MaxCompute:Contrôle d'accès ACL

Le contrôle d'accès basé sur les ACL s'applique aux scénarios suivants.

Avant d'utiliser le contrôle d'accès basé sur les ACL, assurez-vous de disposer des informations suivantes :

• Le nom de compte ou le nom de rôle du destinataire. L'utilisateur ou le rôle doit être ajouté au projet MaxCompute. Les formats de compte sont les suivants : un compte Alibaba Cloud se présente sous la forme ALIYUN$<account_id>, un compte utilisateur RAM se présente sous la forme RAM$<account_id>:<RAM user UID>, et un rôle RAM se présente sous la forme RAM$<account_id>:role/<RAM role name>.

  Vous pouvez exécuter la commande list users; ou list roles; dans le client MaxCompute pour récupérer les noms de compte ou de rôle.

  Pour ajouter un utilisateur ou un rôle, consultez les rubriques Planification et gestion des utilisateurs ou Planification des rôles.

• Le type d'objet, le nom de l'objet et les actions à accorder.

  Pour plus d'informations sur les types d'objets et les actions, consultez la rubrique Autorisations MaxCompute.

Les limites suivantes s'appliquent au contrôle d'accès basé sur les ACL :

• Vous ne pouvez accorder des autorisations qu'à des utilisateurs ou des rôles existants sur des objets existants. Cela évite les risques de sécurité liés à la suppression et à la recréation d'un objet portant le même nom.

• Le contrôle d'accès basé sur les ACL ne prend pas en charge l'autorisation avec la clause [with grant option]. Par exemple, si l'utilisateur A accorde à l'utilisateur B l'accès à un objet, l'utilisateur B ne peut pas ensuite accorder cette autorisation à l'utilisateur C.

• L'autorisation ACL utilise un modèle de liste d'autorisation et ne prend pas en charge le modèle de liste de blocage.

Tenez compte des points suivants lorsque vous utilisez le contrôle d'accès basé sur les ACL :

• Si vous supprimez un objet, MaxCompute révoque automatiquement toutes les autorisations ACL qui lui sont associées.

• Lorsqu'un utilisateur est supprimé, ses autorisations sont conservées. Si l'utilisateur est ajouté ultérieurement au projet, ses autorisations précédentes sont automatiquement restaurées. Pour effacer définitivement les autorisations d'un utilisateur, consultez la rubrique Effacer les autorisations résiduelles d'un utilisateur supprimé.

Les commandes de contrôle d'accès basées sur les ACL utilisent la syntaxe suivante :

• Accorder des autorisations ACL

  grant <actions> on <object_type> <object_name> 
  [(<column_list>)] to <subject_type> <subject_name> 
  [privilegeproperties("conditions" = "<conditions>", "expires"="<days>")];

• Révoquer des autorisations ACL

  revoke <actions> on <object_type> <object_name> 
  [(<column_list>)] from <subject_type> <subject_name>;

• Contrôle d'accès au niveau des colonnes

  grant <actions> on table <table_name> (<column_list>) to <subject_type> <subject_name>;
  revoke <actions> on table <table_name> (<column_list>) from <subject_type> <subject_name>;

Le tableau suivant décrit les paramètres.

Supposons que Bob@aliyun.com (ID de compte : 5527xxxxxxxx5788) soit le propriétaire du projet test_project_a, et qu'Allen (UID : 1652xxxxxxxxxx1538), Alice (UID : 2763xxxxxxxxxx1649) et Tom (UID : 3874xxxxxxxxxx1850) soient des utilisateurs RAM sous Bob@aliyun.com. Les exemples suivants illustrent des opérations d'autorisation à l'aide du client MaxCompute.

• Exemple 1 : Accorder des autorisations à un utilisateur

  Créez la table sale_detail dans le projet test_project_a et accordez à l'utilisateur Allen les autorisations Describe (lecture des métadonnées) et Select (lecture des données) sur cette table. Voici des exemples de commandes.

  -- Bob switches to the test_project_a project.
  use test_project_a; 
  --Create a partitioned table named sale_detail.
  create table if not exists sale_detail
  (
  shop_name     string,
  customer_id   string,
  total_price   double
  )
  partitioned by (sale_date string, region string);
  --Add the user Allen as a project member.
  add user RAM$5527xxxxxxxx5788:1652xxxxxxxxxx1538;
  --Grant permissions to Allen.
  grant Describe, Select on table sale_detail to USER RAM$5527xxxxxxxx5788:1652xxxxxxxxxx1538;
  --View the permissions granted to Allen.
  show grants for RAM$5527xxxxxxxx5788:1652xxxxxxxxxx1538; 
  --The authorization result is as follows.
  Authorization Type: ACL
  [user/RAM$5527xxxxxxxx5788:1652xxxxxxxxxx1538]
  A       projects/test_project_a/tables/sale_detail: Describe | Select

• Exemple 2 : Accorder des autorisations au niveau des colonnes à un utilisateur

  En vous basant sur la table sale_detail créée dans l'exemple 1, accordez à l'utilisateur Alice toutes les autorisations sur les colonnes shop_name et customer_id de la table sale_detail. Voici des exemples de commandes.

