DataWorks:Gérer les autorisations d'accès aux données pour MaxCompute

Contexte

Pour accéder aux tables, ressources et fonctions d'une source de données MaxCompute dans l'environnement de production d'un espace de travail DataWorks en mode standard, vous devez demander les autorisations correspondantes.

Cette procédure s'applique lorsque vous devez accéder à des tables, des ressources ou des fonctions d'une source de données MaxCompute dans un environnement de production.

• Dans un espace de travail exécuté en mode standard, DataWorks ajoute par défaut les membres au rôle de projet MaxCompute pour l'environnement de développement. Cela accorde aux membres des autorisations de lecture sur toutes les données. Pour plus d'informations, consultez la rubrique Accès aux ressources et autorisations pour le moteur MaxCompute dans différents modes d'espace de travail.

• Dans un espace de travail exécuté en mode standard, DataWorks n'ajoute pas par défaut les membres au rôle de projet MaxCompute pour l'environnement de production.

• Les autorisations demandées pour les tables, ressources ou fonctions MaxCompute ne prennent effet qu'après l'approbation de la demande par un approbateur.

Prérequis

• Une ressource de calcul MaxCompute est associée à votre espace de travail.

• Vous connaissez les détails du contrôle d'accès aux données pour MaxCompute.

• Vous comprenez les différences entre le mode basique et le mode standard pour les espaces de travail DataWorks.

Flux de travail du contrôle d'accès aux données

Flux de travail de demande d'autorisation

Le contrôle d'accès aux données prend en charge les opérations Permission Application, Permission Application Processing et Permission Audit, ainsi que les sections Permission Application Records et Permission Application Processing Record. Si un utilisateur RAM ne dispose pas des autorisations de table requises, il peut soumettre une demande sur la page Permission Application. Une fois la demande approuvée par un approbateur (administrateur de l'espace de travail ou propriétaire de la table) sur la page Permission Application Processing, les autorisations sont accordées.

Remarque

Le Security Center de DataWorks fournit un flux de travail d'approbation des demandes d'autorisation par défaut. Vous pouvez également personnaliser le flux de travail d'approbation dans le Approval Center. Lorsque vous demandez des autorisations au niveau des colonnes sur des tables MaxCompute, DataWorks identifie le type de flux de travail d'approbation en fonction des colonnes demandées.

Remarque

Les demandes d'autorisation pour les ressources et les fonctions ne prennent pas en charge les flux de travail d'approbation personnalisés ni la gestion de l'audit des autorisations.

• Demandeur d'autorisation : Demandez des autorisations sur les tables MaxCompute sur la page data access control. Une fois la demande approuvée, consultez le résultat de l'approbation et confirmez que les autorisations ont pris effet sur la page My Applications.

• Approbateur d'autorisation : Après réception d'une demande, consultez les détails de la demande sur la page My Approval Tasks et décidez d'approuver ou de rejeter la demande. Pour les demandes traitées, consultez les résultats d'approbation pour les tables, ressources et fonctions sous le compte Alibaba Cloud actuel sur la page My Approval Tasks.

• Permission Audit : Le propriétaire du compte Alibaba Cloud ou l'administrateur de l'espace de travail peut accéder à la page Permission Audit pour gérer et auditer les autorisations de table accordées aux membres de l'espace de travail. Révoquez les autorisations de membres spécifiques de l'espace de travail.

Demande d'autorisation

Sur la page de contrôle d'accès aux données, configurez les sections Application Content et Application information.

1. Connectez-vous à la console DataWorks, basculez vers la région cible, puis cliquez sur Data Governance > Security Center dans le volet de navigation de gauche. Sur la page qui s'affiche, cliquez sur Go to Security Center.

2. Dans le volet de navigation de gauche du Security Center, accédez à Data Platform Security > Data Access Control.

3. Sur la page Data Access Control, cliquez sur l'onglet de demande d'autorisation pour demander des autorisations sur les tables, ressources ou fonctions MaxCompute.

