Topik ini menjelaskan model izin untuk Data Lake Formation (DLF) serta cara memberikan izin kepada pengguna Resource Access Management (RAM) untuk mengakses fitur DLF.
Model izin Data Lake Formation (DLF) terdiri dari dua lapisan: izin API dan izin data DLF. Untuk mengakses halaman atau data DLF, pengguna harus lulus verifikasi izin pada kedua lapisan tersebut.
API permissions: Izin ini mengontrol akses ke semua API DLF dan menentukan apakah pengguna Resource Access Management (RAM) dapat mengakses API atau halaman DLF tertentu.
DLF data permissions: Izin ini mengelola akses granular ke sumber daya data dalam data lake, seperti database, tabel, dan katalog data, serta mengontrol operasi data. Lapisan ini memastikan bahwa meskipun pengguna memiliki izin RAM umum, operasi pada sumber daya data tertentu tetap memerlukan otorisasi terperinci, sehingga memberikan perlindungan yang tepat di tingkat data.
Bagan alir pemeriksaan izin
Cara kerja pemeriksaan izin
Lapisan 1: Izin API RAM
Lapisan ini mengontrol secara terpusat akses ke semua API DLF, memastikan bahwa pengguna Resource Access Management (RAM) hanya dapat mengakses fitur atau halaman yang telah diizinkan. Konsol RAM menyediakan dua kebijakan otorisasi preset untuk memenuhi berbagai kebutuhan akses.
Policy Name | Description |
AliyunDLFFullAccess | Memberikan izin untuk memanggil semua API DLF. Kebijakan ini cocok untuk pengguna yang perlu melakukan pengelolaan data lake secara komprehensif. |
AliyunDLFReadOnlyAccess | Memberikan izin read-only. Ini mencakup izin untuk memanggil semua API DLF read-only, seperti operasi List dan Get. Kebijakan ini melarang semua operasi tulis atau hapus, seperti Create dan Delete. |
Lapisan 2: Izin data DLF granular
Lapisan ini mengontrol akses dan penggunaan sumber daya dalam DLF, seperti katalog data, database, dan tabel, serta mengatur izin untuk operasi terkait role, pengguna, dan otorisasi.
Untuk membantu administrator mengelola izin data secara terpusat, DLF menyediakan peran administrator data bawaan. Anda dapat membuka halaman untuk melihat kedua peran tersebut dan menambahkan pengguna ke dalamnya. Untuk informasi selengkapnya tentang konfigurasi izin granular, lihat Manajemen Pengguna dan Peran.
Role name | Role description | Role Description |
admin | Data lake administrator | Memiliki semua izin data dan izin otorisasi dalam Data Lake Formation. Role ini juga dapat menambahkan role kustom dan membuat katalog baru. |
super_administrator | Super administrator | Memiliki semua izin dari peran admin dan juga dapat memodifikasi pengguna yang ditugaskan ke peran admin. Catatan
|