Stratégies RAM personnalisées - DataWorks - Centre de documentation Alibaba Cloud

Prérequis

Maîtrisez la syntaxe et la structure d'une stratégie RAM. Pour plus d'informations, consultez Syntaxe et structure des stratégies.
Connaissez les bases de la gestion des autorisations pour DataWorks et sa console. Pour plus d'informations, consultez Autorisations de produit et de console : stratégie RAM.

Remarques sur l'utilisation

Cette rubrique propose des exemples de stratégies personnalisées. Après avoir créé une stratégie RAM personnalisée, attachez-la à un utilisateur RAM pour accorder les autorisations spécifiées. Pour savoir comment accorder des autorisations à un utilisateur RAM, consultez Gérer les autorisations des utilisateurs RAM.

Stratégies d'autorisation au niveau du produit

Stratégie 1 : Refuser toutes les opérations à un utilisateur RAM

Un administrateur peut attacher cette stratégie à un utilisateur RAM pour refuser l'accès à toutes les fonctionnalités de DataWorks. L'utilisateur ne peut ni utiliser la console DataWorks, ni accéder aux modules de service, ni appeler d'API OpenAPI.

Exemple de stratégie :

{
    "Version": "1",
    "Statement": [
        {
            "Effect": "Deny",
            "Action": "dataworks:*",
            "Resource": "*"
        }
    ]
}

Stratégie 2 : Refuser les appels OpenAPI à un utilisateur RAM

Un administrateur peut attacher cette stratégie à un utilisateur RAM pour l'empêcher d'appeler toute API OpenAPI de DataWorks.

Exemple de stratégie :

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Deny",
      "Action": "dataworks:*",
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "dataworks:Scope": "OpenAPI"
        }
      }
    }
  ]
}

Stratégie 3 : Refuser l'accès aux pages de service

Un administrateur peut attacher cette stratégie à un utilisateur RAM pour refuser l'accès à toutes les pages de service DataWorks.

Remarque

L'utilisateur peut toujours appeler les API de ces services s'il dispose des autorisations requises.

Exemple de stratégie :

{
    "Version": "1",
    "Statement": [
        {
            "Effect": "Deny",
            "Action": "dataworks:*",
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "dataworks:Scope": "Page"
                }
            }
        }
    ]
}

Stratégies d'autorisation pour les entités de la console

DataWorks fournit les stratégies personnalisées suivantes pour une gestion fine des autorisations sur des opérations spécifiques dans la console DataWorks.

Remarque

Remarques concernant l'élément Resource :

Lors de la création d'une stratégie personnalisée, remplacez les espaces réservés commençant par un signe dollar ($) par leurs valeurs réelles. Par exemple, remplacez $regionid par un ID de région spécifique et $accountid par l'UID de votre compte Alibaba Cloud.
L'astérisque (*) est un caractère générique. Vous pouvez le remplacer par une valeur spécifique pour affiner la portée des autorisations. Par exemple, changer workspace/* en workspace/workspaceid limite la stratégie à l'espace de travail spécifié.

Entité 1 : Espace de travail

Action	Resource	Description
CreateWorkspace	acs:dataworks:$regionid:$accountid:workspace/*	Crée un espace de travail.
ModifyWorkspace	acs:dataworks:$regionid:$accountid:workspace/$workspaceName	Modifie un espace de travail.
DeleteWorkspace	acs:dataworks:$regionid:$accountid:workspace/$workspaceName	Supprime un espace de travail.
DisableWorkspace	acs:dataworks:$regionid:$accountid:workspace/$workspaceName	Désactive un espace de travail.
EnableWorkspace	acs:dataworks:$regionid:$accountid:workspace/$workspaceName	Active un espace de travail.

Exemple : Accorder l'autorisation de modifier un espace de travail

Exemple de stratégie :

{
    "Statement": [
        {
            "Action": "dataworks:ModifyWorkspace",
            "Effect": "Allow",
            "Resource": "acs:dataworks:$regionid:$accountid:workspace/$workspaceName"
        }
    ],
    "Version": "1"
}

Entité 2 : Groupe de ressources

Action	Resource	Description	Notes
ListResourceGroup	acs:dataworks:$regionid:$accountid:exclusive_resource_group/*	Affiche l'onglet Groupes de ressources exclusifs. Sans cette autorisation, l'onglet n'apparaît pas dans la console.	Les autorisations `ListResourceGroup` et `ShowResourceGroupDetail` sont généralement utilisées conjointement pour contrôler l'accès à l'onglet Groupes de ressources exclusifs. Avec uniquement l'autorisation `ListResourceGroup` : l'utilisateur voit l'onglet Groupes de ressources exclusifs, mais la page est vide. Avec les autorisations `ListResourceGroup` et `ShowResourceGroupDetail` : l'utilisateur voit l'onglet Groupes de ressources exclusifs et peut consulter les détails des groupes de ressources autorisés par l'action `ShowResourceGroupDetail`. Remarque L'autorisation `ShowResourceGroupDetail` n'est effective que si l'autorisation `ListResourceGroup` est également accordée. Un utilisateur disposant uniquement de l'autorisation `ShowResourceGroupDetail` ne peut pas afficher les détails d'un groupe de ressources exclusif. La stratégie système `AliyunDataWorksReadOnlyAccess` inclut déjà les autorisations `ListResourceGroup` et `ShowResourceGroupDetail`.
ShowResourceGroupDetail	acs:dataworks:$regionid:$accountid:exclusive_resource_group/$resourceGroupName	Affiche les détails d'un groupe de ressources spécifié par son nom.
CreateResourceGroup	acs:dataworks:$regionid:$accountid:exclusive_resource_group/*	Crée un groupe de ressources exclusif.	Cette autorisation permet à un utilisateur de créer un groupe de ressources dans la console DataWorks à partir d'une commande existante, mais pas d'acheter de nouvelles ressources exclusives. L'achat, la mise à l'échelle ascendante, la mise à l'échelle descendante, le renouvellement ou la modification des spécifications d'un groupe de ressources nécessitent les autorisations `AliyunDataWorksFullAccess` et `AliyunBSSOrderAccess`.
ModifyResourceGroup	acs:dataworks:$regionid:$accountid:exclusive_resource_group/$resourceGroupName	Modifie un groupe de ressources exclusif.	-

Exemple 1 : Accorder des autorisations d'affichage et de gestion

Exemple de stratégie :

{
"Statement": [
{
"Action": "dataworks:ListResourceGroup",
"Effect": "Allow",
"Resource": "acs:dataworks:*:$accountid:exclusive_resource_group/*"
},
{
"Action": "dataworks:ShowResourceGroupDetail",
"Effect": "Allow",
"Resource": "acs:dataworks:*:$accountid:exclusive_resource_group/resourceGroupName2"
},
{
"Action": "dataworks:ModifyResourceGroup",
"Effect": "Allow",
"Resource": "acs:dataworks:*:$accountid:exclusive_resource_group/resourceGroupName2"
}
],
"Version": "1"
}

Exemple 2 : Accorder des autorisations d'affichage, de création et de modification

Remarque

Cette autorisation permet de créer un groupe de ressources à partir d'une commande existante, mais pas d'acheter de nouvelles ressources.

Exemple de stratégie :

{
  "Statement": [
    {
      "Action": "dataworks:ListResourceGroup",
      "Effect": "Allow",
      "Resource": "acs:dataworks:*:$accountid:exclusive_resource_group/*"
    },
    {
      "Action": "dataworks:ShowResourceGroupDetail",
      "Effect": "Allow",
      "Resource": "acs:dataworks:cn-shanghai:$accountid:exclusive_resource_group/*"
    },
    {
      "Action": "dataworks:CreateResourceGroup",
      "Effect": "Allow",
      "Resource": "acs:dataworks:cn-shanghai:$accountid:exclusive_resource_group/*"
    },
    {
      "Action": "dataworks:ModifyResourceGroup",
      "Effect": "Allow",
      "Resource": "acs:dataworks:cn-shanghai:$accountid:exclusive_resource_group/resourceGroupName1"
    },
    {
      "Action": "dataworks:ModifyResourceGroup",
      "Effect": "Allow",
      "Resource": "acs:dataworks:cn-shanghai:$accountid:exclusive_resource_group/resourceGroupName2"
    }
  ],
  "Version": "1"
}

Entité 3 : Alertes

Action	Resource	Description
ListContacts	acs:dataworks:$regionid:$accountid:contacts_ram_user/*	Répertorie les contacts d'alerte.
ModifyContacts	acs:dataworks:$regionid:$accountid:contacts_ram_user/*	Modifie les informations des contacts d'alerte.
ListAlarmResource	acs:dataworks:$regionid:$accountid:alarm_resource/*	Répertorie les ressources d'alerte.
SetUpperLimits	acs:dataworks:$regionid:$accountid:alarm_resource/*	Définit les limites supérieures pour les alertes.

Exemple : Accorder des autorisations pour gérer les alertes

Exemple de stratégie :

{
  "Statement": [
    {
      "Action": "dataworks:ListAlarmResource",
      "Effect": "Allow",
      "Resource": "*"
    },
    {
      "Action": "dataworks:SetUpperLimits",
      "Effect": "Allow",
      "Resource": "acs:dataworks:$regionid:$accountid:alarm_resource/*"
    },
    {
      "Action": "dataworks:ListContacts",
      "Effect": "Allow",
      "Resource": "acs:dataworks:$regionid:$accountid:contacts_ram_user/*"
    },
    {
      "Action": "dataworks:ModifyContacts",
      "Effect": "Allow",
      "Resource": "acs:dataworks:$regionid:$accountid:contacts_ram_user/*"
    }
  ],
  "Version": "1"
}