DataWorks:Otorisasi berbasis peran RAM: Konfigurasi sumber data

Alur Kerja

Prosedur

1. Buat peran yang dapat diasumsikan.

   Anda perlu membuat peran kustom yang berbeda untuk sumber data yang berbeda sesuai kebutuhan keamanan Anda. Topik ini menggunakan skenario berikut sebagai contoh untuk mengilustrasikan cara membuat peran yang dapat diasumsikan.

   Catatan

   Hanya Akun Alibaba Cloud atau RAM user dengan kebijakan AliyunRAMFullAccess yang dapat melakukan langkah ini.

   Pertimbangkan sebuah perusahaan dengan 100 bucket yang menyimpan seluruh datanya, tetapi tim data besar hanya perlu menggunakan data dari satu bucket tertentu. Jika menggunakan peran AliyunDataWorksAccessingOSSRole yang telah ditentukan sebelumnya, tim data besar mungkin dapat mengakses 99 bucket lainnya, yang menimbulkan risiko manajemen.

   Untuk mencegah hal ini, administrator akun dapat membuat peran kustom bernama BigDataOssRole untuk tim data besar dan membatasi penggunaannya hanya untuk anggota relevan dari tim tersebut. Hal ini membantu menerapkan kontrol izin antar tim.

   1. Buat peran kustom.

      Pada contoh ini, buat peran kustom bernama BigDataOssRole dan atur entitas tepercaya menjadi Alibaba Cloud Account. Untuk langkah-langkah terperinci, lihat Create a RAM role for a trusted Alibaba Cloud account.

   2. Buat kebijakan izin kustom.

      Buat kebijakan yang memberikan izin untuk membaca dan menulis data hanya pada bucket yang ditentukan. Untuk langkah-langkah terperinci, lihat Create a custom policy. Kode berikut menunjukkan isi kebijakan:

      {
          "Version": "1",
          "Statement": [
              {
                  "Effect": "Allow",
                  "Action": [
                      "oss:GetObject",
                      "oss:ListObjects",
                      "oss:GetObjectMetadata",
                      "oss:GetObjectMeta",
                      "oss:GetBucketAcl",
                      "oss:GetBucketInfo",
                      "oss:PutObject",
                      "oss:DeleteObject",
                      "oss:PutBucket"
                  ],
                  "Resource": [
                      "acs:oss:*:*:bucket_name_1",
                      "acs:oss:*:*:bucket_name_1/*"
                  ]
              }
          ]
      }

   3. Berikan izin yang diperlukan kepada peran tersebut.

      Ubah kebijakan kepercayaan peran BigDataOSSRole dan berikan peran BigDataOSSRole kebijakan policy yang dibuat pada Langkah 2. Hal ini memungkinkan pengguna yang mengasumsikan peran BigDataOSSRole untuk membaca data dari dua bucket yang ditentukan.

      Penting

      Anda harus melakukan langkah ini. Jika tidak, peran tersebut tidak dapat digunakan.

      Untuk informasi selengkapnya tentang cara mengubah kebijakan kepercayaan peran, lihat Modify the trust policy of a RAM role. Kode berikut menunjukkan isi kebijakan:

      {
          "Statement": [
              {
                  "Action": "sts:AssumeRole",
                  "Effect": "Allow",
                  "Principal": {
                      "Service": [
                          "di.dataworks.aliyuncs.com"
                      ]
                  }
              }
          ],
          "Version": "1"
      }

2. Berikan izin kepada pengguna untuk menggunakan peran tersebut.

   Setelah Anda membuat peran yang akan diasumsikan, Anda harus memberikan kebijakan yang berisi izin ram:PassRole kepada pengguna terkait. Hal ini memungkinkan mereka menggunakan peran tersebut untuk membuat sumber data dan menjalankan tugas sinkronisasi. Anda juga dapat mengonfigurasi pemetaan antara pengguna dan peran.

   • Templat kebijakan 1: Anda dapat membuat kebijakan berdasarkan templat berikut. Templat ini memungkinkan pengguna yang berwenang menggunakan semua peran terkait Data Integration DataWorks. Berikan kebijakan ini dengan hati-hati.

     {
         "Version": "1",
         "Statement": [
             {
                 "Action": "ram:PassRole",
                 "Resource": "*",
                 "Effect": "Allow",
                 "Condition": {
                     "StringEquals": {
                         "acs:Service": "di.dataworks.aliyuncs.com"
                     }
                 }
             }
         ]
     }

   • Templat kebijakan 2: Anda dapat membuat kebijakan kustom yang berisi izin ram:PassRole dan mengonfigurasi pemetaan antara pengguna dan peran sesuai kebutuhan keamanan Anda.

     Catatan

     Hanya Akun Alibaba Cloud atau RAM user dengan kebijakan AliyunRAMFullAccess yang dapat melakukan langkah ini.

     Contoh skenario: Seperti yang dijelaskan pada skenario sebelumnya, setelah administrator akun menentukan peran BigDataOssRole untuk tim data besar, administrator harus menentukan pengguna mana yang dapat menggunakan peran ini. Anda dapat membuat kebijakan kustom bernama BigDataOssRoleAllowUse dan memberikannya kepada pengguna terkait.

