Apa itu izin data dan izin apa saja yang tersedia? - Data Lake Formation

Data Lake Formation memungkinkan Anda mengonfigurasi izin detail halus pada lima tingkat: data catalog, database, table, column, dan function. Topik ini menjelaskan izin yang diperlukan untuk operasi data serta menjelaskan izin owner.

Manajemen izin

Pengaturan izin

Anda dapat mengaktifkan atau menonaktifkan izin untuk data catalog. Untuk informasi selengkapnya, lihat Pengaturan izin.

Informasi latar belakang

Untuk mengonfigurasi izin, tentukan tiga elemen berikut.

Elemen	Deskripsi
Principal	Pengguna atau role yang diberikan izin. Pengguna harus berupa RAM user atau RAM role. Role harus dibuat di data lake dengan fitur manajemen role. Principal dapat ditentukan dalam salah satu format berikut: Akun Alibaba Cloud: acs:ram::<ID akun Alibaba Cloud>:root, contohnya, `acs:ram::123456:root`. RAM user: acs:ram::<ID akun Alibaba Cloud>:user/<username RAM>, contohnya, `acs:ram::123456:user/user_a`. RAM role: acs:ram::<ID akun Alibaba Cloud>:role/<nama RAM role>, contohnya, `acs:ram::123456:role/role_a`.
Resource	Resource yang dikelola di data lake meliputi: Data catalog: Kontainer tingkat teratas untuk metadata di data lake. Data catalog dapat berisi beberapa database. Database: Database yang dikelola dalam metadata data lake. Table: Table yang dikelola dalam metadata data lake. Column: Column yang dikelola dalam metadata data lake. Function: Function yang dikelola dalam metadata data lake.
Action	Aksi yang tersedia bergantung pada jenis resource. Misalnya, database mendukung izin CreateTable dan List, table mendukung izin Select dan Update, sedangkan column hanya mendukung izin Select.

Ikhtisar izin

Tabel berikut menjelaskan izin yang didukung oleh Data Lake Formation.

Resource	Action	Deskripsi
data catalog	Alter	Mengizinkan principal untuk memodifikasi data catalog. Misalnya, dengan menjalankan perintah `alter catalog <catalog_name> set ...`.
	Drop	Mengizinkan principal untuk menghapus data catalog. Misalnya, dengan menjalankan perintah `drop catalog <catalog_name>`.
	Grant	Mengizinkan principal untuk memberikan izin pada data catalog. Misalnya, dengan menjalankan perintah `grant drop on catalog <catalog_name> to ...`.
	Create Database	Mengizinkan principal untuk membuat database di data catalog. Misalnya, dengan menjalankan perintah `create database <catalog_name>.<database_name> ...`.
database	Describe	Mengizinkan principal untuk melihat metadata database atau beralih ke database. Misalnya, dengan menjalankan perintah seperti `desc database <database_name>` dan `use <database_name>`.
	Alter	Mengizinkan principal untuk memodifikasi database. Misalnya, dengan menjalankan perintah `alter database <database_name> set location '<path>'`.
	Drop	Mengizinkan principal untuk menghapus database. Misalnya, dengan menjalankan perintah `drop database <database>`.
	Create Table	Mengizinkan principal untuk membuat table di database. Misalnya, dengan menjalankan perintah `create table <database_name>.<table_name> ...`.
	List	Mengizinkan principal untuk melihat daftar resource di database. Misalnya, dengan menjalankan perintah `show tables`. Penting Mesin Spark E-MapReduce tidak mendukung verifikasi izin untuk aksi List. Daftar resource tidak difilter berdasarkan izin pengguna dan menampilkan semua resource.
table	Describe	Mengizinkan principal untuk melihat metadata table. Misalnya, dengan menjalankan perintah `desc formatted <table_name>`.
	Alter	Mengizinkan principal untuk memodifikasi table. Misalnya, dengan menjalankan perintah seperti `alter table <table_name> add columns ...` dan `alter table <table_name> drop partition ...`.
	Drop	Mengizinkan principal untuk menghapus table. Misalnya, dengan menjalankan perintah `drop table <table_name>`.
	Select	Mengizinkan principal untuk membaca data dari table. Misalnya, dengan menjalankan perintah `select * from <table_name>`.
	Update	Mengizinkan principal untuk memperbarui data di table. Misalnya, dengan menjalankan perintah seperti `insert into table <table_name>` dan `delete from <table_name> where ...`.
column	Select	Mengizinkan principal untuk membaca data dari column. Misalnya, dengan menjalankan perintah `select <column_name1>, <column_name2> from <table_name>`.
function	Describe	Mengizinkan principal untuk melihat metadata function.
	Alter	Mengizinkan principal untuk memodifikasi function.
	Drop	Mengizinkan principal untuk menghapus function.
	Execute	Mengizinkan principal untuk menggunakan atau mengeksekusi function.

