Cross-account access to project data - DataWorks - Centro de documentación de Alibaba Cloud

Para acceder a un proyecto de MaxCompute o Hologres propiedad de otra cuenta de Alibaba Cloud, agréguelo como origen de datos en su cuenta actual.

Limitaciones

No es posible utilizar orígenes de datos entre cuentas para el desarrollo de datos ni para la programación de tareas. Para llevar a cabo estas operaciones, debe crear un origen de datos dentro de su propia cuenta. Para obtener más información, consulte Bind a MaxCompute compute engine y Bind a Hologres compute engine.
Al crear un origen de datos entre cuentas, solo puede acceder al proyecto mediante un rol de RAM.

Requisitos previos

Debe contar con dos cuentas de Alibaba Cloud creadas, denominadas Cuenta A y Cuenta B en este tema. Para obtener más información sobre cómo crear una cuenta, consulte Sign up for an Alibaba Cloud account.
- Cuenta A de Alibaba Cloud: Es el consumidor que crea el origen de datos entre cuentas utilizando las credenciales de la Cuenta B.
- Cuenta B de Alibaba Cloud: Es el proveedor de recursos que suministra las credenciales a la Cuenta A para permitirle crear el origen de datos entre cuentas.
Asegúrese de que los recursos de datos que se compartirán estén listos en la Cuenta B. Por ejemplo, verifique que se haya creado un proyecto de MaxCompute o una instancia y base de datos de Hologres.
- Escenario 1 (Acceso a MaxCompute): En la Cuenta B de Alibaba Cloud, se ha creado un proyecto de MaxCompute que servirá como proyecto destino para el origen de datos entre cuentas. Para crear un proyecto de MaxCompute, consulte Create a MaxCompute project.
- Escenario 2 (Acceso a Hologres): En la Cuenta B de Alibaba Cloud, cuenta con purchased a Hologres instance y created a database.

Paso 1: Crear y autorizar un rol de RAM

Crear un rol de RAM y una política de confianza

Inicie sesión en la consola de RAM con la Cuenta B para crear un rol de RAM y agregar la Cuenta A como cuenta de confianza. De este modo, la Cuenta A podrá asumir este rol para acceder a los recursos autorizados.

Cree un rol de RAM.

Para obtener más detalles, consulte Create a RAM role for a trusted Alibaba Cloud account.

Nota
El rol de RAM creado aquí lo utiliza la Cuenta A para acceder a DataWorks en la Cuenta B. Si también se requiere que este rol acceda a DataWorks en la Cuenta A, debe redefinir su política de permisos. Para obtener más información, consulte Define a permission policy for a RAM role.

Las configuraciones clave de parámetros son las siguientes:
- Principal Type: Alibaba Cloud Account.
- Principal: Other Alibaba Cloud Account. Introduzca el UID de la Cuenta A. Puede obtener el UID iniciando sesión en la consola con la Cuenta A y pasando el puntero sobre la imagen de perfil en la barra de navegación superior.
- Role Name: testRole.
Una vez configurado, la Cuenta A puede asumir el rol testRole para acceder a los recursos autorizados.
Modifique la política de confianza.

Después de crear el rol, vaya a la pestaña Trust Policy, haga clic en Edit Trust Policy y reemplace el contenido de la política con el siguiente código. Esto permite que el servicio DataWorks de la Cuenta A asuma este rol. Para obtener más información, consulte Modify the trust policy of a RAM role.
```
{
  "Statement": [
    {
      "Action": "sts:AssumeRole",
      "Effect": "Allow",
      "Principal": {
        "Service": [
          "UID of Account A@engine.dataworks.aliyuncs.com"
        ]
      }
    }
  ],
  "Version": "1"
}
```
Reemplace UID of Account A con el UID real de la Cuenta A.

Configurar una política de permisos para el rol de RAM

Escenario 1: Autorizar acceso a MaxCompute

En la Cuenta B, vaya al proyecto de MaxCompute deseado.

Puede usar la función de análisis SQL en la consola de MaxCompute para acceder rápidamente al proyecto.

