MaxCompute:Gestion des autorisations basée sur les stratégies pour les utilisateurs dotés de rôles intégrés

Prérequis

Avant de commencer, assurez-vous de disposer des éléments suivants :

• Le client MaxCompute est installé. Pour plus d'informations, consultez la rubrique Installation et configuration du client MaxCompute.

• Le rôle de propriétaire du projet, ou le rôle intégré Super_Administrator ou Admin dans le projet cible.

Contexte

Pour les utilisateurs déjà associés à un rôle intégré, le mécanisme basé sur les stratégies s'avère plus efficace que celui basé sur les listes de contrôle d'accès (ACL) pour un contrôle granulaire des autorisations. Le tableau ci-dessous indique quand utiliser chaque méthode.

Pour en savoir plus, consultez les rubriques Utilisateurs et rôles et Contrôle d'accès et contrôle de téléchargement basés sur les stratégies.

Accorder des autorisations à l'aide du mécanisme basé sur les stratégies

L'exemple suivant illustre comment empêcher l'utilisateur RAM Alice (associée au rôle Development) de supprimer les tables dont le nom commence par tb_. Alice appartient au compte Alibaba Cloud bo*@aliyun.com.

Cette approche consiste à créer un rôle de refus distinct (delete_test) plutôt qu'à modifier directement le rôle intégré. Cela permet d'isoler la règle de refus et de faciliter sa révocation : vous pouvez la retirer d'un utilisateur sans affecter les autres personnes partageant le même rôle intégré.

1. Installez et démarrez le client MaxCompute.

2. Exécutez la commande CREATE ROLE pour créer un rôle nommé delete_test.

   CREATE ROLE delete_test;

   Pour plus d'informations, consultez la rubrique Planification des rôles.

3. Exécutez la commande GRANT afin de configurer le rôle delete_test pour refuser les opérations DROP sur toutes les tables dont le nom commence par tb_.

   GRANT DROP ON TABLE tb_* TO ROLE delete_test privilegeproperties("policy" = "true", "allow"="false");

   L'indicateur "policy" = "true" active le mécanisme basé sur les stratégies. L'indicateur "allow"="false" définit la règle comme un refus. Pour plus d'informations sur la syntaxe GRANT, consultez la section « Contrôle d'accès basé sur les stratégies à l'aide de l'instruction GRANT » dans la rubrique Contrôle d'accès et contrôle de téléchargement basés sur les stratégies.

4. Exécutez la commande GRANT pour attribuer le rôle delete_test à Alice.

   GRANT delete_test TO ram$bo*@aliyun.com:Alice;

   Si vous ignorez le compte Alibaba Cloud auquel Alice appartient, exécutez la commande LIST USERS; sur le client MaxCompute pour le rechercher. Pour plus d'informations, consultez la rubrique Planification des rôles.

5. Exécutez la commande SHOW GRANTS pour vérifier les autorisations d'Alice.

   SHOW GRANTS FOR ram$bo*@aliyun.com:Alice;

   Vérifiez que la sortie inclut un bloc [role/delete_test] sous Authorization Type: Policy avec un préfixe D (Deny) sur l'entrée tb_*: Drop.

   [roles]
   role_project_admin, delete_test
   
   Authorization Type: Policy
   [role/delete_test]
   D       projects/mcproject_name/tables/tb_*: Drop
   [role/role_project_admin]
   A       projects/mcproject_name: *
   A       projects/mcproject_name/instances/*: *
   A       projects/mcproject_name/jobs/*: *
   A       projects/mcproject_name/offlinemodels/*: *
   A       projects/mcproject_name/packages/*: *
   A       projects/mcproject_name/registration/functions/*: *
   A       projects/mcproject_name/resources/*: *
   A       projects/mcproject_name/tables/*: *
   A       projects/mcproject_name/volumes/*: *
   
   Authorization Type: ObjectCreator
   AG      projects/mcproject_name/tables/local_test: All
   AG      projects/mcproject_name/tables/mr_multiinout_out1: All
   AG      projects/mcproject_name/tables/mr_multiinout_out2: All
   AG      projects/mcproject_name/tables/ramtest: All
   AG      projects/mcproject_name/tables/wc_in: All
   AG      projects/mcproject_name/tables/wc_in1: All
   AG      projects/mcproject_name/tables/wc_in2: All
   AG      projects/mcproject_name/tables/wc_out: All

   Pour plus d'informations, consultez la rubrique Interrogation des autorisations à l'aide de MaxCompute SQL.

6. Connectez-vous au client MaxCompute en tant qu'Alice et exécutez la commande DROP TABLE pour tester la restriction.

   DROP TABLE tb_test;

   Si la règle de refus est active, la commande échoue avec une erreur similaire à :

   FAILED: Catalog Service Failed, ErrorCode: 50, Error Message: ODPS-0130013:Authorization exception - Authorization Failed [4011],
   You have NO privilege 'odps:Drop' on {acs:odps:*:projects/mcproject_name/tables/tb_test}.
   Explicitly denied by policy.
   Context ID:85efa8e9-40da-4660-bbfd-b503dfa64c0a. --->Tips: Pricipal:RAM$bo*@aliyun.com:Alice; Deny by policy

   Deux expressions confirment que la règle de refus basée sur les stratégies est effective : Explicitly denied by policy au milieu de l'erreur, et Deny by policy à la fin. Si aucune de ces expressions n'apparaît, ou si la table est supprimée, vérifiez que toutes les étapes précédentes ont été correctement effectuées.

Révoquer des autorisations à l'aide du mécanisme basé sur les stratégies

Si les tables préfixées par tb_ ne sont plus critiques et que vous souhaitez autoriser Alice à les supprimer, révoquez l'autorisation de refus à l'aide de l'une des deux méthodes ci-dessous.