Contrôle d'accès aux ressources locataire au niveau du projet -

Cette rubrique présente la fonctionnalité de contrôle d'accès aux ressources locataire au niveau du projet, qui vous permet de configurer des autorisations d'accès fines, au niveau du projet, pour les ressources de niveau locataire dans MaxCompute.

Contexte

Les objets de ressource MaxCompute se divisent en objets locataire et objets au niveau du projet.

Objets locataire : incluent les sources de données externes, les connexions réseau, les images personnalisées et les groupes de quotas. Un administrateur locataire gère les autorisations associées à ces ressources via une politique RAM.
Objets au niveau du projet : objets appartenant à un projet, tels que les schémas, les tables, les rôles, les instances, les ressources, les fonctions et les vues. Un administrateur de projet contrôle les autorisations relatives à ces objets en utilisant les modèles d'autorisation intégrés à MaxCompute.

Vous pouvez utiliser les objets locataire dans plusieurs projets. Par défaut, MaxCompute ne vérifie pas si un projet est autorisé à exploiter un objet locataire. Si le propriétaire d'un objet locataire ne souhaite pas qu'un projet spécifique l'utilise, il peut activer le contrôle d'accès aux ressources locataire au niveau du projet afin d'associer explicitement la ressource à certains projets. Il s'agit d'un modèle de contrôle d'accès amélioré et facultatif.

Utilisation

MaxCompute propose deux modèles de sécurité pour gérer l'accès aux objets locataire au niveau du projet.

Important

Le commutateur de contrôle d'accès aux ressources locataire au niveau du projet s'applique à tous les objets locataire. Lorsque vous activez ce commutateur, les vérifications d'autorisation sont effectuées pour l'ensemble des ressources locataires.
Cette fonctionnalité est actuellement en aperçu et ne peut pas être activée directement. Pour l'utiliser, soumettez un ticket.

Mode 1 : Activer le contrôle d'accès aux ressources locataire au niveau du projet

Le créateur d'une ressource locataire spécifie quels projets peuvent utiliser la ressource en configurant une relation de montage entre celle-ci et les projets concernés.
Ensuite, l'administrateur de projet accorde aux utilisateurs du projet les autorisations nécessaires pour utiliser la ressource, via un modèle d'autorisation.

L'activation du contrôle d'accès aux ressources locataire au niveau du projet vous permet de définir quels projets sont autorisés à utiliser des objets locataire spécifiques. À ce jour, aucun commutateur ne permet à un administrateur locataire d'imposer cette fonctionnalité à tous les projets.

Mode 2 : Sans contrôle d'accès aux ressources locataire au niveau du projet

Tout utilisateur disposant des autorisations nécessaires pour exécuter des tâches dans un projet peut utiliser les ressources locataires requises par ces tâches.

Même si le créateur d'une ressource locataire configure des relations de montage entre les ressources et les projets, ou si un administrateur de projet accorde des autorisations d'utilisation (Usage) aux utilisateurs via une politique, ces paramètres restent sans effet lorsque le contrôle d'accès aux ressources locataire au niveau du projet est désactivé. En revanche, les autorisations basées sur des politiques au niveau locataire demeurent actives, indépendamment de ce paramètre.

Activer le contrôle d'accès aux ressources locataire au niveau du projet

Pour activer le contrôle d'accès aux ressources locataire au niveau du projet, procédez comme suit :

Montez les objets locataire sur les projets :
1. Connectez-vous à la console MaxCompute et sélectionnez une région dans le coin supérieur gauche.
2. Dans le volet de navigation de gauche, accédez à la page de configuration de l'objet cible : Manage Configurations > Quotas, Manage Configurations > Network Connection, Manage Configurations > External Data Source ou Manage Configurations > Images.
3. Dans la colonne Actions de l'objet cible, cliquez sur Enhance Access Management, sélectionnez les projets à monter, puis finalisez la configuration.
Consultez les objets locataire montés :
1. Dans le volet de navigation de gauche, choisissez Manage Configurations > Projects. Sur la page Projects, cliquez sur Manage dans la colonne Actions du projet cible pour ouvrir sa page de paramètres.
2. Sur la page Project Settings, sélectionnez l'onglet Parameter Configuration. Dans la section Permission Properties, cliquez sur Edit. Cliquez ensuite sur View Tenant Resources Bound to Projects pour afficher l'état du montage entre le projet et les ressources telles que les connexions réseau, les sources de données externes, les images personnalisées et les groupes de quotas.
Appliquez une politique aux objets locataire montés sur le projet :
1. Dans le volet de navigation de gauche, choisissez Manage Configurations > Projects. Sur la page Projects, cliquez sur Manage dans la colonne Actions du projet cible pour ouvrir sa page de paramètres.
2. Sur la page Project Settings, sélectionnez l'onglet Role Permissions. Identifiez le rôle au niveau du projet cible et cliquez sur Edit Role dans la colonne Actions.
3. Dans la boîte de dialogue Edit Role, définissez Authorization Method sur Policy.
4. Dans la zone de script Policy-based Access Control, modifiez la politique du rôle.
  
  Par exemple, la politique suivante autorise l'utilisateur a du projet project_a à utiliser un quota de 500 CU :
```
{
    "Statement":[
        {
            "Action":[
                "odps:Usage"
            ],
            "Effect":"Allow",
            "Resource":[
                "acs:odps:*:regions/*/quotas/500cu"
            ]
        }
    ],
    "Version":"1"
}
```
  Une fois que vous avez accordé à l'utilisateur a l'autorisation d'utiliser les ressources locataire au sein de project_a, vous pouvez contrôler l'accès aux ressources locataire au niveau de l'utilisateur ou du rôle lorsque le contrôle d'accès aux ressources locataire au niveau du projet est activé.
5. Pour plus d'informations sur la configuration des politiques, consultez la rubrique Contrôle d'accès basé sur des politiques.