comment gérer les autorisations des utilisateurs dans la console - MaxCompute

MaxCompute vous permet d'accorder des autorisations aux comptes RAM (utilisateurs et rôles RAM) via des rôles dans la console MaxCompute. Vous pouvez attribuer des autorisations au niveau du projet et du locataire en utilisant une liste de contrôle d'accès (ACL) ou une autorisation basée sur des politiques.

Accorder des autorisations de gestion au niveau du projet

Les autorisations de gestion au niveau du projet couvrent la configuration de la sécurité du projet, la gestion des utilisateurs et des rôles, la gestion des packages, le contrôle d'accès basé sur les libellés et le nettoyage des autorisations expirées. Pour plus d'informations, consultez la rubrique Liste des autorisations de gestion de projet.

Procédure

Connectez-vous à la console MaxCompute et sélectionnez une région dans le coin supérieur gauche.
Dans le volet de navigation de gauche, choisissez Manage Configurations > Projects.
Sur la page Projects, cliquez sur Manage dans la colonne Actions pour le projet cible.
Sur la page Project Settings, cliquez sur l'onglet Role Permissions.

Sous l'onglet Role Permissions, vous pouvez créer un rôle Admin ou modifier les autorisations d'un rôle Admin existant.

Remarque
Par défaut, seul un compte Alibaba Cloud est autorisé à gérer les rôles d'un projet. Pour accorder des autorisations à l'aide d'un compte RAM, tel qu'un utilisateur ou un rôle RAM, le compte doit disposer des autorisations de gestion de projet requises.
- Créer un rôle Admin
  1. Cliquez sur Create Project-level Role pour créer un rôle de projet disposant des autorisations MaxCompute nécessaires.
  2. Dans la boîte de dialogue Create Role, configurez les paramètres comme indiqué, puis cliquez sur OK.
    
    Définissez le paramètre Role Type sur Admin, puis saisissez une politique d'autorisation.
- Modifier les autorisations d'un rôle Admin existant.
  
  Sous l'onglet Role Permissions, localisez le rôle cible et cliquez sur Modify Authorization dans la colonne Actions. Après avoir modifié la politique, cliquez sur Confirm pour enregistrer les modifications.
Pour plus d'informations sur les valeurs Action et Resource, consultez la rubrique Liste des autorisations de gestion de projet.
Localisez le rôle au niveau du projet cible et cliquez sur Manage Members dans la colonne Actions. Dans la boîte de dialogue Manage Members, vous pouvez afficher les membres assignés au rôle, attribuer le rôle à des utilisateurs ou retirer des utilisateurs du rôle, ce qui révoque leurs droits.

Exemples de politiques

Remarque

Les autorisations de gestion d'un module impliquent souvent plusieurs actions et ressources. Les exemples utilisent un caractère générique (*) pour accorder des autorisations sur plusieurs objets simultanément.
Pour plus d'informations sur les valeurs Action et Resource, consultez la rubrique Liste des autorisations de gestion de projet.
Remplacez project_name par le nom de votre projet MaxCompute.

Gestion des rôles

Cette politique accorde des autorisations pour gérer les rôles.

{
  "Statement": [
    {
      "Action": [
        "odps:*"
      ],
      "Effect": "Allow",
      "Resource": [
        "acs:odps:*:projects/project_name/authorization/roles",
        "acs:odps:*:projects/project_name/authorization/roles/*/*"
      ]
    }
  ],
  "Version": "1"
}

Gestion des packages

Cette politique accorde des autorisations pour gérer les packages.

{
  "Statement": [
    {
      "Action": [
        "odps:*"
      ],
      "Effect": "Allow",
      "Resource": [
        "acs:odps:*:projects/project_name/authorization/packages",
        "acs:odps:*:projects/project_name/authorization/packages/*",
        "acs:odps:*:projects/project_name/authorization/packages/*/*/*"
      ]
    }
  ],
  "Version": "1"
}

Remarque

Pour gérer les packages dans la console, l'utilisateur doit disposer de l'autorisation list sur le projet. Accordez d'abord l'autorisation list sur le projet actuel. Pour l'autorisation basée sur la console, consultez la section Accorder des autorisations d'exploitation au niveau du projet sur les objets. Pour l'autorisation basée sur les commandes, consultez la rubrique Gérer les autorisations des utilisateurs à l'aide de commandes.

