MaxCompute:Otorisasi sumber data eksternal

Otorisasi peran RAM untuk OSS

Agar tabel eksternal MaxCompute dapat mengakses data di OSS secara langsung, pemilik tabel harus menentukan peran RAM dengan izin OSS yang diperlukan dalam definisi tabel eksternal tersebut. Setelah peran dikaitkan, pemilik dapat memberikan pengguna akses ke tabel eksternal tersebut. Anda dapat memberikan izin dengan cara berikut:

Otorisasi peran RAM untuk Tablestore

Agar tabel eksternal MaxCompute dapat mengakses data di Tablestore secara langsung, pemilik tabel harus menentukan peran RAM dengan izin Tablestore yang diperlukan dalam definisi tabel eksternal tersebut. Setelah peran dikaitkan, pemilik dapat memberikan pengguna akses ke tabel eksternal tersebut. Anda dapat memberikan izin dengan cara berikut:

Otorisasi peran RAM untuk Hologres

Agar tabel eksternal MaxCompute dapat mengakses data di Hologres secara langsung, pemilik tabel harus menentukan peran RAM dengan izin Hologres yang diperlukan dalam definisi tabel eksternal tersebut. Setelah peran dikaitkan, pemilik dapat memberikan pengguna akses ke tabel eksternal ini. Ikuti langkah-langkah berikut untuk mengonfigurasi izin yang diperlukan:

1. Buat peran RAM

   Buat peran RAM untuk mendapatkan Nama Sumber Daya Alibaba Cloud (ARN)-nya. ARN diperlukan untuk mengonfigurasi autentikasi STS saat Anda membuat tabel eksternal. Pilih jenis entitas tepercaya berdasarkan kebutuhan bisnis Anda. Dalam contoh ini, akun Alibaba Cloud merupakan entitas tepercaya.

   • Akun Alibaba Cloud:

     Pengguna RAM yang termasuk dalam akun Alibaba Cloud dapat mengasumsikan peran RAM untuk mengakses sumber daya cloud. Untuk informasi lebih lanjut, lihat Buat peran RAM untuk akun Alibaba Cloud tepercaya.

   • Penyedia identitas:

     Anda dapat mengonfigurasi Single Sign-On (SSO) untuk memungkinkan pengguna dari sistem identitas perusahaan login ke konsol Alibaba Cloud. Hal ini membantu memenuhi persyaratan login dan otentikasi pengguna terpadu. Untuk informasi lebih lanjut, lihat Buat peran RAM untuk penyedia identitas tepercaya.

   Lakukan langkah-langkah berikut:

   1. Login ke Konsol RAM.

   2. Di bilah navigasi kiri, pilih Identities > Roles.

   3. Di halaman Roles, klik Create Role.

2. Ubah kebijakan kepercayaan

   1. Di halaman Roles, klik Role Name yang dituju untuk membuka halaman detail peran.

   2. Di tab Trust Policy, klik Edit Trust Policy, lalu di halaman Edit Trust Policy, pilih tab JSON Editor.

   3. Ubah kebijakan kepercayaan seperti pada contoh berikut.

      Isi kebijakan kepercayaan bervariasi berdasarkan jenis entitas tepercaya. Ganti <UID> dengan ID akun Alibaba Cloud Anda. Anda dapat memperoleh ID akun Anda di halaman Informasi Pengguna.

      Akun Alibaba Cloud

      {
       "Statement": [
       {
       "Action": "sts:AssumeRole",
       "Effect": "Allow",
       "Principal": {
       "RAM": [
       "acs:ram::<UID>:root"
       ]
       }
       },
       {
       "Action": "sts:AssumeRole",
       "Effect": "Allow",
       "Principal": {
       "Service": [
       "<UID>@odps.aliyuncs.com"
       ]
       }
       }
       ],
       "Version": "1"
      }

      Penyedia identitas

      {
       "Statement": [
       {
       "Action": "sts:AssumeRole",
       "Condition": {
       "StringEquals": {
       "saml:recipient": "https://signin.aliyun.com/saml-role/sso"
       }
       },
       "Effect": "Allow",
       "Principal": {
       "Federated": [
       "acs:ram::<UID>:saml-provider/IDP"
       ]
       }
       },
       {
       "Action": "sts:AssumeRole",
       "Effect": "Allow",
       "Principal": {
       "Service": [
       "<UID>@odps.aliyuncs.com"
       ]
       }
       }
       ],
       "Version": "1"
      }

3. Tambahkan peran RAM ke instans Hologres dan berikan izin

   Peran RAM memerlukan izin developer pada instans Hologres untuk mengakses sumber dayanya.

   Secara default, peran RAM tidak dapat melihat atau mengelola instans di Konsol Manajemen Hologres. Pemilik akun Alibaba Cloud harus memberikan izin yang diperlukan kepada peran tersebut.

