MaxCompute:Control de acceso ACL

El control de acceso basado en ACL aplica a los siguientes escenarios.

Antes de utilizar el control de acceso basado en ACL, asegúrese de contar con la siguiente información:

• El nombre de la cuenta o el nombre del rol del receptor. El usuario o rol debe estar agregado al proyecto de MaxCompute. Los formatos de cuenta son los siguientes: una cuenta de Alibaba Cloud tiene el formato ALIYUN$<account_id>, una cuenta de usuario RAM tiene el formato RAM$<account_id>:<RAM user UID>, y un rol RAM tiene el formato RAM$<account_id>:role/<RAM role name>.

  Puede ejecutar el comando list users; o list roles; en MaxCompute client para obtener los nombres de cuentas o roles.

  Para agregar un usuario o rol, consulte User planning and management o Role planning.

• El tipo de objeto, el nombre del objeto y las acciones por otorgar.

  Para obtener más información sobre tipos de objetos y acciones, consulte MaxCompute permissions.

Los siguientes límites aplican al control de acceso basado en ACL:

• Solo puede otorgar permisos a usuarios o roles existentes sobre objetos existentes. Esto evita riesgos de seguridad derivados de eliminar y volver a crear un objeto con el mismo nombre.

• El control de acceso basado en ACL no admite la autorización con la cláusula [with grant option]. Por ejemplo, si el usuario A otorga al usuario B acceso a un objeto, el usuario B no puede posteriormente otorgar ese permiso al usuario C.

• La autorización ACL utiliza un modelo de lista de permitidos y no admite un modelo de lista de bloqueados.

Tenga en cuenta lo siguiente al utilizar el control de acceso basado en ACL:

• Si elimina un objeto, MaxCompute revoca automáticamente todos los permisos ACL asociados a este.

• Cuando se elimina un usuario, sus permisos se conservan. Si el usuario se vuelve a agregar al proyecto posteriormente, sus permisos anteriores se restauran automáticamente. Para borrar permanentemente los permisos de un usuario, consulte Clear residual permissions of a removed user.

Los comandos de control de acceso basado en ACL utilizan la siguiente sintaxis:

• Otorgar permisos ACL

  grant <actions> on <object_type> <object_name> 
  [(<column_list>)] to <subject_type> <subject_name> 
  [privilegeproperties("conditions" = "<conditions>", "expires"="<days>")];

• Revocar permisos ACL

  revoke <actions> on <object_type> <object_name> 
  [(<column_list>)] from <subject_type> <subject_name>;

• Control de acceso a nivel de columna

  grant <actions> on table <table_name> (<column_list>) to <subject_type> <subject_name>;
  revoke <actions> on table <table_name> (<column_list>) from <subject_type> <subject_name>;

La siguiente tabla describe los parámetros.

Suponga que Bob@aliyun.com (ID de cuenta: 5527xxxxxxxx5788) es el propietario del proyecto test_project_a, y Allen (UID: 1652xxxxxxxxxx1538), Alice (UID: 2763xxxxxxxxxx1649) y Tom (UID: 3874xxxxxxxxxx1850) son usuarios RAM bajo Bob@aliyun.com. Los siguientes ejemplos demuestran operaciones de autorización mediante el cliente de MaxCompute.

• Ejemplo 1: Otorgar permisos a un usuario

  Cree la tabla sale_detail en el proyecto test_project_a y otorgue al usuario Allen los permisos Describe (leer metadatos) y Select (leer datos) sobre dicha tabla. A continuación se muestran comandos de ejemplo.

  -- Bob switches to the test_project_a project.
  use test_project_a; 
  --Create a partitioned table named sale_detail.
  create table if not exists sale_detail
  (
  shop_name     string,
  customer_id   string,
  total_price   double
  )
  partitioned by (sale_date string, region string);
  --Add the user Allen as a project member.
  add user RAM$5527xxxxxxxx5788:1652xxxxxxxxxx1538;
  --Grant permissions to Allen.
  grant Describe, Select on table sale_detail to USER RAM$5527xxxxxxxx5788:1652xxxxxxxxxx1538;
  --View the permissions granted to Allen.
  show grants for RAM$5527xxxxxxxx5788:1652xxxxxxxxxx1538; 
  --The authorization result is as follows.
  Authorization Type: ACL
  [user/RAM$5527xxxxxxxx5788:1652xxxxxxxxxx1538]
  A       projects/test_project_a/tables/sale_detail: Describe | Select

• Ejemplo 2: Otorgar permisos a nivel de columna a un usuario

  Utilizando la tabla sale_detail creada en el Ejemplo 1, otorgue al usuario Alice todos los permisos sobre las columnas shop_name y customer_id en la tabla sale_detail. A continuación se muestran comandos de ejemplo.

