DataWorks:Contrôle d'accès aux données DLF

Contexte

Lors de votre première utilisation de DataWorks pour gérer les autorisations de Data Lake Formation (DLF), vous êtes invité à accorder à DataWorks l'accès à DLF. Lors de l'octroi de ces autorisations, un rôle lié au service nommé AliyunServiceRoleForDataWorksAccessDLF est automatiquement créé. Pour plus d'informations sur la stratégie associée au rôle AliyunServiceRoleForDataWorksAccessDLF, consultez Rôle lié au service pour l'accès de DataWorks à DLF.

DataWorks prend en charge les types de moteurs DLF suivants :

• Data Lake Formation (DLF) : DLF 3.0, qui offre une gestion des autorisations plus fine et prend en charge les demandes d'autorisation aux niveaux metabase, table et colonne.

• DLF-Legacy : Une version antérieure de DLF utilisant la méthode originale de gestion des autorisations.

Les capacités de DLF 3.0 et de DLF-Legacy diffèrent. Choisissez la procédure correspondant à votre version.

Processus de gestion des autorisations d'accès aux données DLF

Accéder au contrôle d'accès aux données

Connectez-vous à la console DataWorks. Dans la région cible, cliquez sur Data Governance > Security Center dans le volet de navigation de gauche. Sur la page qui s'affiche, cliquez sur Go to Security Center.

Demande d'autorisation

1. Cliquez sur Data Platform Security > Data access control > Permission Application pour accéder à l'onglet Permission Application. Dans la section Application Content, sélectionnez un Engine Type.

   Les types de sources de données liés à DLF incluent :

   • Data Lake Formation (DLF) : DLF 3.0.

   • DLF-Legacy : Une version antérieure de DLF.

   Remarque

   Les étapes suivantes utilisent Data Lake Formation (DLF) à titre d'exemple. Si vous sélectionnez DLF-Legacy, les opérations sont similaires. La granularité d'autorisation comprend quatre niveaux : Catalog / Schema / Table / Column. La durée de l'autorisation prend en charge la durée personnalisée et les demandes approuvées peuvent être renouvelées. Les autres procédures sont identiques à celles de DLF 3.0.

2. Définissez la Granularity of authorization et le Catalog, puis sélectionnez les objets pour lesquels vous souhaitez demander des autorisations.

   Trois niveaux de granularité d'autorisation sont disponibles :

   • Autorisations au niveau Metabase : Sélectionnez les metabases pour lesquelles vous souhaitez demander des autorisations, puis choisissez les autorisations souhaitées dans la colonne Metabase permissions.

     Les autorisations disponibles incluent : Describe, Alter, Drop, CreateTable, CreateFunction et List.

   • Autorisations au niveau Table : Dans la section Tables to Be Added, sélectionnez les tables cibles. Une fois une table sélectionnée, ses informations s'affichent à droite. Choisissez les autorisations souhaitées dans les colonnes d'autorisation correspondantes.

     Les autorisations disponibles incluent : Select, Update, Alter, Drop et autres.

   • Autorisations au niveau Column : Dans la section Tables to Be Added, sélectionnez les tables cibles. Une fois une table sélectionnée, les informations de la table et de ses colonnes s'affichent à droite. Cliquez sur l'icône d'expansion à côté du nom de la table pour afficher toutes les colonnes, puis sélectionnez les autorisations de colonne souhaitées dans la colonne Select.

     Remarque

     Seules les tables Paimon internes dans DLF prennent en charge la gestion des autorisations au niveau des colonnes.

3. Configurez les Application information.

   Paramètre	Description
   User	Sélectionnez l'utilisateur pour lequel vous souhaitez demander des autorisations. Current login account : Demandez des autorisations sur les tables cibles pour le compte Alibaba Cloud actuellement connecté à l'espace de travail DataWorks. Apply on Behalf of Others : Demandez des autorisations sur les tables cibles pour un autre compte Alibaba Cloud. Si vous sélectionnez cette option, configurez le paramètre Username. DLF role : Demandez des autorisations pour un rôle DLF. Si vous sélectionnez cette option, vous pouvez choisir plusieurs rôles DLF dans la liste déroulante. Cette option est disponible uniquement pour le type de source de données Data Lake Formation (DLF).
   Application duration	Sélectionnez la durée de l'autorisation. Si le type de source de données est Data Lake Formation (DLF), seule l'option Permanent est prise en charge. Si le type de source de données est DLF-Legacy, vous pouvez spécifier une durée personnalisée. Les autorisations sont automatiquement révoquées à leur expiration.
   Reason for Application	Saisissez la raison de la demande d'autorisation sur les tables cibles.

