DataWorks:Login ke DataWorks dengan role RAM (Tingkat Lanjut)

Perhatian

• Di DataWorks, hanya sumber data MaxCompute dan Hologres yang mendukung operasi menggunakan role RAM.

• Untuk menjalankan operasi otorisasi berikut dengan pengguna RAM atau role, Anda harus menyambungkan kebijakan AliyunRAMFullAccess ke pengguna RAM atau role tersebut. Untuk informasi selengkapnya tentang cara memberikan izin, lihat Berikan izin kepada pengguna RAM.

Langkah 1: Buat role RAM

1. Login ke Konsol RAM.

2. Di panel navigasi sebelah kiri, pilih Identities > Roles.

3. Buat role.

   Pada halaman Role, klik Create Role.

   • Untuk mengasumsikan role dengan mengganti identitas di Konsol Manajemen Alibaba Cloud, pilih Alibaba Cloud Account sebagai tipe role. Untuk informasi selengkapnya, lihat Buat role RAM untuk akun Alibaba Cloud tepercaya.

   • Untuk mengasumsikan role dengan login ke Alibaba Cloud menggunakan akun dari penyedia identitas (IdP) Anda, pilih Identity Provider sebagai tipe role. Untuk informasi selengkapnya, lihat Buat role RAM untuk IdP tepercaya.

Langkah 2: Konfigurasikan kebijakan kepercayaan

Pada halaman Identity Management > Role, klik nama role tersebut. Pada tab Trust Policy, definisikan kebijakan kepercayaan untuk role RAM. Kebijakan tersebut harus mengizinkan role diasumsikan baik oleh pengguna yang dituju (pengguna RAM atau pengguna IdP) maupun layanan DataWorks. Pilih kebijakan di bawah ini yang sesuai dengan skenario Anda.

Skenario 1: Pengguna RAM mengasumsikan role

Untuk mengizinkan pengguna RAM mengasumsikan role RAM guna mengakses DataWorks, ubah kebijakan kepercayaan role RAM sebagai berikut:

{
    "Statement": [
        {
            "Action": "sts:AssumeRole",
            "Effect": "Allow",
            "Principal": {
                "RAM": [
                    "acs:ram::UID:root"
                ]
            }
        },
        {
            "Action": "sts:AssumeRole",
            "Effect": "Allow",
            "Principal": {
                "Service": [
                    "dataworks.aliyuncs.com"
                ]
            }
        }
    ],
    "Version": "1"
}

Skenario 2: Pengguna IdP mengasumsikan role

Untuk mengizinkan pengguna dari IdP mengasumsikan role RAM guna mengakses DataWorks, ubah kebijakan kepercayaan role RAM sebagai berikut:

{
   "Statement": [
        {
            "Action": "sts:AssumeRole",
            "Condition": {
                "StringEquals": {
                    "saml:recipient": "https://signin.aliyun.com/saml-role/sso"
                }
            },
            "Effect": "Allow",
            "Principal": {
                "Federated": [
                    "acs:ram::UID:saml-provider/IDP"
                ]
            }
        },
        {
            "Action": "sts:AssumeRole",
            "Effect": "Allow",
            "Principal": {
                "Service": [
                    "dataworks.aliyuncs.com"
                ]
            }
        }
    ],
    "Version": "1"
}

Langkah 3: Sambungkan kebijakan AliyunSTSAssumeRoleAccess

Jika Anda menggunakan pengguna RAM—bukan pengguna dari IdP—untuk mengasumsikan role RAM, sambungkan kebijakan AliyunSTSAssumeRoleAccess ke pengguna RAM tersebut. Kebijakan ini mengizinkan pengguna memanggil operasi AssumeRole pada Security Token Service (STS) untuk memperoleh kredensial temporary role tersebut. Untuk informasi selengkapnya tentang cara menyambungkan kebijakan, lihat Berikan izin kepada pengguna RAM.

Langkah 4: Login sebagai role RAM

Bagian ini menjelaskan cara pengguna RAM mengasumsikan role RAM untuk login dan menggunakan DataWorks. Untuk informasi selengkapnya tentang SSO berbasis peran, lihat Ikhtisar SSO berbasis peran dengan SAML.

1. Login ke Konsol DataWorks sebagai pengguna RAM.

2. Ganti identitas Anda.

   Setelah masuk ke Konsol DataWorks, arahkan kursor ke foto profil Anda di pojok kanan atas, lalu klik Switch Identity untuk login menggunakan role RAM.