DataWorks:Konfigurasikan role terkait menggunakan STS

Ikhtisar solusi

Proses konfigurasi terdiri dari tiga langkah utama: Create a RAM role, Create a permissions policy, dan Grant permissions to a RAM user.

Prasyarat

Anda memiliki Akun Alibaba Cloud atau administrator RAM dengan izin AliyunRAMFullAccess.

Langkah 1: Create a RAM role

Role ini merupakan kredensial identitas yang diasumsikan oleh DataWorks saat mengakses sumber daya cloud lainnya.

1. Create a RAM role: Login ke halaman Roles di Konsol RAM dan klik Create Role. Pertahankan pilihan default, klik Confirm, lalu masukkan nama role yang deskriptif, misalnya DataWorksRAMROLEforDataStudio.

2. Modify the trust policy: Setelah role dibuat, buka halaman detailnya. Pada tab Trust Policy, edit kebijakan agar hanya layanan dataworks.aliyuncs.com dan engine.dataworks.aliyuncs.com yang dapat mengasumsikan role ini. Kebijakan tersebut adalah sebagai berikut:

   Untuk informasi selengkapnya, lihat Memodifikasi kebijakan kepercayaan Peran RAM.

   {
     "Version": "1",
     "Statement": [
       {
         "Action": "sts:AssumeRole",
         "Effect": "Allow",
         "Principal": {
           "Service": [
             "dataworks.aliyuncs.com",
             "engine.dataworks.aliyuncs.com"
           ]
         }
       }
     ]
   }

3. Grant permissions to the RAM role: Di halaman detail role, buka tab Manage Permissions dan klik Add Permissions. Berikan izin yang diperlukan kepada role DataWorksRAMROLEforDataStudio.

   Sebagai contoh, untuk mengakses OSS, Anda dapat memberikan izin AliyunOSSReadOnlyAccess (read-only) atau AliyunOSSFullAccess (full access).

   Untuk informasi lebih lanjut, lihat Manage RAM role permissions.

   Pada panel Add Permissions, atur resource scope ke account level, cari dan pilih kebijakan yang diperlukan, lalu klik OK.

Langkah 2: Buat Kebijakan izin

Kebijakan ini memungkinkan Pengguna RAM untuk pass RAM role yang dibuat pada Langkah 1 ke layanan DataWorks.

1. Login ke halaman Policies di Konsol RAM, klik Create Policy, lalu beralih ke tab JSON untuk mengedit konten kebijakan.

   Ganti <role-name> dengan nama RAM role untuk DataWorks, misalnya DataWorksRAMROLEforDataStudio.

   {
     "Version": "1",
     "Statement": [
       {
         "Effect": "Allow",
         "Action": [
           "ram:ListRoles"
         ],
         "Resource": "*"
       },
       {
         "Effect": "Allow",
         "Action": "ram:PassRole",
         "Resource": "acs:ram::<account-id>:role/<role-name>"
       }
     ]
   }

Untuk informasi lebih lanjut, lihat Create a custom policy.

2. Klik Determine dan simpan Permission Policy sebagai DataWorksRAMPolicyforDataStudio.

Langkah 3: Memberi otorisasi Pengguna RAM

Pada langkah terakhir ini, Anda memberikan izin kepada end user untuk meneruskan role tersebut.

1. Login ke halaman Users di Konsol RAM. Temukan Pengguna RAM yang ingin Anda otorisasi, misalnya new_ram_user@.... Pada kolom Operation, klik Add Permissions.

2. Pada panel Add Authorization, cari dan pilih kebijakan izin yang dibuat pada Langkah 2 (DataWorksRAMPolicyforDataStudio), lalu konfirmasi otorisasi tersebut.

Langkah berikutnya

Setelah otorisasi selesai, login dengan akun new_ram_user@... dan buka halaman Data Studio. Anda kemudian dapat menggunakan associated role untuk menjalankan task pada node yang didukung. Untuk informasi lebih lanjut, lihat Configure an associated role for a node in scheduling.

Untuk daftar node yang didukung, lihat antarmuka pengguna.