Gérer les autorisations sur les services au niveau de l'espace de travail - DataWorks

DataWorks vous permet d'accorder différentes autorisations sur les services au niveau de l'espace de travail aux membres en leur attribuant des rôles spécifiques. Les rôles attribuables incluent des rôles intégrés et des rôles personnalisés au niveau de l'espace de travail. Les rôles intégrés disposent d'autorisations fixes sur certains services, tandis que les rôles personnalisés permettent de contrôler finement les droits de lecture et d'écriture des membres. Cette rubrique décrit les rôles disponibles pour la gestion des autorisations ainsi que les opérations de base pour gérer les accès des membres.

Contexte

DataWorks n'impose aucune limite quant au nombre de membres. Ajoutez des collaborateurs en autorisant des utilisateurs RAM. Une fois autorisés dans un espace de travail, ces utilisateurs peuvent accéder à DataWorks pour collaborer au développement des données.

Numéro	Description	Références
1	Un espace de travail DataWorks constitue l'unité de base permettant la collaboration via différents rôles lors du développement des données. Toutes les opérations de développement s'effectuent au sein d'un espace de travail spécifique. Pour permettre à un utilisateur RAM de participer au développement, ajoutez-le en tant que membre à un espace de travail et attribuez-lui des rôles adaptés à vos besoins métier. Attribuez à ce membre les rôles intégrés fournis par DataWorks. Par exemple, si vous assignez le rôle Développement, le membre pourra effectuer des opérations de développement mais ne pourra pas déployer les tâches.	Annexe : Liste des autorisations des rôles par défaut (niveau de l'espace de travail)
2	Si les rôles intégrés ne satisfont pas vos exigences métier, créez un rôle personnalisé au niveau de l'espace de travail et attribuez-le à un utilisateur RAM. Cela vous permet de contrôler précisément les autorisations sur un service donné. Par exemple, vous pouvez créer un rôle qui refuse l'accès à DataService Studio pour un utilisateur spécifique.	Rôles au niveau de l'espace de travail
3	La gestion des autorisations sur les services au niveau de l'espace de travail dans DataWorks repose sur le modèle de contrôle d'accès basé sur les rôles (RBAC). Lorsqu'un utilisateur RAM est ajouté en tant que membre et qu'un rôle lui est attribué, il hérite automatiquement des autorisations associées à ce rôle pour les services concernés.	Présentation du système de gestion des autorisations DataWorks

Limites

Seuls les espaces de travail DataWorks Enterprise Edition prennent en charge les rôles personnalisés. Pour plus d'informations sur les éditions DataWorks, consultez DataWorks : Fonctionnalités par édition. Si votre espace de travail n'utilise pas l'édition Enterprise, mettez à niveau votre service DataWorks vers cette édition. Pour consulter les détails tarifaires des éditions avancées, reportez-vous à Éditions et facturation.

Remarque
Lors de la mise à niveau de votre édition DataWorks, si vous devez ajuster la période d'abonnement, nous vous recommandons de d'abord vous désabonner de l'édition actuelle, puis d'acheter la nouvelle édition souhaitée. Si vous effectuez une mise à niveau directe d'une édition inférieure vers une édition supérieure, vous devrez payer la différence de prix pour la durée restante du cycle de facturation en cours.
Seuls les utilisateurs disposant du rôle Workspace Administrator ou Workspace Owner peuvent ajouter des membres, modifier leurs rôles et supprimer les entrées Member et Custom Role.
Pour configurer le mappage entre un rôle personnalisé DataWorks au niveau de l'espace de travail et un rôle de projet MaxCompute, utilisez un compte Alibaba Cloud ou un utilisateur RAM doté du rôle Admin ou Super_Administrator du projet MaxCompute.
Vous ne pouvez pas modifier les autorisations des rôles intégrés.

Rôles au niveau de l'espace de travail

Un espace de travail DataWorks définit des identités telles que les membres et les rôles. Attribuez des rôles aux utilisateurs selon leurs besoins. DataWorks propose des rôles intégrés avec des autorisations prédéfinies. Si ces rôles ne correspondent pas à vos attentes, définissez également des rôles personnalisés depuis la page Roles.

Rôles intégrés au niveau de l'espace de travail

Par défaut, les rôles intégrés fournis par DataWorks disposent d'autorisations de lecture sur tous les services au niveau de l'espace de travail. Les droits de gestion et d'exécution varient selon le rôle attribué. Le tableau suivant détaille les rôles intégrés et leurs autorisations respectives sur les services.

Remarque

Le Workspace Owner correspond à un compte Alibaba Cloud. Un utilisateur RAM peut uniquement créer un espace de travail pour le compte d'un propriétaire de compte Alibaba Cloud. Vous ne pouvez pas attribuer le rôle Project Owner à un autre utilisateur. Pour obtenir le détail des autorisations de chaque rôle intégré sur les différents modules DataWorks, consultez Annexe : Liste des autorisations des rôles intégrés (niveau de l'espace de travail).