  -- Bob switches to the test_project_a project.
  use test_project_a; 
  --Add user Alice as a project member.
  add user RAM$5527xxxxxxxx5788:2763xxxxxxxxxx1649;
  --Grant column-level permissions to Alice.
  grant All on table sale_detail (shop_name, customer_id) to USER RAM$5527xxxxxxxx5788:2763xxxxxxxxxx1649;
  --View the permissions granted to Alice.
  show grants for RAM$5527xxxxxxxx5788:2763xxxxxxxxxx1649; 
  --The authorization result is as follows.
  Authorization Type: ACL
  [user/RAM$5527xxxxxxxx5788:2763xxxxxxxxxx1649]
  A       projects/test_project_a/tables/sale_detail/customer_id: All
  A       projects/test_project_a/tables/sale_detail/shop_name: All

• Exemple 3 : Révoquer les autorisations des utilisateurs

  Sur la base des exemples 1 et 2, révoquez les autorisations des utilisateurs Allen et Alice. Voici des exemples de commandes.

  -- Bob switches to the test_project_a project.
  use test_project_a; 
  --Revoke the permissions from Allen.
  revoke Describe, Select on table sale_detail (shop_name, customer_id) from USER RAM$5527xxxxxxxx5788:1652xxxxxxxxxx1538;
  --Revoke the permissions from Alice.
  revoke All on table sale_detail (shop_name, customer_id) from USER RAM$5527xxxxxxxx5788:2763xxxxxxxxxx1649;
  --Check Allen's permissions after revocation. The Describe and Select permissions are removed from the permission list.
  show grants for RAM$5527xxxxxxxx5788:1652xxxxxxxxxx1538; 
  --Check Alice's permissions after revocation. The All permission is removed from the permission list.
  show grants for RAM$5527xxxxxxxx5788:2763xxxxxxxxxx1649; 

• Exemple 4 : Accorder les mêmes autorisations à plusieurs utilisateurs à l'aide d'un rôle

  Accordez à Alice, Tom et à un autre compte Alibaba Cloud, Lily@aliyun.com (ID de compte : 5638xxxxxxxx6899), les autorisations nécessaires pour créer des instances, des ressources, des fonctions et des tables, ainsi que pour répertorier tous les types d'objets dans le projet test_project_a. Voici des exemples de commandes.

  -- Bob switches to the test_project_a project.
  use test_project_a; 
  --Add the users Alice, Tom, and Lily@aliyun.com as project members.
  add user RAM$5527xxxxxxxx5788:2763xxxxxxxxxx1649;
  add user RAM$5527xxxxxxxx5788:3874xxxxxxxxxx1850;
  add user ALIYUN$5638xxxxxxxx6899;
  --Create the Worker role.
  create role Worker; 
  --Assign the Worker role to the users.
  grant Worker TO RAM$5527xxxxxxxx5788:2763xxxxxxxxxx1649; 
  grant Worker TO RAM$5527xxxxxxxx5788:3874xxxxxxxxxx1850; 
  grant Worker TO ALIYUN$5638xxxxxxxx6899; 
  --Grant the Worker role the permissions to create instances, resources, functions, and tables, and to list all object types in the test_project_a project.
  grant CreateInstance, CreateResource, CreateFunction, CreateTable, List on project test_project_a TO ROLE Worker;
  --View the permissions for the user Lily.
  show grants for ALIYUN$5638xxxxxxxx6899; 
  --The following authorization result indicates that the user Lily has the specified permissions.
  [roles]
  worker
  
  Authorization Type: ACL
  [role/worker]
  A       projects/test_project_a: CreateTable | CreateResource | CreateInstance | CreateFunction | List

• Exemple 5 : Révoquer les mêmes autorisations basées sur un rôle pour plusieurs utilisateurs

  Sur la base de l'exemple 4, révoquez les autorisations des utilisateurs Alice, Tom et Lily@aliyun.com. Voici des exemples de commandes.

  -- Bob switches to the test_project_a project.
  use test_project_a; 
  --Revoke the Worker role from the users Alice, Tom, and Lily@aliyun.com.
  revoke Worker from RAM$5527xxxxxxxx5788:2763xxxxxxxxxx1649;
  revoke Worker from RAM$5527xxxxxxxx5788:3874xxxxxxxxxx1850;
  revoke Worker from ALIYUN$5638xxxxxxxx6899;
  --Check Lily's permissions after revocation. The permission list no longer includes the Worker role.
  show grants for ALIYUN$5638xxxxxxxx6899; 

Une fois que vous avez compris le fonctionnement de l'autorisation ACL, vous pouvez gérer les autorisations en fonction de vos besoins métier :

• Autorisation basée sur les rôles au niveau du projet

• Gérer les autorisations des utilisateurs à l'aide de commandes

• Interroger les autorisations d'un utilisateur, d'un rôle ou d'un objet