Preparar tus fuentes

Antes de conectar una fuente, creá el usuario con el que Teramot va a iniciar sesión y dale los permisos mínimos. Los scripts de abajo son ejemplos para adaptar: reemplazá la base de datos, el esquema, el usuario y la contraseña por los tuyos. Los campos que pide cada conector están en Bases de datos y warehouses y Aplicaciones y fuentes en la nube.

Recomendaciones generales

Un usuario dedicado para Teramot. Hace que sus consultas sean fáciles de auditar y que su acceso sea fácil de revocar sin afectar a otros sistemas.
Solo lectura. Teramot solo ejecuta consultas de lectura en la fuente: no crea tablas, ni siquiera transitorias, y no modifica datos.
Solo lo que vas a cargar. Otorgá permisos solo sobre los esquemas o tablas que pensás cargar. Si una tabla tiene columnas sensibles que no necesitás, creá una vista sin ellas y otorgá permiso sobre la vista.
Una réplica de lectura para bases de datos críticas. Si la base de datos de producción es sensible a la carga, conectá una réplica de lectura.
La actualización incremental necesita una clave única y una columna de modificación en cada tabla. Las vistas no tienen clave declarada y siempre se cargan completas. Mirá Actualización incremental.

CREATE USER teramot WITH PASSWORD '<password>';
GRANT CONNECT ON DATABASE <database> TO teramot;
GRANT USAGE ON SCHEMA <schema> TO teramot;
GRANT SELECT ON ALL TABLES IN SCHEMA <schema> TO teramot;
-- So that new tables are also visible:
ALTER DEFAULT PRIVILEGES IN SCHEMA <schema> GRANT SELECT ON TABLES TO teramot;

Se pueden cargar tablas, vistas y vistas materializadas.

CREATE USER teramot PASSWORD '<password>';
GRANT USAGE ON SCHEMA <schema> TO teramot;
GRANT SELECT ON ALL TABLES IN SCHEMA <schema> TO teramot;
ALTER DEFAULT PRIVILEGES IN SCHEMA <schema> GRANT SELECT ON TABLES TO teramot;

La conexión usa TLS por defecto. Se pueden cargar tablas, vistas y vistas materializadas.

CREATE USER 'teramot'@'%' IDENTIFIED BY '<password>';
GRANT SELECT, SHOW VIEW ON <database>.* TO 'teramot'@'%';

Se listan las tablas y vistas de la base de datos. Con Whitelist de IPs, podés reemplazar '%' por cada una de las direcciones IP que muestra el paso Conectividad.

-- In master (SQL Server) or in the database (contained user in Azure SQL):
CREATE LOGIN teramot WITH PASSWORD = '<password>';

-- In the source database:
CREATE USER teramot FOR LOGIN teramot;
GRANT SELECT ON SCHEMA::<schema> TO teramot;
GRANT VIEW DEFINITION ON SCHEMA::<schema> TO teramot;

VIEW DEFINITION le permite a Teramot leer las claves primarias y los índices, que usa la actualización incremental. Si exigís cifrado, Teramot verifica que la sesión esté cifrada y además necesita VIEW SERVER STATE (en Azure SQL, VIEW DATABASE STATE).

CREATE USER teramot IDENTIFIED BY "<password>";
GRANT CREATE SESSION TO teramot;
-- One statement per table to load:
GRANT SELECT ON <owner>.<table> TO teramot;

En Oracle las tablas pertenecen a su dueño, no al usuario con el que Teramot inicia sesión: ingresá ese dueño en Dueño de las tablas, en mayúsculas. Si lo dejás vacío, solo se listan las tablas del usuario con el que Teramot inicia sesión, y ese usuario normalmente no tiene ninguna.

No hace falta SELECT_CATALOG_ROLE ni acceso a las vistas DBA_*: Teramot lee el catálogo a través de las vistas ALL_*, que muestran exactamente las tablas que otorgaste.

La conexión directa a Oracle no usa TLS. Para una base de datos fuera de una red privada, preferí una conexión privada o un túnel SSH.

Creá un service principal para Teramot, generá su token de acceso y otorgale:

GRANT USE CATALOG ON CATALOG <catalog> TO `<service-principal>`;
GRANT USE SCHEMA, SELECT ON SCHEMA <catalog>.<schema> TO `<service-principal>`;

También necesita el permiso CAN USE sobre el SQL warehouse.

CREATE ROLE teramot;
GRANT USAGE ON WAREHOUSE <warehouse> TO ROLE teramot;
GRANT USAGE ON DATABASE <database> TO ROLE teramot;
GRANT USAGE ON SCHEMA <database>.<schema> TO ROLE teramot;
GRANT SELECT ON ALL TABLES IN SCHEMA <database>.<schema> TO ROLE teramot;
GRANT SELECT ON ALL VIEWS IN SCHEMA <database>.<schema> TO ROLE teramot;
GRANT SELECT ON FUTURE TABLES IN SCHEMA <database>.<schema> TO ROLE teramot;

CREATE USER teramot PASSWORD = '<password>' DEFAULT_ROLE = teramot DEFAULT_WAREHOUSE = <warehouse>;
GRANT ROLE teramot TO USER teramot;

La cuenta de servicio, o la cuenta de Google con la que autorizás, necesita estos roles:

Rol	Dónde	Para qué
`roles/bigquery.dataViewer`	El dataset	Leer las tablas y su esquema
`roles/bigquery.jobUser`	El proyecto	Ejecutar las consultas de lectura
`roles/bigquery.readSessionUser`	El proyecto	Opcional: lecturas más rápidas

Teramot no escribe en tus datasets.

Teramot lee tablas por RFC, con el módulo de función estándar RFC_READ_TABLE. El usuario de comunicación (tipo System o Communication) necesita:

S_RFC, para ejecutar los módulos RFC_PING, RFC_READ_TABLE y EM_GET_NUMBER_OF_ENTRIES.
S_TABU_NAM (o S_TABU_DIS) con actividad de visualización, sobre las tablas a cargar y sobre las tablas del diccionario DD02L, DD03L, TFDIR y FUPARAREF.

Si ese módulo no existe, no está autorizado para el usuario o se queda corto para una tabla ancha, configurá uno propio, como ZRFC_READ_TABLE, en Módulo de función lector dentro de Advanced ingest.

Por una conexión privada, habilitá en el túnel el puerto RFC del servidor de aplicación: 3300 más su número de sistema.

Salesforce, HubSpot, Odoo, Monday.com, Airtable, Google Sheets y OneDrive no necesitan preparación: iniciás sesión o pegás un token en el formulario.

Conexiones privadas