   Untuk menambahkan peran RAM ke instans Hologres, ikuti langkah-langkah berikut:

   Konsol Hologres

   1. Login ke Konsol Manajemen Hologres, lalu di pojok kiri atas, pilih wilayah.

   2. Di panel navigasi kiri, klik Instances.

   3. Di halaman Instances, klik nama instans yang dituju.

   4. Di halaman detail instans, di panel navigasi kiri, klik Account Management.

   5. Di halaman User Management, klik Add User.

   6. Di kotak dialog Add User yang muncul, konfigurasikan parameter dan klik OK.

      • Atur Role menjadi AliyunODPSDefaultRole.

      • Atur Member Role menjadi Regular user.

   7. Di halaman User Management, di panel navigasi kiri, klik DB Authorization.

   8. Di halaman Database Authorization, klik Create Database.

   9. Di kotak dialog Create Database, konfigurasikan parameter yang diperlukan, lalu klik OK.

      Atur Policies menjadi SPM.

   10. Di halaman DB Authorization, klik Authorize User di kolom Actions untuk database yang dituju.

   11. Klik Grant Permissions di pojok kanan atas. Di kotak dialog Grant Permissions yang muncul, konfigurasikan User dan User Group.

       • Users Pilih pengguna RAM yang ingin Anda konfigurasi.

       • Untuk Groups, pilih Developer.

   Konsol RAM

   Sambungkan kebijakan akses AliyunODPSRolePolicy ke peran RAM yang telah Anda buat.

   1. Login ke Konsol RAM.

   2. Di bilah navigasi kiri, pilih Identities > Users.

   3. Di halaman Users, klik User Logon Name/Display Name yang dituju untuk membuka halaman detail pengguna.

   4. Di halaman detail pengguna, klik tab Manage Permissions.

   5. Di tab Manage Permissions, pilih Individual, lalu klik Grant Permission.

   6. Di panel Grant Permission, pilih kebijakan yang akan diberikan kepada pengguna, lalu klik OK.

      Untuk kebijakan akses, pilih AliyunRAMReadOnlyAccess.

      Untuk informasi lebih lanjut, lihat Berikan izin kepada pengguna RAM.

   SQL

   Untuk informasi tentang pernyataan SQL untuk otorisasi, lihat model izin Hologres.

Otorisasi peran RAM untuk DLF dan OSS

Saat membangun danau data terpadu dengan MaxCompute, DLF, dan OSS, Anda harus terlebih dahulu membuat sumber data eksternal dengan mengaitkannya ke peran RAM yang memiliki izin akses data yang diperlukan untuk DLF dan OSS. Anda kemudian dapat menggunakan pengaturan ini untuk membuat skema eksternal guna mengakses data tersebut. Untuk memberikan izin kepada pengguna lain pada tabel dalam skema eksternal, lihat Berikan izin pada tabel eksternal federasi dalam skema eksternal. Anda dapat memberikan izin dengan cara berikut:

• Otorisasi satu klik (Direkomendasikan): Jika akun yang digunakan untuk membuat proyek MaxCompute sama dengan akun yang digunakan untuk men-deploy DLF dan OSS, Anda dapat mengklik Otorisasi DLF dan OSS untuk menyelesaikan otorisasi.

• Otorisasi kustom: Anda dapat menggunakan metode ini untuk skenario dalam satu akun maupun lintas akun. Ikuti langkah-langkah berikut:

  • Jika proyek MaxCompute dan DLF berada dalam akun yang sama, atur Service dalam kebijakan kepercayaan menjadi odps.aliyuncs.com.

  • Jika proyek MaxCompute dan DLF berada dalam akun yang berbeda, atur Service dalam kebijakan kepercayaan menjadi <ID-akun-pemilik-proyek-MaxCompute>@odps.aliyuncs.com. Anda dapat memperoleh ID akun pemilik MaxCompute di halaman Ikhtisar Akun.

  1. Login ke Konsol RAM dan buat peran RAM untuk akun Alibaba Cloud tepercaya.

  2. Di Konsol RAM, ubah kebijakan kepercayaan peran RAM. Gunakan konten berikut untuk kebijakan kepercayaan:

     Akun yang sama

     {
     "Statement": [
     {
      "Action": "sts:AssumeRole",
      "Effect": "Allow",
      "Principal": {
      "Service": [
      "odps.aliyuncs.com"
      ]
      }
     }
     ],
     "Version": "1"
     }

     Lintas akun

     {
     "Statement": [
     {
      "Action": "sts:AssumeRole",
      "Effect": "Allow",
      "Principal": {
      "Service": [
      "<ID-akun-pemilik-proyek-MaxCompute>@odps.aliyuncs.com" 
      ]
      }
     }
     ],
     "Version": "1"
     }

  3. Di Konsol RAM, buat kebijakan akses kustom untuk peran RAM yang baru dibuat. Untuk informasi lebih lanjut, lihat Buat kebijakan akses kustom. Gunakan konten berikut untuk kebijakan akses kustom:

