Pour gérer les autorisations Data Lake Formation (DLF) dans DataWorks, ce dernier doit être autorisé à accéder aux ressources DLF. Lorsque vous accordez cette autorisation, le système crée automatiquement le rôle lié au service AliyunServiceRoleForDataWorksAccessDLF. Vous n'avez donc pas besoin de créer manuellement un rôle ni de configurer ses autorisations.
Cas d'utilisation
Le rôle AliyunServiceRoleForDataWorksAccessDLF permet à DataWorks d'effectuer les actions suivantes :
Accéder aux ressources DLF, notamment aux catalogues, bases de données, tables et champs.
Accorder des autorisations sur vos ressources DLF.
Révoquer les autorisations sur vos ressources DLF.
Détails du rôle
| Attribut | Valeur |
|---|---|
| Nom du rôle | AliyunServiceRoleForDataWorksAccessDLF |
| Nom de la politique | AliyunServiceRolePolicyForDataWorksAccessDLF |
| Description | DataWorks utilise ce rôle par défaut pour accéder à vos ressources DLF. |
La politique associée au rôle accorde à DataWorks les autorisations suivantes :
{
"Version": "1",
"Statement": [
{
"Action": [
"dlf:GetCatalog",
"dlf:GetDatabase",
"dlf:GetFunction",
"dlf:GetTable",
"dlf:GetRole",
"dlf:ListCatalogs",
"dlf:ListDatabases",
"dlf:ListFunctionNames",
"dlf:ListFunctions",
"dlf:ListTableNames",
"dlf:ListTables",
"dlf:ListRoles",
"dlf:ListRoleUsers",
"dlf:CheckPermissions",
"dlf:BatchGrantPermissions",
"dlf:BatchRevokePermissions",
"dlf:GrantPermissions",
"dlf:RevokePermissions",
"dlf:UpdatePermissions",
"dlf:ListPermissions",
"dlf-dss:GetCatalog",
"dlf-dss:GetDatabase",
"dlf-dss:GetFunction",
"dlf-dss:GetTable",
"dlf-dss:ListCatalogs",
"dlf-dss:ListDatabases",
"dlf-dss:ListFunctionNames",
"dlf-dss:ListFunctions",
"dlf-dss:ListTableNames",
"dlf-dss:ListTables",
"dlf-dss:ListRoleUsers",
"dlf-dss:ListRoles",
"dlf-dss:CheckPermissions",
"dlf-dss:GrantPermissions",
"dlf-dss:RevokePermissions",
"dlf-dss:UpdatePermissions",
"dlf-dss:ListPermissions",
"dlf-dss:BatchGrantPermissions",
"dlf-dss:BatchRevokePermissions",
"dlf-dss:CreateTable",
"dlf-dss:AlterTable",
"dlf-dss:DropTable",
"dlf-dss:DescribeTable",
"dlf-dss:SelectTable",
"dlf-dss:UpdateTable",
"dlf-dss:DescribeDatabase",
"dlf-dss:CreateDatabase",
"dlf-dss:AlterDatabase",
"dlf-dss:DropDatabase",
"dlf-dss:DescribeFunction",
"dlf-dss:AlterFunction",
"dlf-dss:CreateFunction",
"dlf-dss:DropFunction",
"dlf-dss:ExecuteFunction"
],
"Resource": "*",
"Effect": "Allow"
},
{
"Action": "ram:DeleteServiceLinkedRole",
"Resource": "*",
"Effect": "Allow",
"Condition": {
"StringEquals": {
"ram:ServiceName": "dlf.dataworks.aliyuncs.com"
}
}
}
]
}Création du rôle lié au service
Le rôle est créé automatiquement. Lorsque vous demandez l'accès à DLF via le contrôle d'accès, DataWorks vous invite à autoriser cet accès. Après confirmation, le système crée le rôle AliyunServiceRoleForDataWorksAccessDLF dans la console Resource Access Management (RAM).
Pour obtenir des instructions détaillées, consultez la rubrique Contrôle d'accès aux données DLF.
Suppression du rôle lié au service
Supprimez le rôle dans la console RAM. Pour plus d'instructions, consultez la rubrique Supprimer un rôle RAM.
Une fois le rôle supprimé, vous ne pourrez plus gérer les autorisations DLF dans DataWorks.
Autorisations requises pour créer le rôle
Pour permettre à un utilisateur RAM de créer le rôle AliyunServiceRoleForDataWorksAccessDLF, attachez-lui l'une des politiques suivantes :
La politique
AliyunDataWorksFullAccess, ouUne politique personnalisée contenant l'instruction suivante :
{
"Version": "1",
"Statement": [
{
"Action": "dataworks:*",
"Resource": "*",
"Effect": "Allow"
},
{
"Action": "ram:CreateServiceLinkedRole",
"Resource": "*",
"Effect": "Allow",
"Condition": {
"StringEquals": {
"ram:ServiceName": "dlf.dataworks.aliyuncs.com"
}
}
}
]
}