MaxCompute:Protection des données de projet

CREATE TABLE project2.table2 AS SELECT * FROM project1.table1;

Après avoir activé la protection des données de projet, tenez compte des points suivants :

• Les opérations d'accès aux données interprojets sont bloquées car elles violent les règles de protection des données. Pour créer des exceptions, par exemple pour autoriser le flux sortant de certaines données vers d'autres projets, MaxCompute propose deux stratégies : Politique de flux sortant 1 : Configurer une politique d'exception et Politique de flux sortant 2 : Configurer un projet de confiance.

• La fonctionnalité de protection des données de projet contrôle les flux de données, mais pas les autorisations d'accès aux données. Le contrôle des flux de données n'est pertinent que si les utilisateurs disposent des autorisations d'accès aux données.

• Dans MaxCompute, la fonctionnalité de partage de ressources basé sur des packages entre projets est indépendante de la fonctionnalité de protection des données de projet. L'effet de ces fonctionnalités s'exclut mutuellement. Le partage de ressources basé sur des packages est prioritaire sur la protection des données de projet. Par exemple, si un utilisateur du projet B reçoit des autorisations d'accès à un objet du projet A via le partage de ressources basé sur des packages, la fonctionnalité de protection des données de projet ne s'applique pas à cet objet.

Configuration

SET ProjectProtection=true with exception <policyfile>;

 {
 "Version": "1",
 "Statement":
 [{
 "Effect":"Allow",
 "Principal":"<Principal>",
 "Action":["odps:<Action1>[, <Action2>, ...]"],
 "Resource":"acs:odps:*:<Resource>",
 "Condition":{
 "StringEquals": {
 "odps:TaskType":["<Tasktype>"]
 }
 }
 }]
 }

Exemple

-- Enable project data protection and set an exception policy. 
-- The policy_file is stored in the bin directory of the MaxCompute client installation path.
set ProjectProtection=true with exception policy_file; 

-- The following code shows the content of the policy_file.
{
 "Version": "1",
 "Statement":
 [{
 "Effect":"Allow",
 "Principal":"ALIYUN$Alice@aliyun.com",
 "Action":["odps:Select"],
 "Resource":"acs:odps:*:projects/project_test/tables/table_test",
 "Condition":{
 "StringEquals": {
 "odps:TaskType":["DT", "SQL"]
 }
 }
 }]
 }

L'exemple ci-dessus montre qu'Alice est autorisée à effectuer l'opération Select sur la table project_test.table_test dans une tâche SQL afin de transférer des données du projet project_test vers d'autres projets.

Considérations

Cette méthode peut entraîner des fuites de données en raison d'une erreur de type « time-of-check to time-of-use » (TOCTOU), également appelée condition de concurrence :

• Description du problème

  L'exemple suivant décrit comment un utilisateur transfère des données hors d'un projet.

  1. Étape TOC : l'utilisateur A soumet une demande au propriétaire du projet pour exporter les données de la table t1. Après avoir vérifié que la table t1 ne contient pas de données sensibles, le propriétaire du projet configure une politique d'exception pour autoriser l'utilisateur A à exporter les données de la table t1.

  2. Avant le début de l'étape TOU, d'autres utilisateurs écrivent des données sensibles dans la table t1.

  3. Étape TOU : l'utilisateur A exporte les données de la table t1. Toutefois, les données exportées de la table t1 contiennent les données sensibles écrites par d'autres utilisateurs.

• Solution

  Pour éviter ce problème, nous recommandons au propriétaire du projet de s'assurer qu'aucun autre utilisateur ne peut effectuer l'action Update pour mettre à jour la table, ni les actions Drop et CreateTable pour supprimer la table et en créer une nouvelle portant le même nom. Dans l'exemple précédent, nous recommandons au propriétaire du projet de créer un snapshot de la table t1 lors de l'étape TOC, puis d'utiliser ce snapshot pour configurer la politique d'exception. Assurez-vous également qu'aucun autre utilisateur ne se voit attribuer le rôle Admin.

Gestion

Le propriétaire du projet peut exécuter les commandes suivantes pour gérer les projets de confiance :

• Pour ajouter un projet de confiance au projet actuel, exécutez la commande suivante :

   add trustedproject <project_name>; 

• Pour supprimer un projet de confiance du projet actuel, exécutez la commande suivante :

   remove trustedproject <project_name>; 

• Pour interroger tous les projets de confiance du projet actuel, exécutez la commande suivante :

   list trustedprojects; 

Pour empêcher strictement le flux sortant des données d'un projet, après avoir activé la protection en exécutant set projectProtection=true;, vous devez également vérifier les configurations suivantes :

• Exécutez la commande list trustedprojects; pour vous assurer qu'aucun projet de confiance n'a été ajouté. Si des projets de confiance existent, évaluez les risques potentiels et exécutez la commande remove trustedproject <project_name>; pour supprimer ceux qui sont inutiles.

• Exécutez la commande show packages; pour vous assurer qu'aucun package n'est utilisé pour partager des données. Si des packages existent, assurez-vous qu'ils ne contiennent pas de données sensibles, ou exécutez la commande delete package <package_name>; pour supprimer ceux qui sont inutiles.

• Vous pouvez activer la fonctionnalité de protection des données de projet pour un projet afin d'empêcher l'exportation des données hors de celui-ci. L'utilisation de la fonctionnalité de protection des données de projet est similaire à celle de la fonctionnalité utilisée pour migrer des données entre projets. Les scénarios suivants sont pris en charge :

  • create table <table_in_another_project> as select * from <table_in_a_protected_project>

  • insert overwrite table <table_in_another_project> select * from <table_in_a_protected_project>

  • Écriture des données de table dans des tables d'un autre projet en exécutant des tâches Spark, MapReduce, Graph, Proxima CE et Machine Learning Platform for AI (PAI).

  • Exécution de la commande Tunnel download pour télécharger les données de table MaxCompute sur votre machine locale. Vous pouvez appeler SDK Tunnel ou utiliser Tunnel via un pilote JDBC (Java Database Connectivity).

  • Utilisation de la commande clone table pour copier les données de table vers une table d'un autre projet.

  • Appel d'une fonction définie par l'utilisateur (UDF) pour écrire les données de table dans des tables d'autres projets.

  • Appel d'une UDF pour écrire les données de table dans des tables externes MaxCompute.

• La fonctionnalité de protection des données de projet et le contrôle d'accès Download peuvent être utilisés conjointement pour un projet afin de télécharger des données. Si vous souhaitez télécharger des données depuis un projet, vous devez vérifier si vous disposez des autorisations associées sur ce projet.

  • Si vous activez la fonctionnalité de protection des données de projet et le contrôle d'accès Download pour un projet, vous pouvez télécharger des données depuis ce projet lorsque vous disposez des autorisations Download et Describe. Une authentification Describe est déclenchée avant que vous puissiez exécuter la commande Tunnel download.

  • Si vous activez la fonctionnalité de protection des données de projet et désactivez le contrôle d'accès Download pour un projet, vous pouvez télécharger des données depuis ce projet lorsque vous disposez de l'autorisation Select sur le projet et que vous configurez la politique d'exception pour le comportement de téléchargement.

  • Si vous désactivez la fonctionnalité de protection des données de projet et activez le contrôle d'accès Download pour un projet, vous pouvez télécharger des données depuis ce projet lorsque vous disposez des autorisations Download et Describe.

  • Si vous désactivez la fonctionnalité de protection des données de projet et le contrôle d'accès Download pour un projet, vous pouvez télécharger des données depuis ce projet lorsque vous disposez de l'autorisation Select sur le projet.