Todos los productos
Search

Este producto

    MaxCompute:Set a RAM user as the super administrator for a MaxCompute project

    Centro de documentos

    MaxCompute:Set a RAM user as the super administrator for a MaxCompute project

    Última actualización: Sep 07, 2026

    Solo una cuenta de Alibaba Cloud puede ser propietaria de un proyecto de MaxCompute. Sin embargo, el propietario de la cuenta no siempre se encarga de la gestión diaria del proyecto, como establecer las marcas del proyecto o configurar el uso compartido de recursos entre proyectos. Al otorgar el rol integrado Super_Administrator a un usuario de RAM, ese usuario gestiona el proyecto en nombre del propietario sin necesidad de compartir las credenciales de la cuenta de Alibaba Cloud.

    Cómo funciona

    MaxCompute proporciona dos roles de administración integrados:

    Rol

    Permisos

    Máximo de titulares

    Super_Administrator

    Todos los permisos para todos los tipos de recursos del proyecto, además de los permisos de administración del proyecto

    1 usuario de RAM por proyecto

    Admin

    Permisos básicos de administración

    Varios usuarios

    El propietario del proyecto otorga el rol Super_Administrator a un único usuario de RAM designado. Este usuario de RAM ejecuta después la mayoría de las tareas diarias de administración del proyecto. Para consultar la lista completa de permisos, consulte Role planning.

    Un usuario de RAM con el rol Super_Administrator ya cuenta con todos los permisos de consulta y administración sobre los recursos del proyecto. No se requieren permisos adicionales.

    Requisitos previos

    Antes de empezar, asegúrese de contar con lo siguiente:

    • Una cuenta de Alibaba Cloud que sea propietaria del proyecto de MaxCompute.

    • Un usuario de RAM creado bajo esa cuenta de Alibaba Cloud (solo el propietario de la cuenta de Alibaba Cloud puede crear usuarios de RAM).

    • Permisos de administración de DataWorks otorgados al usuario de RAM; consulte Grant DataWorks management permissions to a RAM user.

    Otorgar el rol Super_Administrator

    El propietario del proyecto debe otorgar este rol. Elija uno de los métodos a continuación.

    Otorgar permisos mediante el cliente de MaxCompute (odpscmd)

    MaxCompute client (odpscmd) le permite otorgar tanto super_administrator como admin en una sola sesión.

    En el ejemplo siguiente, bob@aliyun.com es la cuenta de Alibaba Cloud (propietario del proyecto) y Allen es un usuario de RAM bajo esa cuenta.

    -- Switch to the target project
USE project_a;
-- Add the RAM user to the project
ADD USER ram$bob@aliyun.com:Allen;
-- Grant the super administrator role
GRANT super_administrator TO ram$bob@aliyun.com:Allen;
-- Grant the Admin role to the RAM user Allen
GRANT admin TO ram$bob@aliyun.com:Allen;

    Para comprobarlo, solicite al usuario de RAM que ejecute el comando siguiente. Si el resultado incluye Super_Administrator, el permiso se otorgó correctamente.

    SHOW GRANTS;

    Otorgar permisos mediante DataWorks

    1. (Opcional) Agregue el usuario de RAM como miembro del proyecto. Omita este paso si el usuario ya es miembro.

      1. Inicie sesión en DataWorks console y seleccione una región en la esquina superior izquierda.

      2. En el panel de navegación izquierdo, haga clic en Workspace.

      3. En la página Workspaces, haga clic en el nombre del espacio de trabajo de destino.

      4. En la página Workspace Details, haga clic en Workspace Members and Roles en el panel de navegación izquierdo.

      5. En la pestaña Workspace Members, haga clic en Add Members.

      6. En el cuadro de diálogo Add Members, seleccione el usuario de RAM en la lista Available Accounts. El usuario seleccionado aparece en la lista Selected Accounts.

      7. Asigne un rol y haga clic en Confirm.

    2. Otorgue el rol Super_Administrator.

      1. En la página Workspace Details, haga clic en Workspace Members and Roles en el panel de navegación izquierdo.

      2. En la pestaña Workspace Members, localice al miembro de destino y seleccione Workspace Manager en la columna Role.

    3. Para comprobarlo, solicite al usuario de RAM que ejecute el comando siguiente. Si el resultado incluye Super_Administrator, el permiso se otorgó correctamente.

