend geeft de waarden mee in een aangepast authenticatietoken. Daardoor kan één dashboard per gebruiker andere rijen tonen, zonder aparte dashboards of groepen voor elke combinatie van rechten. ThoughtSpot Cloud ondersteunt ABAC via RLS standaard vanaf versie 26.4.0.cl.

De oudere methode gaf `filter_rules` en parameters mee in een JWT. Die aanpak is deprecated sinds 26.3.0.cl. Bestaande configuraties blijven werken, maar nieuwe implementaties horen variabelen te gebruiken. De documentatie is gecontroleerd tegen ThoughtSpot Cloud 26.10.0.cl uit oktober 2026.

Waarom ABAC in ThoughtSpot telt

ABAC koppelt toegang aan eigenschappen van een gebruiker, niet aan groepslidmaatschap. Verandert iemand van regio of koopt een klant een productlijn bij, dan past de backend de tokenwaarden aan. Het dashboard en de groepsstructuur hoeven daarvoor niet opnieuw te worden ingericht.

Dat model past bij embedded analytics in multi-tenant SaaS-toepassingen. Eén applicatie kan gegevens van meerdere klanten tonen, terwijl de server de RLS-regel uitvoert. Ook Spotter, de AI-analist van ThoughtSpot, ziet volgens de documentatie alleen gegevens waarvoor de gebruiker toegang heeft.

De controle gaat verder dan de configuratie zelf. Controleer bij een vergelijking van tools hoe een lege attribuutwaarde werkt, of waarden kunnen uitlekken via zoeksuggesties of AI-antwoorden en of attributen bij het aanmelden kunnen worden meegegeven.

Concrete takeaway voor ThoughtSpot-implementaties

Gebruik voor nieuwe implementaties formulevariabelen, `ts_var()` en RLS per afgeschermde tabel. Test daarnaast expliciet lege waarden, gewijzigde attributen en Spotter-antwoorden. Plan voor bestaande JWT-configuraties een migratiebeoordeling, maar behandel de oude methode niet als direct uitgeschakeld.