Control de acceso a datos - DataWorks - Centro de documentación de Alibaba Cloud

Descripción general

El control de acceso a datos es una función del Security Center de DataWorks que ofrece un portal centralizado y de ciclo cerrado para solicitar, aprobar y auditar permisos en varios motores. Está diseñado para tres roles: solicitantes, aprobadores y auditores. Admite el control de permisos de activos en siete motores: MaxCompute, Hologres, Data Lake Formation (DLF), Data Lake Formation (DLF) (Legacy), Hive (EMR), Lindorm y StarRocks.

Ruta: DataWorks console > Data Governance > Security Center > Data Platform Security > Data Access Control.

Estructura de la página

La página Data Access Control contiene las siguientes seis pestañas. La visibilidad de algunas pestañas puede variar según los motores y las funciones habilitadas.

Pestaña	Descripción
Permission Application	Los usuarios solicitan permisos para activos de datos (como tablas, bases de datos, columnas, recursos y funciones) en un motor. Tras el envío, la solicitud ingresa a un proceso de aprobación.
Direct Grant	Los administradores otorgan directamente un conjunto de permisos de recursos a un usuario RAM o rol RAM específico, sin pasar por el proceso de aprobación. Para obtener más información, consulte la sección Direct grant a continuación.
Permission Approval	Los aprobadores aceptan o rechazan las solicitudes de permiso entrantes. Esta pestaña se migrará a la página Applications & Approvals > My Approval Tasks en el futuro.
Permission Application Records	Muestra todos los registros de solicitudes de permiso enviados por la cuenta actual. Esta pestaña se migrará a la página Applications & Approvals > My Applications en el futuro.
Permission Approval Records	Esta función se movió al Security Center. Para consultar los registros de aprobación de permisos, vaya a Security Center > My Approval Tasks.
Permission Audit	Permite consultar y revocar los permisos de datos de los usuarios. Esta función actualmente solo es compatible con el motor MaxCompute.

Diferencias entre motores

Funciones como la granularidad de la solicitud, la concesión directa, la vigencia del permiso, la renovación y la auditoría de permisos varían según el motor. La siguiente tabla proporciona una comparación rápida. Los motores visibles en la interfaz de usuario dependen de cuáles estén habilitados en su espacio de trabajo y de sus permisos de backend.

Motor	Granularidad de la solicitud	Concesión directa	Vigencia del permiso	Renovación	Retiro	Auditoría de permisos
MaxCompute	Tabla / Recurso / Función (compatible con nivel de columna para tablas)	Compatible	1/3/6/12 meses, permanente o personalizada	Compatible	Compatible	Compatible
Hologres	Tabla (tablas dentro de una base de datos)	Compatible (solo usuarios RAM)	Solo permanente	No compatible	Compatible	No compatible
Data Lake Formation (DLF)	Metabase de datos / Tabla / Columna	Compatible	Solo permanente	No compatible	Compatible	No compatible
Data Lake Formation (DLF-Legacy)	Catálogo / Esquema / Tabla / Columna	Compatible	Duración personalizada	Compatible	Compatible	No compatible
Hive (EMR)	Base de datos / Tabla	Compatible (solo usuarios RAM)	Solo permanente	No compatible	Compatible	No compatible
Lindorm	Tabla	Compatible (solo usuarios RAM)	Solo permanente	No compatible	Compatible	No compatible
StarRocks	Base de datos / Tabla	Compatible	Solo permanente	No compatible	Compatible	No compatible

Nota

Requisitos previos para la renovación y el retiro: La renovación solo surte efecto en solicitudes aprobadas, mientras que el retiro solo aplica a solicitudes pendientes de aprobación. Las diferencias entre motores están determinadas por políticas de backend. Las funciones reales están sujetas a lo que se muestra en la página.

Concesión directa

Direct Grant es una pestaña independiente junto a Permission Application. Permite a los administradores (generalmente administradores del espacio de trabajo o usuarios RAM con permisos de concesión) otorgar directamente un conjunto de permisos de recursos a un usuario RAM o rol RAM específico sin pasar por el proceso de aprobación. Los permisos otorgados entran en vigor de inmediato.

Entrada: En la página Data Access Control, haga clic en la pestaña Direct Grant.
Destinatario de la concesión: Se admiten usuarios RAM o roles RAM. La posibilidad de otorgar permisos a un rol RAM depende del tipo de recurso: Algunos motores o tipos de recursos solo admiten usuarios RAM. En este caso, la opción de rol RAM aparece atenuada con el mensaje "This resource type supports only RAM users." Por ejemplo, la función de concesión directa para el motor Hologres solo admite usuarios RAM.
Elementos de configuración: Son los mismos que en Permission Application. Primero, seleccione el contenido de la solicitud (tipo de origen de datos, espacio de trabajo, proyecto de MaxCompute, tabla, etc.) y luego configure la información de la concesión:
- Tipo de destinatario de la concesión: Usuario RAM o rol RAM.
- Destinatario de la concesión: Seleccione un usuario RAM o rol RAM específico según el tipo elegido.
- Vigencia del permiso: Igual que el periodo de validez para las solicitudes de permiso. Para el motor Hologres, este campo está oculto y la validez se establece siempre como permanente.
- Motivo de la concesión: Obligatorio.
Envío: Haga clic en Confirm Grant para aplicar los permisos inmediatamente. El formulario se borra automáticamente tras un envío exitoso. La página no redirige.
Diferencias con la solicitud de permiso: La concesión directa no pasa por un proceso de aprobación, por lo que no se genera ningún registro en My Applications. La opción "Application account type" no se muestra.
Atribución de la operación: Los registros de concesión relacionados en los logs de auditoría y de backend se atribuyen a la cuenta que inició sesión actualmente. Asegúrese de usar una cuenta adecuada para ejecutar operaciones de concesión.

Guías específicas por motor

Los procesos de solicitud, aprobación y configuración de permisos difieren según el motor. Para obtener instrucciones detalladas, consulte la documentación del motor correspondiente: