DataWorks:Contrôle des autorisations de données MaxCompute

Par défaut, les rôles prédéfinis de DataWorks accordent l'accès à l'environnement de développement, mais pas à l'environnement de production.

Pour protéger les données de production dans un espace de travail en mode standard, DataWorks contrôle la manière dont les utilisateurs RAM accèdent aux tables MaxCompute.

• Obtenir des autorisations sur le projet de développement (automatique) :

  • Lorsqu'un membre de l'espace de travail reçoit un rôle prédéfini, il obtient automatiquement des autorisations sur le projet de moteur. Pour plus d'informations, consultez Scénario 1 : Processus d'autorisation pour les rôles d'espace de travail prédéfinis.

  • Lorsqu'un membre de l'espace de travail reçoit un rôle personnalisé, il obtient également des autorisations sur le projet de moteur. Pour plus d'informations, consultez Scénario 2 : Processus d'autorisation pour les rôles d'espace de travail personnalisés.

• Obtenir des autorisations sur le projet de production (demande manuelle requise) : Vous devez demander des autorisations dans Security Center. Le tableau suivant décrit les cas d'utilisation. Pour plus d'informations sur l'utilisation de Security Center, consultez Contrôler l'accès aux données MaxCompute.

  Scénario	Description
  Un utilisateur dans un environnement de développement doit accéder à une table dans l'environnement de production au sein du même espace de travail.	Par défaut, si un utilisateur RAM n'est pas configuré comme identité d'accès pour le moteur de production, il ne peut pas agir sur les tables de production depuis DataStudio. Pour obtenir l'accès, l'utilisateur RAM doit soumettre une demande dans Security Center. Une fois la demande approuvée, l'utilisateur peut effectuer les opérations requises sur les tables dans DataStudio.
  Un utilisateur doit accéder à une table dans l'environnement de développement ou de production d'un autre espace de travail.	Par défaut, un utilisateur RAM ne peut pas accéder aux tables des environnements de développement ou de production d'autres projets depuis DataStudio. Pour activer l'accès inter-projets, l'utilisateur RAM doit soumettre une demande dans Security Center. Une fois la demande approuvée, l'utilisateur peut effectuer les opérations requises sur les tables dans DataStudio.

Les utilisateurs RAM qui doivent accéder aux données de production doivent suivre un processus d'approbation, ce qui permet aux administrateurs de contrôler les autorisations sur l'environnement de production.

1. Security Center propose un flux de travail d'approbation intégré pour les autorisations sur les tables de production.

2. Approval Center prend en charge les flux de travail d'approbation personnalisés.

Exécutez les commandes suivantes dans une tâche SQL MaxCompute pour interroger vos autorisations.

• show grants: Affichez vos propres autorisations d'accès.

• show grants for <username>: Affichez les autorisations d'accès d'un utilisateur spécifique. Seuls les administrateurs de l'espace de travail peuvent exécuter cette commande.

Une fois ajouté, l'utilisateur RAM dispose des autorisations suivantes dans DataWorks et le moteur MaxCompute.

• Autorisations DataWorks : Avec le rôle Development, l'utilisateur RAM peut développer et valider du code dans DataWorks, mais ne peut pas le déployer dans l'environnement de production. Le déploiement en production nécessite des autorisations O&M, détenues par des rôles tels que Project Owner, Administrator et O&M.

• Autorisations du moteur MaxCompute : Lorsque l'utilisateur RAM reçoit le rôle Development, il se voit également attribuer le rôle Role_Project_Dev dans le moteur MaxCompute. Ce rôle accorde des autorisations sur des objets tels que les tables au sein du projet de développement MaxCompute.

  Remarque

  • Si vous attribuez à un utilisateur RAM le rôle prédéfini Gestionnaire d'espace de travail, celui-ci reçoit des autorisations étendues sur les fonctionnalités de DataWorks, mais ne peut toujours pas accéder directement aux tables de production.

  • L'utilisateur RAM décrit ici fait référence à un utilisateur qui n'est pas désigné comme identité d'accès du moteur de planification pour le projet de production.

Exemple : Un utilisateur disposant du rôle Gestionnaire d'espace de travail ajoute un utilisateur RAM en tant que membre de l'espace de travail et lui attribue un rôle d'espace de travail DataWorks personnalisé. Lorsque vous créez un rôle personnalisé dans un espace de travail DataWorks, vous pouvez le mapper à un rôle de moteur MaxCompute. Une fois le rôle attribué à un membre, l'utilisateur RAM obtient les autorisations correspondantes dans DataWorks et le moteur MaxCompute. Voici les détails.

• Autorisations DataWorks : Lorsqu'un utilisateur RAM reçoit un rôle personnalisé dans DataWorks, il ne peut accéder qu'aux modules autorisés par ce rôle.

• Autorisations du moteur MaxCompute :

  • Si le rôle DataWorks personnalisé n'est mappé à aucun rôle de moteur, l'utilisateur RAM ne dispose d'aucune autorisation dans le moteur MaxCompute et ne peut pas exécuter de commandes pour interroger le moteur.

  • Si le rôle DataWorks personnalisé est mappé à un rôle de moteur, l'utilisateur RAM hérite des autorisations du rôle de moteur MaxCompute mappé.