Rôle	Description
Project Owner	Le Workspace Owner dispose de toutes les autorisations dans l'espace de travail et est généralement un compte Alibaba Cloud. Il peut, par exemple, attribuer des rôles aux utilisateurs RAM selon les besoins et retirer de l'espace de travail les membres qui ne sont pas propriétaires.
Workspace Administrator	Ce rôle détient des autorisations juste inférieures à celles du Workspace Owner. L'administrateur de l'espace de travail peut notamment ajouter des utilisateurs en tant que membres, retirer des membres ou attribuer des rôles.
Data Analyst	Ce rôle dispose d'autorisations uniquement sur DataAnalysis.
Development	Ce rôle permet d'effectuer des opérations de développement et de maintenance des données sur la page DataStudio d'un espace de travail. Remarque Pour effectuer des opérations de développement en tant qu'utilisateur RAM, attribuez-lui le rôle Development ou Workspace Administrator. Pour réaliser des déploiements en tant qu'utilisateur RAM, attribuez-lui le rôle O&M ou Workspace Administrator.
O&M	Ce rôle permet de déployer des tâches vers l'environnement de production via la page Create Deploy Task et d'effectuer des opérations de maintenance sur toutes les tâches de l'espace de travail dans Operation Center.
Deployment	Dans une configuration multi-espaces de travail, ce rôle examine le code des tâches et décide s'il doit être soumis pour la maintenance opérationnelle.
Visitor	Ce rôle offre des autorisations en lecture seule sur les workflows et le code dans la page DataStudio d'un espace de travail.
Security Administrator	Ce rôle dispose d'autorisations uniquement sur Data Security Guard.
Model Designer	Ce rôle permet d'afficher les modèles dans Data Modeling et de modifier les configurations de paramètres dans Data Warehouse Planning, Data Standard, Dimensional Modeling et Data Metric. En revanche, il ne permet pas de publier des modèles.
Data Governance Administrator	Ce rôle permet d'afficher et de gérer le contenu de gouvernance des données de l'espace de travail associé dans Data Governance Center. Remarque Ce rôle ne permet pas d'afficher la situation de gouvernance des données de tous les espaces de travail d'une région depuis une perspective globale, ni de gérer les opérations de gouvernance globales, telles que l'activation d'éléments de contrôle au niveau global. Pour permettre à un utilisateur RAM d'effectuer des opérations de gouvernance globales, attribuez-lui le rôle Data Governance Administrator au niveau du locataire. Pour plus d'informations, consultez Rôle Data Governance Administrator au niveau du locataire. Pour plus d'informations sur les fonctionnalités prises en charge par le rôle Data Governance Administrator au niveau de l'espace de travail, consultez Data Governance.

Rôles personnalisés au niveau de l'espace de travail

Les rôles personnalisés au niveau de l'espace de travail dans DataWorks vous permettent de contrôler l'accès à un module spécifique. DataWorks prend en charge le contrôle des autorisations de lecture et d'écriture pour ces modules. Si vous utilisez le moteur de calcul MaxCompute, utilisez également la section Configure Account Mapping pour accorder des autorisations opérationnelles sur les ressources du moteur. Pour savoir comment créer un rôle personnalisé, consultez Créer un rôle personnalisé au niveau de l'espace de travail. Dans la boîte de dialogue Add Custom Role, saisissez un nom de rôle et définissez les autorisations des modules dans la section DataWorks Permissions. Mappez également le rôle à un moteur de calcul dans la section Configure Mappings.... Cliquez sur Create pour enregistrer le rôle.

No permission : Le rôle n'a aucune autorisation pour afficher le module correspondant.
Read-only : Le rôle peut uniquement consulter les informations du module correspondant sans pouvoir modifier les données.
Read and Write : Le rôle peut modifier les données dans le module correspondant.

Ajouter un utilisateur RAM en tant que membre à un espace de travail et lui attribuer des rôles

Après avoir ajouté un utilisateur RAM en tant que membre à un espace de travail, attribuez-lui un rôle intégré adapté à vos besoins métier. Par défaut, un membre nouvellement ajouté a accès à tous les services au niveau de l'espace de travail. Pour restreindre l'accès à un service spécifique, créez un rôle personnalisé refusant cet accès et attribuez-le au membre. Ainsi, le membre ne pourra pas accéder au service concerné.

Étape 1 : Accéder à l'onglet Workspace Members

Accéder au Management Center.
Sur la page Work space, cliquez sur Workspace Members.

Étape 2 : Ajouter un utilisateur RAM en tant que membre et gérer les membres de l'espace de travail

Dans l'onglet Workspace Members, cliquez sur Add Member en haut à droite.