      SHOW GRANTS;

    Otorgar permisos mediante la consola de MaxCompute

    1. Inicie sesión en MaxCompute console y seleccione una región en la esquina superior izquierda.

    2. En el panel de navegación izquierdo, elija Manage Configurations > Projects.

    3. En la página Projects, busque el proyecto de destino y haga clic en Manage en la columna Actions.

    4. En la página Project Settings, haga clic en la pestaña Role Permissions.

    5. Seleccione el rol super_administrator y haga clic en Manage Members en la columna Actions.

    6. En el cuadro de diálogo Manage Members, seleccione el usuario de RAM y haga clic en OK.

    7. Para comprobarlo, solicite al usuario de RAM que ejecute el comando siguiente. Si el resultado incluye Super_Administrator, el permiso se otorgó correctamente.

      SHOW GRANTS;

    Prácticas recomendadas

    Administración de miembros

    • Una cuenta por desarrollador. Asigne cada usuario de RAM a un solo desarrollador. No comparta cuentas. Si un desarrollador abandona el equipo, el propietario del proyecto deshabilita ese usuario de RAM sin afectar a nadie más.

    • Agregue solo a los usuarios que ejecutan trabajos en el proyecto. Para quienes únicamente necesitan leer datos de este proyecto, utilice paquetes para compartir recursos entre proyectos en lugar de agregarlos como miembros.

    • Limite los miembros del proyecto a los usuarios de RAM de la cuenta del propietario. El propietario controla esos usuarios de RAM y los deshabilita rápidamente cuando sea necesario. Si administra los miembros del proyecto a través de DataWorks, esta es la única opción disponible.

    • Solo el propietario de la cuenta de Alibaba Cloud crea usuarios de RAM. El superadministrador no los crea directamente. Debe solicitar al propietario de la cuenta de Alibaba Cloud que cree primero el usuario y luego agregarlo al proyecto.

    • Cuando un miembro abandone el equipo, elimine primero al usuario de RAM del proyecto. Después, pida al propietario de la cuenta de Alibaba Cloud que deshabilite la cuenta de ese usuario de RAM. Si el miembro saliente tiene el rol Super_Administrator, el propietario del proyecto debe encargarse personalmente de ambos pasos.

    Administración de permisos

    • Utilice roles en lugar de permisos individuales. Adjunte los permisos a los roles y asigne después esos roles a los usuarios. Así mantiene los cambios de permisos manejables conforme crece el equipo.

    • Siga el principio de privilegio mínimo. Otorgue únicamente los permisos que necesita cada usuario. Esto reduce el impacto si una cuenta se ve comprometida o se usa de forma indebida.

    • Comparta datos entre proyectos mediante paquetes. El proveedor de recursos administra un solo paquete en lugar de gestionar miembros individuales en cada proyecto consumidor. Consulte Role planning para obtener más detalles.

    Auditoría de permisos

    Para consultar los permisos del usuario actual, ejecute lo siguiente:

    SHOW GRANTS;

    Para una auditoría más amplia, consulte las vistas que proporciona el servicio global de metadatos de MaxCompute. Para ver todas las vistas disponibles y ejemplos de consultas, consulte List of metadata views.

    Administración de costos

    El rol Super_Administrator no incluye permisos de facturación. Para que un usuario de RAM consulte los datos de facturación, el propietario de la cuenta de Alibaba Cloud debe otorgarle por separado los siguientes permisos en User Center:

    Permiso

    Nivel de acceso

    AliyunBSSFullAccess

    Todos los permisos de administración para User Center

    AliyunBSSReadOnlyAccess

    Acceso de solo lectura a User Center

    AliyunBSSOrderAccess

    Consultar, pagar y cancelar pedidos

    Para ver las instrucciones, consulte Grant permissions to a RAM role. Para conocer los detalles de facturación, consulte View bill details.

    Administración del uso de recursos

    • Recursos de cómputo de suscripción: consulte y gestione los recursos de cómputo en la consola de MaxCompute. Consulte Resource observation y Manage quotas for compute resources.

    • Recursos de cómputo de pay-as-you-go: consulte la vista TASKS_HISTORY del servicio global de metadatos para revisar los detalles de los trabajos completados, como el tiempo de ejecución, el contenido del trabajo y el consumo de recursos.

      Las vistas del servicio global de metadatos conservan los datos únicamente de los últimos 15 días. Para conservar los datos durante más tiempo, léelos y guárdelos de manera periódica.

    Pasos siguientes