Ikhtisar
Kontrol akses data adalah fitur di Pusat Keamanan DataWorks yang menyediakan portal terpusat dan berkelanjutan untuk pengajuan, persetujuan, dan audit izin lintas beberapa engine. Fitur ini dirancang untuk tiga peran: pengaju, pemberi persetujuan, dan auditor, serta mendukung kontrol izin aset untuk tujuh engine: MaxCompute, Hologres, Data Lake Formation (DLF), Data Lake Formation (DLF) (Legacy), Hive (EMR), Lindorm, dan StarRocks.
Jalur: Konsol DataWorks > Tata Kelola Data > Pusat Keamanan > Keamanan Platform Data > Kontrol Akses Data.
Struktur halaman
Halaman Kontrol Akses Data terdiri dari enam tab berikut. Visibilitas beberapa tab dapat berbeda tergantung pada engine dan fitur yang diaktifkan.
Tab |
Deskripsi |
Permission Application |
Pengguna mengajukan permintaan izin untuk aset data (seperti tabel, database, kolom, resource, dan fungsi) di suatu engine. Setelah dikirim, permintaan tersebut memasuki proses persetujuan. |
Direct Grant |
Administrator memberikan langsung satu set izin resource kepada RAM user atau RAM role tertentu, tanpa melalui proses persetujuan. Untuk informasi selengkapnya, lihat bagian Direct grant di bawah. |
Permission Approval |
Pemberi persetujuan menyetujui atau menolak pengajuan izin yang masuk. Tab ini akan dipindahkan ke halaman Applications & Approvals > My Approval Tasks di masa mendatang. |
Permission Application Records |
Menampilkan semua catatan pengajuan izin yang diajukan oleh akun saat ini. Tab ini akan dipindahkan ke halaman Applications & Approvals > My Applications di masa mendatang. |
Permission Approval Records |
Fitur ini telah dipindahkan ke Security Center. Untuk melihat catatan persetujuan izin, buka Security Center > My Approval Tasks. |
Permission Audit |
Memungkinkan Anda melihat dan mencabut izin data yang dimiliki pengguna. Fitur ini saat ini hanya didukung untuk engine MaxCompute. |
Perbedaan antar engine
Kemampuan seperti granularitas pengajuan, pemberian langsung (direct grant), periode validitas izin, perpanjangan, dan audit izin bervariasi di tiap engine. Tabel berikut memberikan perbandingan cepat. Engine yang ditampilkan di UI bergantung pada engine yang diaktifkan di ruang kerja Anda dan izin backend yang dimiliki.
Engine |
Granularitas Aplikasi |
Direct grant |
Periode validitas izin |
Perpanjangan |
Pencabutan |
Audit Izin |
MaxCompute |
Tabel / Resource / Fungsi (tingkat kolom didukung untuk tabel) |
Didukung |
1/3/6/12 bulan, permanen, atau kustom |
Didukung |
Didukung |
Didukung |
Hologres |
Tabel (tabel di bawah suatu database) |
Didukung (hanya untuk RAM user) |
Hanya permanen |
Tidak didukung |
Didukung |
Tidak didukung |
Data Lake Formation (DLF) |
Metadatabase / Tabel / Kolom |
Didukung |
Hanya permanen |
Tidak didukung |
Didukung |
Tidak didukung |
Data Lake Formation (DLF-Legacy) |
Catalog / Schema / Tabel / Kolom |
Didukung |
Durasi kustom |
Didukung |
Didukung |
Tidak didukung |
Hive (EMR) |
Database / Tabel |
Didukung (hanya untuk RAM user) |
Hanya permanen |
Tidak didukung |
Didukung |
Tidak didukung |
Lindorm |
Tabel |
Didukung (hanya untuk RAM user) |
Hanya permanen |
Tidak didukung |
Didukung |
Tidak didukung |
StarRocks |
Database / Tabel |
Didukung |
Hanya permanen |
Tidak didukung |
Didukung |
Tidak didukung |
Prasyarat untuk perpanjangan dan pencabutan: Perpanjangan hanya berlaku untuk pengajuan yang telah disetujui, sedangkan pencabutan hanya berlaku untuk pengajuan yang masih menunggu persetujuan. Perbedaan antar engine ditentukan oleh kebijakan backend. Kemampuan aktual mengikuti tampilan di halaman.
Direct grant
Direct Grant adalah tab terpisah yang terletak di samping Permission Application. Fitur ini memungkinkan administrator (biasanya administrator ruang kerja atau pengguna RAM dengan izin pemberian) untuk langsung memberikan satu set izin resource kepada pengguna RAM atau peran RAM tertentu tanpa melalui proses persetujuan. Izin yang diberikan langsung berlaku.
-
Entri: Di halaman Data Access Control, klik tab Direct Grant.
-
Target pemberian: Pengguna RAM atau peran RAM didukung. Kemungkinan pemberian izin kepada peran RAM bergantung pada jenis resource: Beberapa engine atau jenis resource hanya mendukung pengguna RAM. Dalam kasus tersebut, opsi peran RAM akan dinonaktifkan dengan pesan "Jenis resource ini hanya mendukung pengguna RAM." Sebagai contoh, fitur Direct Grant untuk engine Hologres hanya mendukung pengguna RAM.
-
Item konfigurasi: Sama seperti Permission Application. Pertama, pilih konten pengajuan (jenis sumber data, ruang kerja, proyek MaxCompute, tabel, dll.), lalu konfigurasikan informasi pemberian:
Jenis target pemberian: Pengguna RAM atau peran RAM.
Target pemberian: Pilih pengguna RAM atau peran RAM tertentu berdasarkan jenis yang dipilih.
Periode validitas izin: Sama seperti periode validitas untuk pengajuan izin. Untuk engine Hologres, bidang ini disembunyikan dan periode validitas secara permanen diatur sebagai permanen.
Alasan pemberian: Wajib diisi.
-
Kirim: Klik Confirm Grant untuk segera menerapkan izin. Formulir akan otomatis dikosongkan setelah pengiriman berhasil. Halaman tidak dialihkan.
-
Perbedaan dari pengajuan izin: Direct Grant tidak melalui proses persetujuan, sehingga tidak menghasilkan catatan di My Applications. Opsi "Application account type" tidak ditampilkan.
-
Atribusi operasi: Catatan pemberian terkait dalam log audit dan backend dikaitkan dengan akun yang sedang login. Pastikan Anda menggunakan akun yang sesuai untuk melakukan operasi pemberian.
Panduan khusus engine
Proses pengajuan izin, persetujuan, dan konfigurasi berbeda-beda di tiap engine. Untuk petunjuk lengkap, lihat dokumentasi engine yang sesuai: