Politiques RAM pour les autorisations de service et de console - DataWorks

Dans DataWorks, vous pouvez contrôler les service-level Permissions et les Permissions for Console Entities à l'aide des politiques Alibaba Cloud Resource Access Management (RAM). Pour accorder des autorisations, associez une politique à un utilisateur ou un rôle RAM. Cette rubrique décrit les autorisations disponibles et explique comment un compte Alibaba Cloud peut attribuer des politiques de gestion DataWorks aux utilisateurs.

Autorisations au niveau du service : politiques système et personnalisées

Par défaut, seul un compte Alibaba Cloud dispose des autorisations de gestion au niveau du service pour DataWorks. Pour déléguer ces autorisations, accordez les politiques système suivantes à un utilisateur RAM. L'utilisateur RAM bénéficiera ainsi des mêmes autorisations opérationnelles que le compte Alibaba Cloud.

Type d'autorisation	Portée	Nom de la politique	Description	Références
Actions autorisées (politiques système)	Gérer les services DataWorks	AliyunDataWorksFullAccess	Accorde à un utilisateur RAM les autorisations nécessaires pour gérer les fonctionnalités internes de DataWorks. Cette politique n'autorise pas l'achat de ressources.	Pour obtenir des instructions, consultez la section Accorder des autorisations à un utilisateur RAM.
Actions autorisées (politiques système)	Acheter des ressources	AliyunBSSOrderAccess	Permet à un utilisateur RAM d'afficher, de payer et d'annuler des commandes dans Billing Management. Grâce à cette politique, l'utilisateur RAM peut acheter des ressources et renouveler des services depuis la console DataWorks.
Actions refusées (politiques personnalisées)	Refuser les opérations dans DataWorks (granularité fine)	Personnalisée	Refuse l'accès d'un utilisateur à la console de gestion, l'entrée dans les modules DataWorks ou la possibilité d'appeler l'OpenAPI.	Commencez par définir une politique en vous référant à la section Politiques d'autorisation au niveau du service. Ensuite, associez la politique personnalisée à un utilisateur RAM. Pour obtenir des instructions, consultez la section Créer une politique personnalisée (facultatif).
	Refuser les appels OpenAPI (granularité fine)		Par défaut, un utilisateur disposant d'autorisations sur un module DataWorks peut appeler les opérations OpenAPI de ce module. Appliquez cette politique pour refuser tous les appels OpenAPI.
	Refuser l'accès aux pages des modules DataWorks (granularité fine)		Par défaut, tous les utilisateurs RAM rattachés à un compte Alibaba Cloud sont membres locataires de DataWorks, ce qui leur permet d'accéder aux modules globaux et aux modules d'espace de travail des espaces auxquels ils ont adhéré. Vous pouvez refuser à un utilisateur spécifique l'accès à toutes les pages des modules DataWorks.

Autorisations pour les entités de console : politiques personnalisées

DataWorks prend en charge le contrôle fin des autorisations pour les entités de console suivantes :

Entité	Actions prises en charge	Références
Espace de travail	Créer un espace de travail Modifier un espace de travail Supprimer un espace de travail Désactiver un espace de travail Activer un espace de travail	Pour accorder des autorisations de console granulaires, commencez par définir une politique personnalisée en vous référant à la section Politiques d'autorisation pour les entités de console. Ensuite, associez la politique personnalisée à un utilisateur RAM. Pour obtenir des instructions, consultez la section Accorder des autorisations à un utilisateur RAM.
Groupe de ressources	Lister les groupes de ressources dédiés Afficher les détails d'un groupe de ressources par nom Créer un groupe de ressources dédié Modifier un groupe de ressources dédié
Informations d'alerte	Lister les contacts Modifier les informations de contact Lister les ressources d'alerte Définir le nombre maximal d'alertes

Accorder des autorisations à un utilisateur RAM

Dans le volet de navigation de gauche, choisissez Identities > User.
Dans le panneau Add Permissions, ajoutez des autorisations à l'utilisateur RAM.

Vous pouvez accorder des politiques système et des politiques personnalisées. Pour accorder une politique personnalisée, vous devez d'abord créer une politique personnalisée avant de pouvoir l'attribuer à un utilisateur RAM ici. Pour connaître les politiques système et personnalisées disponibles, consultez la section Autorisations au niveau du service : Politiques système et personnalisées.

Remarque
Pour plus de détails sur la configuration des paramètres, consultez la section Accorder des autorisations à un utilisateur RAM.

Créer une politique personnalisée (facultatif)

Si vous avez besoin d'un contrôle fin des autorisations RAM, créez une politique personnalisée. Si les politiques système intégrées répondent à vos besoins, ignorez cette étape.

Utilisez le compte Alibaba Cloud pour créer une politique personnalisée dans Access Control. Pour obtenir des instructions, consultez la section Créer une politique personnalisée.

Pour créer une politique d'autorisation personnalisée au niveau du service, définissez le contenu de la politique en vous référant à la section Politiques d'autorisation au niveau du service.

Pour créer une politique d'autorisation personnalisée pour les entités de console, suivez ces instructions : Dans le volet de navigation de gauche de la console RAM, choisissez Permission Management > Policies, cliquez sur Create Policy, puis sélectionnez l'onglet Script Editor. Le format JSON de la politique est {"Version":"1","Statement":[{"Effect":"Allow","Action":"dataworks:action_name","Resource":"acs:dataworks:$regionid:$accountid:resource_type/*"}]}. Les valeurs de Action et de Resource correspondent aux colonnes Action et Resource du tableau des politiques d'autorisation.

Champ de la politique	Description
Action	Définissez l'Action dans la politique personnalisée en fonction de la colonne Action de l'élément correspondant dans la section Politiques d'autorisation pour les entités de console.
Resource	Définissez la Resource dans la politique personnalisée en fonction de la colonne Resource de l'élément correspondant dans la section Politiques d'autorisation pour les entités de console. Remarque Remarques concernant Resource : Les valeurs de la colonne Resource dans le tableau des politiques d'autorisation (au format `acs:dataworks:$regionid:$accountid:resource_type/`) contiennent deux types de contenu que vous devez remplacer par des valeurs réelles : Les espaces réservés commençant par* `$` : Remplacez-les par des valeurs d'ID réelles. Par exemple, remplacez `$regionid` par l'ID de région réel et remplacez `$accountid` par l'UID du compte Alibaba Cloud. Le caractère générique : Correspond à toutes les ressources à ce niveau. Vous pouvez le remplacer par une valeur spécifique pour réduire la portée de la politique. Par exemple, remplacez `workspace/` par `workspace/specific_workspace_ID` (par exemple, `workspace/12345`) afin que la politique s'applique uniquement à l'espace de travail spécifié.