Este tema proporciona lineamientos para otorgar permisos a usuarios RAM en diversos casos de uso de DataWorks.
Contexto
DataWorks ofrece un sistema integral de gestión de permisos para administrar el producto y sus funciones. Incluye módulos globales y de espacio de trabajo, controlados por roles globales y de espacio de trabajo, respectivamente. El sistema RAM policy controla los permisos de gestión del producto en DataWorks, mientras que el modelo role-based access control (RBAC) rige los permisos de los módulos del producto.
Este tema explica cómo otorgar permisos para diversos casos de uso de DataWorks mediante la descripción detallada de los controles de permisos para la gestión, los módulos globales y los módulos del espacio de trabajo.
Sistema de gestión de permisos
La siguiente figura muestra cómo gestionar los permisos de los usuarios RAM según distintas dimensiones, como el tipo de operación y el sistema de permisos.
Para operaciones globales, otorgue permisos de grano grueso a nivel de producto. Para operaciones en un módulo específico o para la gestión de la consola y resource groups, otorgue permisos de grano fino a nivel de módulo.
Para un usuario RAM, una política con una declaración Deny siempre tiene prioridad sobre cualquier política que otorgue permisos.
Este tema detalla la gestión de permisos para usuarios RAM, organizada por tipo de autorización. Para obtener más información, consulte las siguientes secciones:
Nivel de producto: Permisos de gestión y operación
Para controlar los permisos de gestión y operación de DataWorks a nivel de producto, utilice políticas de RAM en Resource Access Management (RAM).
|
Tipo de permiso |
Descripción |
Procedimiento |
Referencias |
|
Permitir que un usuario RAM gestione DataWorks |
De forma predeterminada, solo una cuenta de Alibaba Cloud tiene permisos para gestionar DataWorks. Si desea que un usuario RAM gestione DataWorks de manera colaborativa, otorgue este permiso al usuario. Nota
Después de otorgar este permiso, el usuario RAM tendrá amplios permisos en DataWorks y podrá gestionar funciones internas en nombre de la cuenta de Alibaba Cloud, excepto las relacionadas con compras. |
|
|
|
Permitir que un usuario RAM adquiera recursos y active servicios |
De forma predeterminada, solo una cuenta de Alibaba Cloud puede adquirir recursos y activar servicios, como comprar DataWorks Standard Edition, Professional Edition o Enterprise Edition. Si desea que un usuario RAM realice estas operaciones, otorgue este permiso al usuario. Nota Tras la autorización, el usuario RAM podrá ver, pagar y cancelar pedidos en Billing Management (BSS). |
|
|
|
Denegar a un usuario RAM el acceso a DataWorks |
Si desea denegar a un usuario el acceso a la consola de gestión, a las páginas de módulos de DataWorks y a las llamadas a Open API, otorgue este permiso al usuario. Nota
De forma predeterminada, todos los usuarios RAM bajo una cuenta de Alibaba Cloud son miembros del inquilino de DataWorks y tienen permitido acceder a la consola de gestión de DataWorks. |
|
|
|
Denegar a un usuario RAM la ejecución de operaciones de Open API |
De forma predeterminada, un usuario con permisos en un módulo de DataWorks puede ejecutar las operaciones de Open API de dicho módulo. Si desea impedir que un usuario ejecute todas las operaciones de Open API, otorgue este permiso al usuario. |
|
|
|
Denegar a un usuario RAM el acceso a las páginas de módulos de DataWorks |
Si desea impedir que un usuario acceda a todas las páginas de módulos de DataWorks, otorgue este permiso al usuario. Nota
|
|
Nivel de módulo: Permisos de la consola de DataWorks
Para controlar los permisos de la consola de DataWorks a nivel de módulo, utilice políticas de RAM en Resource Access Management (RAM).
|
Tipo de permiso |
Descripción |
Procedimiento |
Referencias |
|
Permitir que un usuario RAM gestione espacios de trabajo y resource groups |
De forma predeterminada, solo una cuenta de Alibaba Cloud puede gestionar recursos y espacios de trabajo de DataWorks. Por ejemplo, modificar configuraciones de resource groups y espacios de trabajo, o eliminar resource groups. Si desea que un usuario RAM gestione resource groups y espacios de trabajo, otorgue este permiso al usuario. |
|
Nivel de módulo: Permisos de módulos de DataWorks
Para controlar los permisos de los distintos módulos de DataWorks a nivel de módulo, utilice la gestión de miembros en los espacios de trabajo de DataWorks.
DataWorks no admite el otorgamiento masivo de permisos por grupo de usuarios RAM. Para otorgar permisos de espacio de trabajo a varios usuarios RAM, agregue los usuarios uno a uno en la gestión de miembros del espacio de trabajo y asígneles roles predefinidos (administrador del espacio de trabajo, operador, etc.) o personalizados.
|
Tipo de permiso |
Descripción |
Procedimiento |
|
Asignar roles de espacio de trabajo a un usuario RAM |
Un usuario RAM debe unirse a un espacio de trabajo como miembro antes de poder realizar operaciones de desarrollo. Asigne diferentes roles de espacio de trabajo al usuario RAM para controlar los permisos de las distintas funciones del módulo. Por ejemplo:
Nota Para obtener más información sobre los roles predefinidos y personalizados de espacios de trabajo en DataWorks, consulte Workspace roles and permissions. |
|
|
Asignar roles globales a un usuario RAM |
De forma predeterminada, todos los usuarios RAM bajo una cuenta de Alibaba Cloud son miembros del inquilino y pueden acceder a los módulos globales, pero no gestionarlos. Si desea que un usuario RAM gestione módulos globales para distintos escenarios de control de permisos, otorgue este permiso al usuario. Por ejemplo:
Nota Para obtener más información sobre los roles globales predefinidos y personalizados en DataWorks, consulte Global roles and permissions. |