     Buat kebijakan bernama BigDataOssRoleAllowUse. Untuk informasi selengkapnya, lihat Create a custom policy. Kode berikut menunjukkan isi kebijakan:

     {
         "Version": "1",
         "Statement": [
             {
                 "Action": "ram:PassRole",
                 "Resource": "acs:ram::19122324****:role/BigDataOssRole",
                 "Effect": "Allow",
                 "Condition": {
                     "StringEquals": {
                         "acs:Service": [
                             "oss.aliyuncs.com",
                             "di.dataworks.aliyuncs.com"
                         ]
                     }
                 }
             }
         ]
     }

     Catatan

     Ganti UID (19122324****) dalam kebijakan dengan UID Akun Alibaba Cloud Anda.

     Administrator memberikan kebijakan BigDataOssRoleAllowUse kepada RAM user yang diizinkan menggunakan peran BigDataOssRole. RAM user yang diberikan kebijakan BigDataOssRoleAllowUse kemudian dapat mengasumsikan peran BigDataOssRole untuk membuat sumber data (menggunakan BigDataOssRole sebagai identitas akses sumber data) dan menjalankan tugas sinkronisasi.

3. Buat sumber data.

   Setelah administrator akun memberikan izin kepada pembuat sumber data, pembuat tersebut dapat menambahkan sumber data.

   1. Akun Alibaba Cloud atau RAM user dengan kebijakan AliyunDataWorksFullAccess membuat dan mengonfigurasi sumber data OSS.

      Saat konfigurasi, pilih RAM role authorization mode untuk Access mode dan konfigurasikan parameter lainnya. Jika Anda menggunakan ruang kerja dalam mode standar, Anda dapat menambahkan sumber data ke Development atau Production.

      Catatan

      Topik ini menggunakan sumber data OSS sebagai contoh. Parameter dapat berbeda untuk jenis sumber data lainnya. Untuk informasi selengkapnya tentang cara menambahkan sumber data OSS, lihat Configure an OSS data source.

      Parameter	Deskripsi
      Data Source Name	Dapat berisi huruf, angka, dan garis bawah (_), tetapi tidak boleh diawali dengan angka atau garis bawah.
      Description	Deskripsi singkat mengenai sumber data. Panjang deskripsi maksimal 80 karakter.
      Endpoint	Titik akhir layanan OSS. Formatnya adalah http://oss.aliyuncs.com. Titik akhir berbeda-beda tergantung wilayahnya. Anda harus menggunakan titik akhir yang benar untuk wilayah yang Anda akses. Catatan Format yang benar untuk Endpoint adalah http://oss.aliyuncs.com. Namun, penggunaan http://oss.aliyuncs.com dengan nilai bucket yang ditambahkan di awal dan dipisahkan dengan titik adalah salah. Sebagai contoh, untuk titik akhir seperti http://xxx.oss.aliyuncs.com, uji konektivitas mungkin berhasil, tetapi sinkronisasi akan gagal.
      Bucket	Nama bucket OSS. Bucket adalah wadah yang menyimpan objek. Anda dapat membuat satu atau beberapa bucket dan menambahkan satu atau beberapa file ke setiap bucket. DataWorks hanya dapat menemukan objek di bucket yang Anda tentukan di sini.
      Access mode	Pilih RAM role authorization mode. Mode ini menggunakan Security Token Service (STS) untuk memberikan otorisasi kepada akun layanan DataWorks agar dapat mengasumsikan peran untuk mengakses sumber data, sehingga memberikan tingkat keamanan yang lebih tinggi.
      Select Role	Pilih peran RAM dari daftar drop-down Select Role.
      Region	Pilih wilayah dari daftar drop-down Region.

   2. Uji konektivitas jaringan.

      Pada bagian Connection Configuration, temukan kelompok sumber daya target dan klik Test Connectivity pada barisnya.

      Setiap tugas sinkronisasi menggunakan satu kelompok sumber daya. Anda harus menguji konektivitas kelompok sumber daya yang dimaksud untuk memastikan dapat terhubung ke sumber data; jika tidak, tugas akan gagal. Untuk menguji beberapa kelompok sumber daya sekaligus, pilih kelompok sumber daya tersebut dan klik Batch test connectivity. Untuk informasi selengkapnya, lihat Network connectivity solutions.

   3. Setelah uji konektivitas berhasil, klik Complete.

4. Buat tugas sinkronisasi.

   Setelah sumber data dibuat, pengembang dapat membuat tugas sinkronisasi di DataStudio yang menggunakan sumber data ini. Untuk informasi selengkapnya, lihat Configure a synchronization task.

5. Jalankan tugas sinkronisasi.

   Pelaksana tugas menjalankan tugas sinkronisasi data di DataStudio atau Operation Center.

   Catatan

   Saat menjalankan tugas di DataStudio, pastikan pelaksana tugas telah diberikan izin yang diberikan pada Langkah 2 (Berikan izin kepada pengguna untuk menggunakan peran) guna mencegah kegagalan tugas.