MaxCompute:Planification des rôles

Types de rôles

Rôles intégrés

MaxCompute fournit deux rôles d'administrateur intégrés au niveau du projet et deux au niveau du locataire : Super_Administrator et Admin.

Au niveau du projet, le propriétaire du projet détient toutes les autorisations relatives à ce projet. Les autres utilisateurs ne peuvent pas accéder aux objets du projet sauf s'ils y ont été autorisés par le propriétaire.

Rôles personnalisés

MaxCompute vous permet de créer des rôles d'administrateur et de ressource personnalisés afin de classer et de gérer les utilisateurs selon vos besoins métier.

Opérations de gestion des rôles

Le tableau suivant décrit les opérations de gestion des rôles prises en charge par MaxCompute.

Permissions des rôles d'administrateur au niveau du projet

Instructions

Créer un rôle au niveau du projet

Vous pouvez créer un nouveau rôle dans un projet MaxCompute.

• Syntaxe de la commande

  create role <role_name> [privilegeproperties("type"="admin|resource")];

• Paramètres

  Parameter	Required	Description
  role_name	Yes	Nom du nouveau rôle. Il doit être unique au sein du projet et respecter les règles suivantes : Commencer par une lettre. Contenir uniquement des lettres et des chiffres. Compter au maximum 64 caractères. Pour afficher les rôles créés, exécutez la commande list roles; dans le MaxCompute client.
  privilegeproperties	No	Définit le type de rôle : "type"="admin" : Crée un rôle administratif, qui ne peut être autorisé que via une politique. "type"="resource" : Crée un rôle de type ressource. Il s'agit du type par défaut si aucun type n'est spécifié. Ce type de rôle prend en charge l'autorisation via des listes de contrôle d'accès (ACL) et des politiques.

• Exemples

  • Créer un rôle de ressource nommé Worker.

    create role Worker;

  • Créer un rôle d'administrateur nommé sale_admin.

     create role sale_admin privilegeproperties("type"="admin");

Afficher la liste des rôles au niveau du projet

Vous pouvez consulter la liste des rôles créés dans un projet MaxCompute.

• Syntaxe de la commande

  list roles;

• Exemple

  Afficher les rôles d'un projet MaxCompute.

  list roles;

  La commande renvoie le résultat suivant :

  admin
  Super_Administrator
  worker

Supprimer un rôle au niveau du projet

Vous pouvez supprimer un rôle existant d'un projet MaxCompute.

• Syntaxe de la commande

  drop role <role_name>;

• Remarques sur l'utilisation

  Lorsque vous supprimez un rôle, MaxCompute vérifie si ce rôle est attribué à des utilisateurs. Si c'est le cas, l'opération échoue. Vous devez révoquer le rôle pour tous les utilisateurs avant de pouvoir le supprimer. Pour révoquer un rôle d'un utilisateur, consultez la rubrique Revoke a role from a user.

• Paramètres

  Parameter	Required	Description
  role_name	Yes	Nom du rôle à supprimer. Pour obtenir la liste des rôles créés, exécutez la commande list roles; dans le MaxCompute client.

• Exemple

  Supprimer le rôle Worker.

  drop role Worker;

Purger les informations d'autorisation

Lorsque vous supprimez un rôle d'un projet MaxCompute, ses données d'autorisation associées, telles que les listes de contrôle d'accès (ACL), les politiques et les libellés, restent dans le projet. Si vous créez ultérieurement un nouveau rôle portant le même nom, celui-ci hérite des autorisations du rôle supprimé. Pour éviter cela, vous pouvez purger les autorisations d'un rôle supprimé. Si un rôle supprimé conserve des informations d'autorisation résiduelles, le propriétaire du projet ou un utilisateur disposant du rôle Admin ou Super_Administrator peut exécuter la commande suivante pour purger ces informations.

• Syntaxe de la commande

  purge privs from role <role_name>;

• Paramètres

  Parameter	Required	Description
  role_name	Yes	Nom du rôle supprimé. Pour afficher les rôles créés, exécutez la commande list roles; dans le MaxCompute client.

  Remarque

  Avant de purger les autorisations d'un rôle, assurez-vous que celui-ci a bien été supprimé. Si vous exécutez cette commande sur un rôle existant, le système renvoie le message d'erreur suivant : "Principal <role_name> still exist in the project".

Étapes suivantes

• Une fois vos rôles planifiés, vous pouvez accorder des autorisations en fonction de vos besoins métier. Pour plus d'informations, consultez la rubrique Project-level role authorization.

• Après avoir créé un rôle, vous devez l'attribuer à un utilisateur afin de lui conférer les autorisations associées. Pour plus d'informations, consultez la rubrique Assign a role to a user.