DataWorks:Se connecter à DataWorks avec un rôle RAM (Avancé)

Informations générales

Précautions

• Seules les sources de données MaxCompute et Hologres prennent en charge les opérations utilisant un rôle RAM dans DataWorks.

• Pour effectuer les opérations d'autorisation suivantes avec un utilisateur ou un rôle RAM, associez la politique AliyunRAMFullAccess à l'utilisateur ou au rôle RAM. Pour plus d'informations, consultez Accorder des autorisations à un utilisateur RAM.

Étape 1 : Créer un rôle RAM

1. Connectez-vous à la console RAM.

2. Dans le volet de navigation de gauche, choisissez Identities > Roles.

3. Créez un rôle.

   Sur la page Role, cliquez sur Create Role.

   • Pour assumer le rôle en changeant d'identité dans la console Alibaba Cloud, sélectionnez Alibaba Cloud Account comme type de rôle. Pour plus d'informations, consultez Créer un rôle RAM pour un compte Alibaba Cloud approuvé.

   • Pour assumer le rôle en vous connectant à Alibaba Cloud via un compte provenant de votre fournisseur d'identité (IdP), sélectionnez Identity Provider comme type de rôle. Pour plus d'informations, consultez Créer un rôle RAM pour un IdP approuvé.

Étape 2 : Configurer la politique de confiance

Sur la page Identity Management > Role, cliquez sur le nom du rôle. Dans l'onglet Trust Policy, configurez la politique de confiance afin que vos utilisateurs cibles (utilisateurs RAM ou utilisateurs IdP) et le service DataWorks puissent assumer le rôle. Sélectionnez la politique correspondant à votre scénario.

Scénario 1 : Un utilisateur RAM assume un rôle

Pour permettre à un utilisateur RAM d'assumer un rôle RAM afin d'accéder à DataWorks, modifiez la politique de confiance du rôle RAM comme suit :

{
    "Statement": [
        {
            "Action": "sts:AssumeRole",
            "Effect": "Allow",
            "Principal": {
                "RAM": [
                    "acs:ram::UID:root"
                ]
            }
        },
        {
            "Action": "sts:AssumeRole",
            "Effect": "Allow",
            "Principal": {
                "Service": [
                    "dataworks.aliyuncs.com"
                ]
            }
        }
    ],
    "Version": "1"
}

Scénario 2 : Un utilisateur IdP assume un rôle

Pour permettre à un utilisateur d'un IdP d'assumer un rôle RAM afin d'accéder à DataWorks, modifiez la politique de confiance du rôle RAM comme suit :

{
   "Statement": [
        {
            "Action": "sts:AssumeRole",
            "Condition": {
                "StringEquals": {
                    "saml:recipient": "https://signin.alibabacloud.com/saml-role/sso"
                }
            },
            "Effect": "Allow",
            "Principal": {
                "Federated": [
                    "acs:ram::UID:saml-provider/IDP"
                ]
            }
        },
        {
            "Action": "sts:AssumeRole",
            "Effect": "Allow",
            "Principal": {
                "Service": [
                    "dataworks.aliyuncs.com"
                ]
            }
        }
    ],
    "Version": "1"
}

Étape 3 : Associer la politique AliyunSTSAssumeRoleAccess

Si un utilisateur RAM (et non un utilisateur IdP) assume le rôle RAM, associez la politique AliyunSTSAssumeRoleAccess à cet utilisateur RAM. Cette politique permet à l'utilisateur d'appeler l'opération Security Token Service (STS) AssumeRole et d'obtenir les identifiants temporaires du rôle. Pour plus d'informations, consultez Accorder des autorisations à un utilisateur RAM.

Étape 4 : Se connecter en tant que rôle RAM

Un utilisateur RAM peut assumer un rôle RAM pour se connecter à DataWorks. Pour plus d'informations sur le SSO basé sur les rôles, consultez Présentation du SSO de rôle basé sur SAML.

1. Connectez-vous à la console DataWorks en tant qu'utilisateur RAM.

2. Changez d'identité.

   Dans la console DataWorks, placez le curseur sur votre photo de profil dans le coin supérieur droit et cliquez sur Switch Identity pour vous connecter en tant que rôle RAM.

Étapes suivantes

Après avoir créé un espace de travail, vous pouvez :

• Ajouter le rôle RAM à un espace de travail DataWorks pour le développement de données

  Un administrateur d'espace de travail peut ajouter le rôle RAM en tant que membre de l'espace de travail. Pour plus d'informations, consultez Ajouter des membres à un espace de travail et gérer leurs rôles et autorisations.

• Utiliser le rôle RAM comme identité de planification de production dans MaxCompute

  Lorsque vous liez un moteur de calcul MaxCompute, définissez ce rôle RAM comme identité de planification de production. Après la configuration, n'utilisez pas le rôle à d'autres fins. Assurez-vous que toutes les tâches s'exécutent sur un groupe de ressources de planification dédié.