Sécurité du projet

Cette politique accorde des autorisations pour modifier les configurations de sécurité du projet.

{
  "Statement":[
    {
      "Action":[
        "odps:*"
      ],
      "Effect":"Allow",
      "Resource":[
        "acs:odps:*:projects/project_name/authorization/configurations/*"
      ]
    }
  ],
  "Version":"1"
}

Gestion des utilisateurs

Cette politique accorde des autorisations pour gérer les utilisateurs du projet.

{
  "Statement":[
    {
      "Action":[
        "odps:*"
      ],
      "Effect":"Allow",
      "Resource":[
        "acs:odps:*:projects/project_name/authorization/users"
      ]
    }
  ],
  "Version":"1"
}

Toutes les autorisations de gestion

Cette politique accorde toutes les autorisations de gestion.

{
  "Statement":[
    {
      "Action":[
        "odps:*"
      ],
      "Effect":"Allow",
      "Resource":[
        "acs:odps:*:projects/project_name/authorization/*"
      ]
    }
  ],
  "Version":"1"
}

Accorder des autorisations d'exploitation au niveau du projet sur les objets

Les autorisations d'exploitation au niveau du projet s'appliquent aux objets d'un projet, tels que les tables, les fonctions et les ressources. Parmi les exemples figurent CreateTable, CreateInstance et SelectTable. Pour plus d'informations, consultez la rubrique Liste des autorisations pour les projets et les objets au sein des projets.

Procédure

Connectez-vous à la console MaxCompute et sélectionnez une région dans le coin supérieur gauche.
Dans le volet de navigation de gauche, choisissez Manage Configurations > Projects.
Sur la page Projects, cliquez sur Manage dans la colonne Actions pour le projet cible.
Sur la page Project Settings, cliquez sur l'onglet Role Permissions.

Vous pouvez créer un rôle Resource ou modifier un rôle Resource existant.

Remarque
Par défaut, seul un compte Alibaba Cloud est autorisé à gérer les rôles d'un projet. Pour accorder des autorisations à l'aide d'un compte RAM, tel qu'un utilisateur ou un rôle RAM, le compte doit disposer des autorisations de gestion de projet requises.
- Créer un rôle Resource
  1. Cliquez sur Create Project-level Role pour créer un rôle de projet disposant des autorisations MaxCompute nécessaires.
  2. Dans la boîte de dialogue Create Role, configurez les paramètres comme indiqué, puis cliquez sur OK.
    
    Définissez le paramètre Role Type sur Resource. Ensuite, accordez les autorisations à l'aide d'une ACL ou d'une politique.
- Modifier les autorisations d'un rôle Resource existant
  - Sous l'onglet Role Permissions, localisez le rôle cible et cliquez sur Modify Authorization dans la colonne Actions. Modifiez ensuite les autorisations à l'aide d'une ACL ou en modifiant la politique.
Pour plus d'informations sur les autorisations, consultez la rubrique Liste des autorisations pour les projets et les objets au sein des projets. Cette rubrique fournit des exemples d'octroi d'autorisations via une ACL et des politiques dans la console. Pour plus de détails, consultez la section Accorder des autorisations de gestion au niveau du projet.
Localisez le rôle au niveau du projet cible et cliquez sur Manage Members dans la colonne Actions. Dans la boîte de dialogue Manage Members, vous pouvez afficher les membres assignés au rôle, attribuer le rôle à des utilisateurs ou retirer des utilisateurs du rôle, ce qui révoque leurs droits.

Exemples d'autorisation

Remarque

Pour plus d'informations sur les actions et les objets relatifs aux autorisations d'exploitation au niveau du projet, consultez la rubrique Liste des autorisations pour les projets et les objets au sein des projets.
Remplacez project_name par le nom de votre projet MaxCompute.

ACL

Vous pouvez utiliser une ACL pour accorder à un rôle Resource les autorisations de création de tables (CreateTable) et d'instances (CreateInstance), de listage de tous les types d'objets dans le projet (List), ainsi que de lecture des métadonnées (Describe) et des données (Select) de toutes les tables.

Remarque

Ne fermez pas la barre de progression ni la page pendant l'opération d'autorisation. Sinon, l'autorisation sera interrompue.