   Demande d'autorisation de table

   Lorsque vous demandez des autorisations de table, après avoir ajouté les tables cibles, vous pouvez demander des autorisations Table-level permissions ou Selected Columns selon vos besoins.

   Élément de configuration		Description
   Application Content	Data Source Type	Sélectionnez le type MaxCompute.
   	Application Type	Table
   	Workspace	Sélectionnez l'espace de travail où réside la Table cible.
   	MaxCompute Project	Le projet MaxCompute associé à l'espace de travail où réside la Table.
   	Schema	Le schéma où réside la table.
   Tables to Be Added	Demander des autorisations au niveau de la table	Vous pouvez demander des autorisations Select, Update, Download, Describe, Alter, et Drop au niveau de la table.
   	Demander des autorisations au niveau des colonnes	Vous pouvez demander des autorisations Select, Update, et Download au niveau des colonnes.

   Remarque

   Vous pouvez demander des autorisations au niveau de la table ou des colonnes pour les projets MaxCompute. L'héritage automatique des autorisations au niveau de la table par les nouvelles colonnes ajoutées dépend de l'activation de labelsecurity pour le projet :

   • Si labelsecurity n'est pas activé pour le projet MaxCompute : Après avoir demandé avec succès les autorisations Select et Update au niveau de la table, les nouvelles colonnes ajoutées à la table héritent automatiquement des autorisations Select et Update.

   • Si labelsecurity est activé pour le projet MaxCompute : Les autorisations au niveau de la table ne sont pas automatiquement héritées par les nouvelles colonnes. Après avoir demandé avec succès les autorisations Select et Update au niveau de la table, vous devez demander séparément des autorisations au niveau des colonnes pour les nouvelles colonnes afin d'y accéder.

   Demande d'autorisation de ressource

   Élément de configuration		Description
   Application Content	Data Source Type	Sélectionnez le type MaxCompute.
   	Application Type	Resource
   	Workspace	Sélectionnez l'espace de travail où réside la ressource cible.
   	Project	Le projet MaxCompute associé à l'espace de travail où réside la ressource.
   	Resource Name	La ressource pour laquelle vous souhaitez demander des autorisations.

   Demande d'autorisation de fonction

   Élément de configuration		Description
   Application Content	Data Source Type	Sélectionnez le type MaxCompute.
   	Application Type	Function
   	Workspace	Sélectionnez l'espace de travail où réside la fonction cible.
   	Project	Le projet MaxCompute associé à l'espace de travail où réside la fonction.
   	Function Name	Le nom de la fonction pour laquelle vous souhaitez demander des autorisations.

4. Configurez les Application information.

   Élément de configuration		Description
   Application information	User	Sélectionnez le compte pour lequel vous souhaitez demander des autorisations sur la ressource cible. Current login account : Demandez les autorisations de table cibles pour le compte Alibaba Cloud actuellement connecté à l'espace de travail DataWorks. Account Used for Scheduling : Demandez les autorisations de table cibles pour l'utilisateur RAM configuré comme identité d'accès de planification. Apply on Behalf of Others : Demandez les autorisations de table cibles pour un autre compte Alibaba Cloud en utilisant le compte actuellement connecté à l'espace de travail DataWorks. Si vous sélectionnez cette option, vous devez configurer le paramètre Username.
   	Application duration	Spécifiez une période de validité personnalisée pour les autorisations. Les autorisations sont automatiquement révoquées à leur expiration. Remarque Avant d'utiliser cette fonctionnalité, assurez-vous que l'autorisation basée sur les politiques est activée pour le projet MaxCompute où réside la table. Pour plus d'informations, consultez la rubrique Détails du contrôle d'accès aux données pour MaxCompute. Pour plus d'informations sur la politique MaxCompute, consultez la rubrique Présentation de la politique MaxCompute.
   	Reason for Application	Décrivez brièvement la raison de la demande d'autorisation afin que l'approbateur puisse comprendre vos besoins.

5. Cliquez sur Apply for Permissions pour soumettre la demande.

   Consultez les détails d'approbation et les enregistrements d'approbation pour la demande actuelle dans l'onglet Permission Application Records.

Approbation des autorisations

Après qu'un demandeur d'autorisation a soumis une demande, l'approbateur d'autorisation peut la traiter sur la page My Approval Tasks.

1. Dans le volet de navigation de gauche, choisissez Application & Approval > My Approval Tasks, puis cliquez sur l'onglet Data Access Control. Dans la liste Pending Approval, filtrez par Application account number, Application Time, Workspace, Project name, Object name et d'autres conditions pour afficher les demandes en attente sous le compte Alibaba Cloud actuel.

   Remarque

   Si une seule demande contient des demandes d'autorisation pour plusieurs tables, la demande est automatiquement divisée en plusieurs demandes en fonction des propriétaires de table.

2. Cliquez sur Approval dans la colonne Operation de la demande cible. Dans la boîte de dialogue Approval details, consultez les Application Details, l'Approval record et d'autres détails. Effectuez les opérations suivantes dans la boîte de dialogue :

   • En fonction des détails de la demande et de vos exigences, décidez d'approuver ou non la demande. Saisissez des Approval Comments, puis cliquez sur Agree ou Reject pour traiter la demande.

   • Modifiez le Application Content et l'Expiration Time de la demande.

   Remarque

   • Pending steps : Affiche tous les approbateurs disposant des autorisations d'approbation.

   • Processed steps : Affiche uniquement l'approbateur qui a traité la demande.

   Outre l'approbation de demandes individuelles dans la boîte de dialogue des détails d'approbation, vous pouvez également sélectionner toutes les demandes sur la page My Approval Tasks et cliquer sur Batch Agree ou Batch Reject. Saisissez des Approval Comments pour traiter les demandes cibles par lot.

Consulter les enregistrements de demande d'autorisation

Dans le volet de navigation de gauche, choisissez Application & Approval > My Applications, puis cliquez sur l'onglet Data Access Control. Filtrez par Approval status, Application Time, Workspace et d'autres conditions pour afficher les enregistrements de demande sous le compte Alibaba Cloud actuel.

Vous pouvez également cliquer sur View details dans la colonne Operation de la demande cible pour afficher les informations détaillées. Pour les demandes dont l'Approval status est Approving, procédez aux opérations d'approbation ultérieures.

Consulter les enregistrements d'approbation d'autorisation

L'onglet Permission Approval Records sur la page Data Access Control a été déprécié. La liste a été migrée vers la page Application & Approval > My Approval Tasks. L'onglet d'origine n'affiche plus la liste des enregistrements d'approbation et affiche uniquement un avis de migration. Suivez les étapes ci-dessous pour consulter les enregistrements d'approbation d'autorisation.

Dans le volet de navigation de gauche, choisissez Application & Approval > My Approval Tasks, puis cliquez sur l'onglet Data Access Control. Définissez le statut de la tâche sur All. Filtrez par Application account number, Approval Results, Workspace et d'autres conditions pour afficher les enregistrements d'approbation sous le compte Alibaba Cloud actuel.

Vous pouvez également cliquer sur View details dans la colonne Operation de la demande cible pour afficher les informations détaillées.

Permission Audit

Sur l'onglet Permission Audit, filtrez et localisez les ressources cibles, consultez les Authorization Information, puis cliquez sur Reclaim permission ou View permissions dans la colonne Operation.

L'onglet Permission Audit prend actuellement en charge uniquement le moteur MaxCompute. D'autres moteurs tels que Hologres, DLF, Hive, Lindorm et StarRocks ne sont pas pris en charge pour l'audit des autorisations sur cet onglet.