DataWorks:Control de acceso a datos de DLF

Contexto

La primera vez que utiliza DataWorks para gestionar los permisos de Data Lake Formation (DLF), el sistema le solicita otorgar acceso a DLF. Al conceder los permisos, se crea automáticamente un rol vinculado al servicio llamado AliyunServiceRoleForDataWorksAccessDLF. Para obtener más información sobre la política del rol AliyunServiceRoleForDataWorksAccessDLF, consulte Service-linked role for DataWorks to access DLF.

DataWorks admite los siguientes tipos de motores de DLF:

• Data Lake Formation (DLF): DLF 3.0, que proporciona una gestión de permisos más detallada y admite solicitudes de permisos a nivel de metabase, tabla y columna.

• DLF-Legacy: una versión anterior de DLF que utiliza el método original de gestión de permisos.

Las capacidades de DLF 3.0 y DLF-Legacy son distintas. Elija el procedimiento que corresponda a su versión.

Proceso de gestión de permisos de acceso a datos de DLF

Acceder al control de acceso a datos

Inicie sesión en la consola de DataWorks. En la región de destino, haga clic en Data Governance > Security Center en el panel de navegación izquierdo. En la página que aparece, haga clic en Go to Security Center.

Solicitud de permisos

1. Haga clic en Data Platform Security > Data access control > Permission Application para ir a la pestaña Permission Application. En la sección Application Content, seleccione un Engine Type.

   Los tipos de fuentes de datos relacionados con DLF incluyen:

   • Data Lake Formation (DLF): DLF 3.0.

   • DLF-Legacy: una versión anterior de DLF.

   Nota

   Los siguientes pasos utilizan Data Lake Formation (DLF) como ejemplo. Si selecciona DLF-Legacy, las operaciones son similares. La granularidad de autorización incluye cuatro niveles: Catalog / Schema / Table / Column. La duración del permiso admite una duración personalizada y las solicitudes aprobadas se pueden renovar. El resto de los procedimientos son iguales a los de DLF 3.0.

2. Establezca la Granularity of authorization y el Catalog, y luego seleccione los objetos para los que desea solicitar permisos.

   Están disponibles los tres niveles de granularidad de autorización siguientes:

   • Permisos a nivel de metabase: seleccione las metabases para las que desea solicitar permisos y elija los permisos deseados en la columna Metabase permissions.

     Los permisos disponibles incluyen: Describe, Alter, Drop, CreateTable, CreateFunction y List.

   • Permisos a nivel de tabla: en la sección Tables to Be Added, seleccione las tablas de destino. Una vez seleccionada una tabla, su información se muestra en el lado derecho. Elija los permisos deseados en las columnas correspondientes.

     Los permisos disponibles incluyen: Select, Update, Alter, Drop, entre otros.

   • Permisos a nivel de columna: en la sección Tables to Be Added, seleccione las tablas de destino. Tras seleccionar una tabla, esta y la información de sus columnas se muestran en el lado derecho. Haga clic en el ícono de expansión junto al nombre de la tabla para mostrar todas las columnas y luego seleccione los permisos de columna deseados en la columna Select.

     Nota

     Solo las tablas internas de Paimon en DLF admiten la gestión de permisos a nivel de columna.

3. Configure la Application information.

   Parámetro	Description
   User	Seleccione el usuario para el que desea solicitar permisos. Current login account: solicite permisos en las tablas de destino para la cuenta de Alibaba Cloud que tiene iniciada la sesión en el espacio de trabajo de DataWorks. Apply on Behalf of Others: solicite permisos en las tablas de destino para otra cuenta de Alibaba Cloud. Si elige esta opción, configure el parámetro Username. DLF role: solicite permisos para un rol de DLF. Si elige esta opción, puede seleccionar varios roles de DLF en la lista desplegable. Esta opción solo está disponible para el tipo de fuente de datos Data Lake Formation (DLF).
   Application duration	Seleccione la duración del permiso. Si el tipo de fuente de datos es Data Lake Formation (DLF), solo se admite la opción Permanent. Si el tipo de fuente de datos es DLF-Legacy, puede especificar una duración personalizada. Los permisos se revocan automáticamente al vencer.
   Reason for Application	Introduzca el motivo por el que solicita permisos en las tablas de destino.

4. Haga clic en Apply for Permissions para enviar la solicitud.

   Consulte los detalles y los registros de aprobación de la solicitud actual en la pestaña Permission Application Records.

Aprobación de permisos

Los usuarios de RAM deben tener el rol Admin (administrador del data lake) o super_administrator para aprobar solicitudes.

1. Consulte las solicitudes pendientes.

   En el panel de navegación izquierdo, elija Applications & Approvals > My Approval Tasks y haga clic en la pestaña Data Access Control. Seleccione el tipo de motor Data Lake Formation (DLF) o DLF-Legacy y utilice las condiciones de filtro para ver las solicitudes pendientes de aprobación de la cuenta actual de Alibaba Cloud.

   Nota

   Si una sola solicitud contiene peticiones de permisos para varias tablas, el sistema la divide automáticamente en múltiples solicitudes según los propietarios de las tablas.

2. Revise los detalles de la aprobación.

   Haga clic en Approval en la columna Operation de la solicitud de destino. En el cuadro de diálogo Approval details, puede revisar detalles como Application Details y Approval record.

3. Apruebe o rechace la solicitud.

   Con base en los detalles de la solicitud y sus requerimientos, decida si la aprueba. Introduzca los Approval Comments y haga clic en Agree o en Reject.

   También puede seleccionar todas las solicitudes en la página My Approval Tasks y hacer clic en Batch Agree o en Batch Reject. Introduzca los Approval Comments para procesar las solicitudes en lotes.

Consultar los registros de solicitudes y aprobaciones de permisos

• Los registros de solicitudes de permisos de DLF admiten la opción Withdraw (solo para solicitudes con estado Pending Approval). Las capacidades de renovación varían según la versión: los permisos de Data Lake Formation (DLF 3.0) son permanentes y no admiten renovación; DLF-Legacy admite periodos de validez personalizados y renovaciones. Puede renovar las solicitudes aprobadas desde Applications & Approvals > My Applications.

• La pestaña Permission Audit de la página Data Access Control actualmente solo es compatible con el motor MaxCompute. La auditoría y revocación de permisos de DLF no están disponibles en esta pestaña. Para gestionar los permisos de los recursos de DLF, utilice las capacidades integradas de gestión de permisos de DLF.

• Las entradas originales de las pestañas Permission Application Records y Permission Approval Records se migrarán a las páginas My Applications y My Approval Tasks, dentro de la sección Applications & Approvals. Se recomienda utilizar las nuevas entradas de página. La lista original de la pestaña Permission Approval Records se dio de baja y solo muestra un aviso de migración. Vaya a Applications & Approvals > My Approval Tasks y establezca el estado de la tarea en All para consultar los registros.

Consultar los registros de aprobación de permisos

La pestaña Permission Approval Records de la página Data Access Control quedó obsoleta. La lista se migró a la página Application & Approval > My Approval Tasks. La pestaña original ya no muestra la lista de registros de aprobación y solo presenta un aviso de migración. Siga los pasos a continuación para consultar los registros de aprobación de permisos.

En el panel de navegación izquierdo, elija Application & Approval > My Approval Tasks y luego haga clic en la pestaña Data Access Control. Establezca el estado de la tarea en All. Puede filtrar por Application account number, Approval Results, Workspace y otras condiciones para consultar los registros de aprobación de la cuenta actual de Alibaba Cloud.

También puede hacer clic en View details en la columna Operation de la solicitud de destino para consultar la información detallada.