Politique

Cette politique accorde à un rôle Resource les autorisations de création de tables (CreateTable) et d'instances (CreateInstance), de listage de tous les types d'objets dans le projet (List), de lecture des métadonnées de toutes les tables (Describe) et de lecture des données de toutes les tables (Select).

{
    "Statement": [{
            "Action": ["odps:CreateTable","odps:CreateInstance","odps:List"],
            "Effect": "Allow",
            "Resource": ["acs:odps:*:projects/project_name"]},
        {
            "Action": ["odps:Describe","odps:Select"],
            "Effect": "Allow",
            "Resource": ["acs:odps:*:projects/project_name/tables/*"]}],
    "Version": "1"}

Cette politique accorde à un rôle Resource les autorisations de lecture des métadonnées (Describe) et d'interrogation des données (Select) pour toutes les tables dont le nom commence par tmp, de lecture et de mise à jour de toutes les ressources et fonctions, et refuse l'autorisation de suppression de toute table.

{
    "Statement": [{
            "Action": ["odps:Describe","odps:Select"],
            "Effect": "Allow",
            "Resource": ["acs:odps:*:projects/project_name/tables/tmp_*"]},
        {
            "Action": ["odps:Read","odps:Write"],
            "Effect": "Allow",
            "Resource": ["acs:odps:*:projects/project_name/resources/*"]},
            {
            "Action": ["odps:Read","odps:Write"],
            "Effect": "Allow",
            "Resource": ["acs:odps:*:projects/project_name/functions/*"]},
            {
            "Action": ["odps:Drop"],
            "Effect": "Deny",
            "Resource": ["acs:odps:*:projects/project_name/tables/*"]}],
    "Version": "1"}

Si le stockage des données par schéma est activé pour le projet (consultez la rubrique Opérations sur les schémas), vous devez modifier la politique comme suit :

{
    "Statement": [{
            "Action": ["odps:Describe","odps:Select"],
            "Effect": "Allow",
            "Resource": ["acs:odps:*:projects/project_name/schemas/*/tables/tmp_*"]},
        {
            "Action": ["odps:Read","odps:Write"],
            "Effect": "Allow",
            "Resource": ["acs:odps:*:projects/project_name/schemas/*/resources/*"]},
            {
            "Action": ["odps:Read","odps:Write"],
            "Effect": "Allow",
            "Resource": ["acs:odps:*:projects/project_name/schemas/*/functions/*"]},
            {
            "Action": ["odps:Drop"],
            "Effect": "Deny",
            "Resource": ["acs:odps:*:projects/project_name/schemas/*/tables/*"]}],
    "Version": "1"}

Accorder des autorisations de gestion au niveau du locataire

Les autorisations de gestion au niveau du locataire couvrent les opérations sur les utilisateurs et les rôles au niveau du locataire, notamment l'ajout ou la suppression d'utilisateurs, la création ou la suppression de rôles, l'affichage des utilisateurs et des rôles, l'attribution ou la révocation de rôles pour les utilisateurs, ainsi que l'ajout ou la suppression de rôles dans les projets.

Remarque

Seul un compte Alibaba Cloud ou un utilisateur disposant du rôle Super_Administrator ou Admin au niveau du locataire peut gérer les autorisations au niveau du locataire.

Pour accorder des autorisations de gestion à un compte RAM (utilisateur ou rôle RAM), utilisez un compte Alibaba Cloud pour attribuer le rôle Super_Administrator ou Admin. Ces rôles offrent des autorisations de gestion étendues. Pour plus de détails, consultez la rubrique Planification des rôles. Faites preuve de prudence lors de l'attribution de ces rôles. Pour plus d'informations sur les rôles au niveau du locataire, consultez la rubrique Accorder des autorisations de rôle au niveau du locataire.

Connectez-vous à la console MaxCompute et sélectionnez une région dans le coin supérieur gauche.
Dans le volet de navigation de gauche, choisissez Manage Configurations > Tenants .
Sur la page Tenants, cliquez sur l'onglet Users.
Sous l'onglet Users, localisez l'utilisateur RAM cible et cliquez sur Modify Role dans la colonne Actions.

Dans la boîte de dialogue Edit Role, déplacez les rôles souhaités de la section Available Roles vers la section Added Roles, puis cliquez sur OK.