     {
     "Version": "1",
     "Statement": [
     {
      "Action": [
      "oss:ListBuckets",
      "oss:GetObject",
      "oss:ListObjects",
      "oss:PutObject",
      "oss:DeleteObject",
      "oss:AbortMultipartUpload",
      "oss:ListParts"
      ],
      "Resource": "*",
      "Effect": "Allow"
     },
     {
      "Action": [
      "dlf:CreateFunction",
     "dlf:BatchGetPartitions",
     "dlf:ListDatabases",
     "dlf:CreateLock",
     "dlf:UpdateFunction",
     "dlf:BatchUpdateTables",
     "dlf:DeleteTableVersion",
     "dlf:UpdatePartitionColumnStatistics",
     "dlf:ListPartitions",
     "dlf:DeletePartitionColumnStatistics",
     "dlf:BatchUpdatePartitions",
     "dlf:GetPartition",
     "dlf:BatchDeleteTableVersions",
     "dlf:ListFunctions",
     "dlf:DeleteTable",
     "dlf:GetTableVersion",
     "dlf:AbortLock",
     "dlf:GetTable",
     "dlf:BatchDeleteTables",
     "dlf:RenameTable",
     "dlf:RefreshLock",
     "dlf:DeletePartition",
     "dlf:UnLock",
     "dlf:GetLock",
     "dlf:GetDatabase",
     "dlf:GetFunction",
     "dlf:BatchCreatePartitions",
     "dlf:ListPartitionNames",
     "dlf:RenamePartition",
     "dlf:CreateTable",
     "dlf:BatchCreateTables",
     "dlf:UpdateTableColumnStatistics",
     "dlf:ListTableNames",
     "dlf:UpdateDatabase",
     "dlf:GetTableColumnStatistics",
     "dlf:ListFunctionNames",
     "dlf:ListPartitionsByFilter",
     "dlf:GetPartitionColumnStatistics",
     "dlf:CreatePartition",
     "dlf:CreateDatabase",
     "dlf:DeleteTableColumnStatistics",
     "dlf:ListTableVersions",
     "dlf:BatchDeletePartitions",
     "dlf:ListCatalogs",
     "dlf:UpdateTable",
     "dlf:ListTables",
     "dlf:DeleteDatabase",
     "dlf:BatchGetTables",
     "dlf:DeleteFunction"
      ],
      "Resource": "*",
      "Effect": "Allow"
     }
     ]
     }

  4. Sambungkan kebijakan akses kustom ke peran RAM yang telah Anda buat. Untuk informasi lebih lanjut, lihat Kelola izin peran RAM.

Otorisasi peran terkait layanan untuk Hologres (identity passthrough)

Saat MaxCompute mengakses data di Hologres melalui sumber data eksternal dan proyek eksternal, Anda harus menggunakan peran terkait layanan untuk memberikan izin akses data yang diperlukan kepada Hologres. Setelah peran dibuat, mode ini menggunakan identity passthrough untuk otorisasi, dengan mengotentikasi pengguna melalui penerusan identitas mereka ke Hologres guna mencegah akses tidak sah. Untuk menggunakan fitur ini, pengguna harus menjadi anggota proyek eksternal MaxCompute dan memiliki izin pada sumber data Hologres yang dipetakan ke proyek eksternal tersebut.

1. Login ke Konsol RAM.

2. Di bilah navigasi kiri, pilih Identities > Roles.

3. Di halaman Roles, klik Create Role.

4. Di pojok kanan atas halaman Create Role, klik Create Service Linked Role.

5. Di halaman Create Service Linked Role, pilih Select Service: aliyunserviceroleformaxcomputeidentitymgmt, lalu klik Create Service Linked Role.

   Jika muncul pesan bahwa peran tersebut sudah ada, artinya peran tersebut telah diotorisasi. Anda dapat mengabaikan pesan tersebut.

Otorisasi peran terkait layanan untuk Paimon_DLF (identity passthrough)

Saat MaxCompute mengakses data di DLF melalui sumber data eksternal dan proyek eksternal, Anda harus menggunakan peran terkait layanan untuk memberikan izin akses data yang diperlukan kepada DLF. Setelah peran dibuat, mode ini menggunakan identity passthrough untuk otorisasi. Identitas pengguna diteruskan ke DLF untuk otentikasi guna mencegah akses tidak sah. Untuk menggunakan fitur ini, pengguna harus ditambahkan ke proyek eksternal MaxCompute dan memiliki izin pada sumber data DLF yang dipetakan ke proyek eksternal tersebut.

1. Login ke Konsol RAM.

2. Di bilah navigasi kiri, pilih Identities > Roles.

3. Di halaman Roles, klik Create Role.

4. Di pojok kanan atas halaman Create Role, klik Create Service Linked Role.

5. Di halaman Create Service Linked Role, untuk Select Service, pilih AliyunServiceRoleForMaxComputeLakehouse, lalu klik Create Service Linked Role.

   Jika muncul pesan bahwa peran tersebut sudah ada, artinya peran tersebut telah diotorisasi. Anda dapat mengabaikan pesan tersebut.