4. Cliquez sur Apply for Permissions pour soumettre la demande.

   Consultez les détails d'approbation et l'historique de la demande actuelle dans l'onglet Permission Application Records.

Approbation des autorisations

Les utilisateurs RAM doivent disposer du rôle Admin (administrateur du lac de données) ou super_administrator pour effectuer des opérations d'approbation.

1. Consultez les demandes en attente.

   Dans le volet de navigation de gauche, choisissez Applications & Approvals > My Approval Tasks et cliquez sur l'onglet Data Access Control. Sélectionnez le type de moteur Data Lake Formation (DLF) ou DLF-Legacy, et utilisez les conditions de filtrage pour afficher les demandes en attente d'approbation pour le compte Alibaba Cloud actuel.

   Remarque

   Si une seule demande contient des requêtes d'autorisation pour plusieurs tables, la demande est automatiquement divisée en plusieurs requêtes en fonction des propriétaires des tables.

2. Consultez les détails de l'approbation.

   Cliquez sur Approval dans la colonne Operation de la demande cible. Dans la boîte de dialogue Approval details, vous pouvez consulter les détails tels que les Application Details et l'Approval record.

3. Approuvez ou rejetez la demande.

   En fonction des détails de la demande et de vos exigences, décidez d'approuver ou non la requête. Saisissez des Approval Comments et cliquez sur Agree ou Reject.

   Vous pouvez également sélectionner toutes les demandes sur la page My Approval Tasks et cliquer sur Batch Agree ou Batch Reject. Saisissez des Approval Comments pour traiter les demandes par lot.

Consulter l'historique des demandes et des approbations d'autorisation

• L'historique des demandes d'autorisation DLF prend en charge l'option Withdraw (uniquement pour les demandes ayant le statut Pending Approval). Les capacités de renouvellement varient selon la version : les autorisations Data Lake Formation (DLF 3.0) sont permanentes et ne prennent pas en charge le renouvellement ; DLF-Legacy prend en charge les périodes de validité personnalisées et le renouvellement. Vous pouvez renouveler les demandes approuvées en accédant à Applications & Approvals > My Applications.

• L'onglet Permission Audit de la page Data Access Control ne prend actuellement en charge que le moteur MaxCompute. L'audit et la révocation des autorisations pour DLF ne sont pas disponibles dans cet onglet. Pour gérer les autorisations des ressources DLF, utilisez les capacités de gestion des autorisations intégrées de DLF.

• Les entrées d'onglet originales pour Permission Application Records et Permission Approval Records seront migrées vers les pages My Applications et My Approval Tasks sous la section Applications & Approvals. Nous vous recommandons d'utiliser les nouvelles entrées de page. La liste de l'onglet original Permission Approval Records a été retirée et n'affiche plus qu'un avis de migration. Accédez à Applications & Approvals > My Approval Tasks et définissez le statut de la tâche sur All pour afficher l'historique.

Consulter l'historique des approbations d'autorisation

L'onglet Permission Approval Records de la page Data Access Control a été déprécié. La liste a été migrée vers la page Application & Approval > My Approval Tasks. L'onglet original n'affiche plus la liste des historiques d'approbation et montre uniquement un avis de migration. Suivez les étapes ci-dessous pour consulter l'historique des approbations d'autorisation.

Dans le volet de navigation de gauche, choisissez Application & Approval > My Approval Tasks, puis cliquez sur l'onglet Data Access Control. Définissez le statut de la tâche sur All. Vous pouvez filtrer par Application account number, Approval Results, Workspace et d'autres conditions pour afficher l'historique des approbations sous le compte Alibaba Cloud actuel.

Vous pouvez également cliquer sur View details dans la colonne Operation de la demande cible pour afficher les informations détaillées.