Wie funktionieren die CloudKit-Sicherheitsrollen und -Berechtigungen?

In CloudKit gibt es drei Standardsicherheitsrollen:

Wel AuthentifiziertSchöpfe

Und drei Berechtigungen:

ErstelleLeseSchreibe

Wie funktionieren diese Sicherheitsrollen und Berechtigungen?

Hier sind Beispiele für einige der Fragen, auf die ich hoffentlich eine Erklärung der Sicherheitsrollen erhalten würde:

Was bedeuten die drei Rollen? Die ersten beiden scheinen naheliegend, die letzte jedoch weniger. Z.B. tutSchöpfe Beziehen Sie sich auf den Ersteller der Tabelle oder den Ersteller eines Datensatzes?Wo würde die Löschberechtigung liegen? SchreibenKönnen Sicherheitsrollen auf einzelne Datensätze angewendet werden? (Ich möchte, dass ein Benutzer nur auf eine Teilmenge der Datensätze in der InstantMessages-Tabelle zugreifen kann: die von ihm gesendeten und die von ihm empfangenen. Kann etwas in dieser Art über Sicherheitsrollen erfolgen?) Sind Berechtigungen geerbt? (Erhält der Ersteller beispielsweise alle vom Ersteller erteilten, authentifizierten und weltweiten Berechtigungen?) Sind Berechtigungen rein additiv? Oder kann ich eine benutzerdefinierte Rolle erstellen, mit der Berechtigungen entfernt und nicht hinzugefügt werden? (Zum Beispiel, um eine Sicherheitsrolle "Gesperrter Benutzer" zu erstellen.)Wie lege ich die Rolle für einen Benutzer fest? Kann ich für jeden erstellten Benutzer eine Standardrolle festlegen? Kann ich die Rolle eines Benutzers programmgesteuert ändern?Wie erstelle ich neue Sicherheitsrollen? Kann ich sie programmgesteuert erstellen / aktualisieren?