Izin owner

Owner

Pembuat resource adalah ownernya. Anda dapat melihat owner database atau table di informasi dasarnya.

Jika RAM user membuat database atau table di Data Lake Formation, RAM user tersebut menjadi owner resource tersebut. Owner diidentifikasi berdasarkan format principal pengguna.
Jika pengguna Linux atau LDAP membuat resource di mesin E-MapReduce dengan menjalankan perintah SQL, pengguna tersebut menjadi owner resource tersebut.
Mesin Databricks tidak mendukung owner resource.

Penting

Untuk integrasi dengan sistem data besar open-source, Data Lake Formation memperlakukan RAM user dan pengguna Linux atau LDAP dengan username yang sama sebagai owner yang setara. Misalnya, owner yang ditentukan sebagai acs:ram::<ID akun Alibaba Cloud>:user/user_a setara dengan owner yang ditentukan sebagai user_a.
Ketika Akun Alibaba Cloud menjadi owner resource, tidak ada pengguna Linux atau LDAP yang setara. Perhatikan bahwa owner yang ditentukan sebagai acs:ram::<ID akun Alibaba Cloud>:root tidak setara dengan owner yang ditentukan sebagai root.
Di Konsol Data Lake Formation, Anda dapat melihat username RAM user di bawah Data permissions > User. Saat menggunakan mesin E-MapReduce, tambahkan pengguna Linux atau LDAP dengan nama yang sama seperti RAM user melalui manajemen pengguna.

Izin

Owner resource memiliki semua izin atas resource tersebut. Misalnya, jika owner database adalah RAM user user_a, maka user_a dapat melakukan operasi seperti Alter Database dan Drop Database.

Penting

Izin owner atas suatu resource tidak berlaku untuk resource turunannya. Misalnya, owner database hanya memiliki izin owner atas database itu sendiri, bukan atas table-table di dalam database tersebut.

Verifikasi

Saat Anda login ke Konsol Data Lake Formation sebagai RAM user, Anda memiliki izin owner untuk resource yang dimiliki oleh RAM user tersebut atau identitas setaranya.
Saat menggunakan mesin E-MapReduce untuk mengakses resource metadata data lake, Anda diidentifikasi sebagai pengguna Linux atau LDAP dan memiliki izin owner untuk resource yang dimiliki oleh pengguna tersebut atau identitas setaranya.
Mesin Databricks tidak mendukung verifikasi izin owner.

Mesin komputasi yang didukung

Data Lake Formation mendukung E-MapReduce. Tabel berikut menjelaskan rincian dukungan tersebut.

Versi utama EMR		Hive	Spark	Presto	Impala
EMR 3.x	EMR-3.39.0 dan sebelumnya	Tidak didukung	Tidak didukung	Tidak didukung	Tidak didukung
	EMR-3.40.0	Didukung	Didukung	Didukung	Tidak didukung
	EMR-3.41.0 hingga EMR-3.43.1	Didukung	Didukung	Tidak didukung	Tidak didukung
	EMR-3.44.0 dan seterusnya (rencana)	Didukung	Didukung	Didukung	Didukung
EMR 5.x	EMR-5.5.0 dan sebelumnya	Tidak didukung	Tidak didukung	Tidak didukung	Tidak didukung
	EMR-5.6.0	Didukung	Didukung	Didukung	Tidak didukung
	EMR-5.7.0 hingga EMR-5.9.1	Didukung	Didukung	Tidak didukung	Tidak didukung
	EMR-5.10.0 dan seterusnya (rencana)	Didukung	Didukung	Didukung	Didukung