  -- Bob switches to the test_project_a project.
  use test_project_a; 
  --Add user Alice as a project member.
  add user RAM$5527xxxxxxxx5788:2763xxxxxxxxxx1649;
  --Grant column-level permissions to Alice.
  grant All on table sale_detail (shop_name, customer_id) to USER RAM$5527xxxxxxxx5788:2763xxxxxxxxxx1649;
  --View the permissions granted to Alice.
  show grants for RAM$5527xxxxxxxx5788:2763xxxxxxxxxx1649; 
  --The authorization result is as follows.
  Authorization Type: ACL
  [user/RAM$5527xxxxxxxx5788:2763xxxxxxxxxx1649]
  A       projects/test_project_a/tables/sale_detail/customer_id: All
  A       projects/test_project_a/tables/sale_detail/shop_name: All

• Ejemplo 3: Revocar permisos de usuarios

  Con base en el Ejemplo 1 y el Ejemplo 2, revoque los permisos de los usuarios Allen y Alice. A continuación se muestran comandos de ejemplo.

  -- Bob switches to the test_project_a project.
  use test_project_a; 
  --Revoke the permissions from Allen.
  revoke Describe, Select on table sale_detail (shop_name, customer_id) from USER RAM$5527xxxxxxxx5788:1652xxxxxxxxxx1538;
  --Revoke the permissions from Alice.
  revoke All on table sale_detail (shop_name, customer_id) from USER RAM$5527xxxxxxxx5788:2763xxxxxxxxxx1649;
  --Check Allen's permissions after revocation. The Describe and Select permissions are removed from the permission list.
  show grants for RAM$5527xxxxxxxx5788:1652xxxxxxxxxx1538; 
  --Check Alice's permissions after revocation. The All permission is removed from the permission list.
  show grants for RAM$5527xxxxxxxx5788:2763xxxxxxxxxx1649; 

• Ejemplo 4: Otorgar los mismos permisos a varios usuarios mediante un rol

  Otorgue a Alice, Tom y otra cuenta de Alibaba Cloud Lily@aliyun.com (ID de cuenta: 5638xxxxxxxx6899) los permisos para crear instancias, recursos, funciones y tablas, así como para listar todos los tipos de objetos en el proyecto test_project_a. A continuación se muestran comandos de ejemplo.

  -- Bob switches to the test_project_a project.
  use test_project_a; 
  --Add the users Alice, Tom, and Lily@aliyun.com as project members.
  add user RAM$5527xxxxxxxx5788:2763xxxxxxxxxx1649;
  add user RAM$5527xxxxxxxx5788:3874xxxxxxxxxx1850;
  add user ALIYUN$5638xxxxxxxx6899;
  --Create the Worker role.
  create role Worker; 
  --Assign the Worker role to the users.
  grant Worker TO RAM$5527xxxxxxxx5788:2763xxxxxxxxxx1649; 
  grant Worker TO RAM$5527xxxxxxxx5788:3874xxxxxxxxxx1850; 
  grant Worker TO ALIYUN$5638xxxxxxxx6899; 
  --Grant the Worker role the permissions to create instances, resources, functions, and tables, and to list all object types in the test_project_a project.
  grant CreateInstance, CreateResource, CreateFunction, CreateTable, List on project test_project_a TO ROLE Worker;
  --View the permissions for the user Lily.
  show grants for ALIYUN$5638xxxxxxxx6899; 
  --The following authorization result indicates that the user Lily has the specified permissions.
  [roles]
  worker
  
  Authorization Type: ACL
  [role/worker]
  A       projects/test_project_a: CreateTable | CreateResource | CreateInstance | CreateFunction | List

• Ejemplo 5: Revocar los mismos permisos basados en roles de varios usuarios

  Con base en el Ejemplo 4, revoque los permisos de los usuarios Alice, Tom y Lily@aliyun.com. A continuación se muestran comandos de ejemplo.

  -- Bob switches to the test_project_a project.
  use test_project_a; 
  --Revoke the Worker role from the users Alice, Tom, and Lily@aliyun.com.
  revoke Worker from RAM$5527xxxxxxxx5788:2763xxxxxxxxxx1649;
  revoke Worker from RAM$5527xxxxxxxx5788:3874xxxxxxxxxx1850;
  revoke Worker from ALIYUN$5638xxxxxxxx6899;
  --Check Lily's permissions after revocation. The permission list no longer includes the Worker role.
  show grants for ALIYUN$5638xxxxxxxx6899; 

Una vez que comprenda cómo funciona la autorización ACL, podrá gestionar los permisos según sus necesidades empresariales:

• Project-level role authorization

• Manage user permissions using commands

• Query the permissions of a user, role, or object