DataWorks：(Tingkat Lanjut) Gunakan peran RAM untuk masuk ke Konsol DataWorks dan gunakan DataWorks

Perhatian

• Anda hanya dapat menggunakan SSO berbasis peran untuk mengakses ruang kerja DataWorks yang terkait dengan mesin komputasi MaxCompute atau Hologres.

• Untuk memberikan izin yang diperlukan kepada pengguna menggunakan pengguna RAM atau peran RAM, Anda harus melampirkan kebijakan AliyunRAMFullAccess ke pengguna RAM atau peran RAM. Untuk informasi lebih lanjut, lihat Berikan Izin kepada Pengguna RAM.

Langkah 1: Buat peran RAM

1. Masuk ke Konsol RAM.

   Masuk ke Konsol RAM menggunakan akun Alibaba Cloud dan kata sandi Anda.

2. Di panel navigasi di sebelah kiri, pilih Identities > Roles.

3. Buat peran RAM.

   Di halaman Roles, klik Create Role dan ikuti petunjuk di layar untuk membuat peran RAM.

   • Jika Anda ingin pengguna RAM mengasumsikan peran RAM dengan beralih identitas di Konsol Manajemen Alibaba Cloud, pilih Alibaba Cloud Account untuk Pilih Entitas Tepercaya. Untuk informasi lebih lanjut, lihat Buat Peran RAM untuk Akun Alibaba Cloud Tepercaya.

   • Jika Anda ingin penyedia identitas lokal (IdP) mengasumsikan peran RAM, pilih IdP untuk Pilih Entitas Tepercaya. Untuk informasi lebih lanjut, lihat Buat Peran RAM untuk IdP Tepercaya.

Langkah 2: Definisikan kebijakan kepercayaan peran RAM

Di halaman Roles, klik nama peran RAM. Di halaman yang muncul, klik tab Trust Policy dan definisikan kebijakan kepercayaan peran RAM. Dokumen kebijakan kepercayaan terdiri dari dua bagian. Bagian pertama mendefinisikan bahwa peran RAM dapat diasumsikan oleh pengguna RAM atau IdP lokal. Bagian kedua mendefinisikan bahwa peran RAM dapat diasumsikan oleh layanan DataWorks. Bagian berikutnya menjelaskan kebijakan kepercayaan peran RAM dalam skenario yang berbeda. Anda dapat memilih kebijakan kepercayaan berdasarkan kebutuhan bisnis Anda.

Skenario 1: Peran RAM diasumsikan oleh pengguna RAM

Jika Anda ingin pengguna RAM mengasumsikan peran RAM dan menggunakan DataWorks, konfigurasikan dokumen kebijakan berikut untuk peran RAM:

{
    "Statement": [
        {
            "Action": "sts:AssumeRole",
            "Effect": "Allow",
            "Principal": {
                "RAM": [
                    "acs:ram::UID:root"
                ]
            }
        },
        {
            "Action": "sts:AssumeRole",
            "Effect": "Allow",
            "Principal": {
                "Service": [
                    "dataworks.aliyuncs.com"
                ]
            }
        }
    ],
    "Version": "1"
}

Skenario 2: Peran RAM diasumsikan oleh IdP lokal

Jika Anda ingin IdP lokal mengasumsikan peran RAM dan menggunakan DataWorks, konfigurasikan dokumen kebijakan berikut untuk peran RAM:

{
   "Statement": [
        {
            "Action": "sts:AssumeRole",
            "Condition": {
                "StringEquals": {
                    "saml:recipient": "https://signin.aliyun.com/saml-role/sso"
                }
            },
            "Effect": "Allow",
            "Principal": {
                "Federated": [
                    "acs:ram::UID:saml-provider/IDP"
                ]
            }
        },
        {
            "Action": "sts:AssumeRole",
            "Effect": "Allow",
            "Principal": {
                "Service": [
                    "dataworks.aliyuncs.com"
                ]
            }
        }
    ],
    "Version": "1"
}

Langkah 3: Lampirkan kebijakan AliyunSTSAssumeRoleAccess ke pengguna RAM yang perlu mengasumsikan peran RAM

Jika Anda ingin pengguna RAM mengasumsikan peran RAM, Anda harus melampirkan kebijakan AliyunSTSAssumeRoleAccess ke pengguna RAM. Dengan cara ini, pengguna RAM dapat memanggil operasi AssumeRole STS untuk mendapatkan token STS peran RAM. Untuk informasi lebih lanjut, lihat Berikan Izin kepada Pengguna RAM.

Langkah 4: Masuk ke Konsol DataWorks menggunakan pengguna RAM yang mengasumsikan peran RAM

Setelah menyelesaikan langkah ini, Anda dapat menggunakan DataWorks sebagai peran RAM. Untuk informasi tentang SSO berbasis peran, lihat Ikhtisar.

1. Masuk ke Konsol DataWorks sebagai pengguna RAM.

2. Ganti Identitas.

   Setelah masuk ke Konsol DataWorks, gerakkan penunjuk ke profil pengguna di sudut kanan atas dan pilih Switch Identity untuk beralih ke peran RAM.