Dans la boîte de dialogue Add Member, sélectionnez les comptes à ajouter depuis la section Available Accounts.

Opération	Description
Sélectionner les utilisateurs RAM à ajouter en tant que membres	La liste Available Accounts affiche tous les utilisateurs RAM sous le compte Alibaba Cloud actuel. Cliquez sur l'icône > pour déplacer les utilisateurs souhaités vers l'espace de travail actuel, ce qui en fait des membres collaborateurs. Remarque Si l'utilisateur RAM cible n'apparaît pas dans la liste, cliquez sur le bouton Refresh en haut de l'interface.
Attribuer plusieurs rôles à un utilisateur RAM simultanément	Sélectionnez les rôles à attribuer à l'utilisateur RAM choisi et cliquez sur Confirmation. Les rôles sélectionnés seront alors attribués simultanément, conférant à l'utilisateur les autorisations correspondantes. Vous pouvez attribuer des rôles intégrés ou personnalisés au niveau de l'espace de travail. Avant d'attribuer un rôle personnalisé, assurez-vous d'avoir créé celui-ci comme décrit dans la sous-section suivante.

Remarque

Si vous utilisez le moteur de calcul MaxCompute, celui-ci propose des rôles intégrés mappés aux rôles intégrés de DataWorks au niveau de l'espace de travail. DataWorks utilise ces mappages pour accorder à un utilisateur RAM disposant d'un rôle DataWorks les autorisations du rôle de moteur de développement correspondant. Toutefois, les autorisations pour l'environnement de production ne sont pas accordées par défaut.
- Pour savoir comment accorder des autorisations sur une instance de moteur de calcul MaxCompute à un membre d'un espace de travail, consultez Gérer les autorisations sur les données dans un moteur de calcul MaxCompute.
- Pour consulter les mappages entre les rôles intégrés de DataWorks au niveau de l'espace de travail et les rôles intégrés d'un moteur de calcul MaxCompute, reportez-vous à Mappages des rôles : DataWorks vs MaxCompute.
Si vous souhaitez utiliser un autre type de moteur de calcul dans un espace de travail, vous ne pouvez pas accorder des autorisations sur ce moteur en attribuant simplement un rôle au niveau de l'espace de travail au membre.

Cliquez sur Determine pour terminer l'ajout des membres de l'espace de travail.

Consultez ensuite les comptes, les rôles et autres informations de tous les membres de l'espace de travail DataWorks actuel dans l'onglet Workspace Members. Utilisez les conditions de filtrage pour localiser un membre spécifique. Dans la colonne Role, accordez ou révoquez un rôle intégré ou personnalisé pour ce membre. Cliquez également sur Remove dans la colonne Operation pour retirer un utilisateur de l'espace de travail actuel.

(Facultatif) Créer un rôle personnalisé au niveau de l'espace de travail

Vous ne pouvez pas modifier les autorisations des rôles intégrés au niveau de l'espace de travail. Si ces rôles ne répondent pas à vos exigences de contrôle d'accès, créez des rôles personnalisés depuis la page Workspace Roles.

Dans l'onglet Workspace Roles, cliquez sur Create Custom Role.
Dans la boîte de dialogue Create Custom Role, spécifiez un nom pour le rôle et configurez les paramètres d'autorisation pour chaque service au niveau de l'espace de travail.
- No permission : Le rôle n'a aucune autorisation pour afficher le module correspondant.
- Read-only : Le rôle peut uniquement consulter les informations du module correspondant sans pouvoir modifier les données.
- Read and Write : Le rôle peut modifier les données dans le module correspondant.
Dans la section Configure Account Mapping, cliquez sur Add pour configurer les mappages entre le nouveau rôle personnalisé DataWorks et les autorisations d'autres moteurs. Cela accorde au rôle les autorisations engine correspondantes.

Si vous souhaitez utiliser un moteur de calcul MaxCompute dans l'espace de travail, spécifiez un rôle intégré de MaxCompute et configurez un mappage entre le rôle personnalisé au niveau de l'espace de travail et le rôle MaxCompute lors de la création. Ainsi, lorsqu'un membre se voit attribuer ce rôle personnalisé, il reçoit automatiquement les autorisations du rôle intégré MaxCompute correspondant. Pour plus d'informations sur les mappages entre les rôles des différents types de moteurs de calcul et les rôles DataWorks, consultez Annexe : Mappages entre les rôles intégrés de DataWorks au niveau de l'espace de travail et les rôles MaxCompute.
Cliquez sur Create.

Le rôle personnalisé est créé et un message de confirmation s'affiche. Associez ensuite ce rôle aux membres lors de leur ajout. Modifiez ou supprimez également le Custom Role dans l'onglet Roles.