Para obtener más información sobre las herramientas de conexión, consulte Select a connection tool.
Agregue el rol de RAM al proyecto de MaxCompute.
1. Agregue el rol testRole que creó en el Paso 1 al proyecto de MaxCompute. El formato de la sentencia SQL es el siguiente:
```
-- Add the RAM role to the MaxCompute project.
add user `RAM$<account_name>:role/<ram_role_name>`;
-- View all users in the project.
list users;
-- View the permissions granted to the RAM role.
show grants for `RAM$<account_name>:role/<ram_role_name>`;
```
  Parámetros:
  - <account_name>: El nombre de la Cuenta B.
  - <ram_role_name>: El nombre del rol creado en el Paso 1, que es testRole.
2. Otorgue permisos al rol según sea necesario. Para obtener más información, consulte Authorization.
  
  Nota
  Puede otorgar permisos al rol de RAM con antelación basándose en cómo utilizará el workspace de la Cuenta A el origen de datos. Por ejemplo, si desea consultar una tabla en el origen de datos de la Cuenta B desde el workspace de la Cuenta A, asegúrese de que el rol de RAM configurado para el origen de datos tenga el permiso SELECT sobre dicha tabla.

Escenario 2: Autorizar acceso a Hologres

Modifique la política de permisos del rol (solo para Hologres)
1. En la consola de RAM de la Cuenta B, create a custom policy para otorgar los permisos necesarios para acceder a la instancia de Hologres. El contenido de la política es el siguiente:
```
{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "hologram:GetInstance",
        "hologram:DescribeInstance",
        "hologram:ListDatabases",
        "hologram:ListWarehouses",
        "hologram:ListInstances"
      ],
      "Resource": "*"
    }
  ]
}
```
2. Adjunte esta política al rol testRole. Para obtener más información, consulte Manage permissions for a RAM role.
Agregue el rol de RAM a la base de datos de Hologres.

Agregar y autorizar el rol en Hologres. Inicie sesión en la consola de administración de Hologres con la Cuenta B y abra la interfaz HoloWeb para la instancia deseada.
- En la página Security Center > User Management, agregue el rol de RAM creado como usuario de la base de datos.
  
  En el cuadro de diálogo Add User, seleccione el rol de RAM creado, como testRole, en la sección Select Organization Members. En la sección Select Member Role, seleccione Regular User y haga clic en Confirm.
- Si el rol corresponde a un usuario regular, debe otorgarle permisos a nivel de base de datos en la página Security Center > DB Authorization.
  
  Haga clic en Add Authorization. En el cuadro de diálogo que aparece, seleccione el rol deseado, como role/testRole, en User; seleccione Developer en User Group y luego haga clic en Confirm.
Para obtener más información, consulte Quick start for RAM user authorization.

Paso 2: Crear un origen de datos para la Cuenta A usando información de la Cuenta B

1. Inicie sesión en la consola de DataWorks. En la región deseada, haga clic en More > Management Center en el panel de navegación izquierdo. Seleccione un workspace de la lista desplegable y haga clic en Go to Management Center.
2. En la página Workspace Management, haga clic en Data Sources en el panel de navegación izquierdo para abrir la página de orígenes de datos.
Haga clic en Add Data Source y seleccione el tipo de origen de datos (MaxCompute o Hologres).
En la página de configuración del origen de datos, configure estos parámetros clave:
- Alibaba Cloud Account: Other Alibaba Cloud Account.
- Region: La región donde se encuentra el proyecto de MaxCompute o la instancia de Hologres.
- UID of Alibaba Cloud Account: Introduzca el UID de la Cuenta B.
- MaxCompute Project Name/Other Hologres Instance: Introduzca el nombre o ID del recurso deseado en la Cuenta B.
- RAM Role: Introduzca el nombre del rol de RAM que creó en la Cuenta B, como testRole.
Configure la conectividad del resource group.

Seleccione un resource group y pruebe su conectividad. Para obtener más información sobre las configuraciones de red, consulte Connect to a data source that belongs to a different Alibaba Cloud account.

Un estado Connected en verde en la columna Connection Status indica que la red del resource group está configurada correctamente.
Haga clic en Complete Creation para crear el origen de datos entre cuentas.

Siguientes pasos

Después de crear el origen de datos, puede:

Sincronizar datos mediante Data Integration.
Ir a Data Map para ver más detalles sobre el origen de datos.