Accorder des autorisations d'exploitation sur les objets au niveau du locataire

Les autorisations d'exploitation sur les objets au niveau du locataire s'appliquent aux objets au niveau du locataire, tels que les quotas et les connexions réseau. Parmi les exemples figurent Usage et CreateNetworkLink. Ces autorisations permettent également à un seul compte de gérer des objets sur plusieurs projets, ce qui simplifie la gestion des autorisations. Pour plus d'informations sur les rôles au niveau du locataire, consultez la rubrique Accorder des autorisations de rôle au niveau du locataire.

Procédure

Connectez-vous à la console MaxCompute et sélectionnez une région dans le coin supérieur gauche.
Dans le volet de navigation de gauche, choisissez Manage Configurations > Tenants .
Sur la page Tenants, cliquez sur l'onglet Roles.

Sur la page Roles, vous pouvez créer un nouveau rôle au niveau du locataire ou gérer les autorisations d'un rôle personnalisé existant.

Remarque

Seul un compte Alibaba Cloud ou un utilisateur disposant du rôle Super_Administrator ou Admin au niveau du locataire peut gérer les autorisations au niveau du locataire.

Ajouter un rôle au niveau du locataire

Sous l'onglet Roles, cliquez sur Add Role. Dans la boîte de dialogue Add Role, saisissez un Role Name personnalisé, fournissez le Policy Content, puis cliquez sur OK.

Paramètre

Description

Nom du rôle

Nom du nouveau rôle au niveau du locataire. Il doit être unique au sein de votre compte Alibaba Cloud, comporter entre 6 et 64 caractères, commencer par une lettre et contenir uniquement des lettres, des chiffres et des traits de soulignement (_).

Contenu de la politique

Politique d'autorisation pour le rôle. Modifiez le code de la politique en vous basant sur un modèle.

Modifier les autorisations d'un rôle au niveau du locataire existant

Sous l'onglet Roles, localisez le rôle cible et cliquez sur Manage Permissions dans la colonne Actions. Modifiez la politique d'autorisation et cliquez sur OK pour enregistrer vos modifications.

Sous l'onglet Users, localisez l'utilisateur que vous souhaitez autoriser et cliquez sur Modify Role dans la colonne Actions.

Dans la boîte de dialogue Edit Role, déplacez les rôles souhaités de la section Available Roles vers la section Added Roles, puis cliquez sur OK.

Exemples de politiques

Remarque

Ces exemples utilisent un caractère générique (*) pour accorder des autorisations sur plusieurs objets simultanément.
Pour plus d'informations sur les actions et les ressources spécifiques, consultez la rubrique Liste des autorisations sur les objets dans un locataire.

Cette politique accorde à un rôle au niveau du locataire l'autorisation Usage sur tous les quotas dans toutes les régions, ainsi que les autorisations CreateNetworkLink, List et Execute sur toutes les connexions réseau.

{
    "Statement":[
      {
            "Action":[
                "odps:Usage"
            ],
            "Effect":"Allow",
            "Resource":[
                "acs:odps:*:regions/*/quotas/*"
            ]
      },
      {
            "Action":[
                "odps:CreateNetworkLink",
                "odps:List",
                "odps:Execute"
            ],
            "Effect":"Allow",
            "Resource":[
                "acs:odps:*:networklinks/*"
            ]
      }
    ],
    "Version":"1"
}

Cette politique accorde à un rôle au niveau du locataire toutes les autorisations d'exploitation sur les projets MaxCompute project_1 et project_2.
```
{
    "Statement":[
        {
            "Action":[
                "odps:*"
            ],
            "Effect":"Allow",
            "Resource":[
                "acs:odps:*:projects/project_1",
                "acs:odps:*:projects/project_1/*",
                "acs:odps:*:projects/project_2",
                "acs:odps:*:projects/project_2/*"
            ]
        }
    ],
    "Version":"1"
}
```
Remarque
Seul le propriétaire du projet ou un utilisateur disposant du rôle Super_Administrator ou Admin du projet peut effectuer cette action. Après avoir accordé des autorisations sur un objet de projet via un rôle au niveau du locataire, vous devez ajouter ce rôle au projet pour que les autorisations prennent effet. Sous l'onglet Role Permissions, définissez le paramètre Role Level sur Tenant. Localisez ensuite le rôle cible et cliquez sur Enable dans la colonne Actions.