MaxCompute:Praktik terbaik otorisasi

Kasus penggunaan:

Berikan sekelompok anggota proyek izin untuk membuat tabel, mengunggah resource, membuat fungsi, dan menjalankan task. Akses dibatasi menjadi read-only untuk tabel yang namanya diawali dengan awalan t_app_.

Kasus penggunaan: Beberapa tabel sangat penting bagi bisnis dan harus dilindungi dari penghapusan tidak disengaja. Tujuannya adalah mencegah pengguna tertentu menghapus tabel apa pun yang namanya diawali dengan awalan tb_.

Prosedur:

Kasus penggunaan:

Analis bisnis perlu melihat data di tabel produksi tanpa melihat kode task produksi. Analis ini memerlukan akses ke subset spesifik tabel dari beberapa proyek produksi.

Solusi:

Karena analis tidak boleh melihat task produksi, buat proyek terpisah untuk analisis. Di setiap proyek produksi, buat paket, tambahkan tabel yang akan dibagikan ke dalam paket, lalu izinkan proyek analisis untuk menginstalnya. Setelah paket diinstal di proyek analisis, berikan izin kepada analis. Pendekatan ini mengurangi beban manajemen karena tidak perlu menambahkan analis ke setiap proyek produksi, dan memastikan bahwa analis hanya dapat melihat tabel produksi yang dibagikan dari dalam proyek analisis.

Contoh ini menunjukkan alur kerja: sebuah package bernama Package_test dibuat di proyek produksi (Project_a). Sebuah table produksi (table_a) ditambahkan ke package ini. package tersebut kemudian diinstal di proyek analisis (Project_analyze), dan pengguna (A*****@aliyunid.com) diberikan izin untuk melakukan kueri terhadap tabel melalui paket.

Prosedur:

1. Di proyek produksi, buat paket.

   USE Project_a;
   CREATE PACKAGE Package_test;

2. Di proyek produksi, tambahkan resource yang akan dibagikan ke dalam paket.

   ADD table table_a TO PACKAGE Package_test;

3. Di proyek produksi, izinkan proyek analisis untuk menginstal paket.

   ALLOW PROJECT Project_analyze TO INSTALL PACKAGE Package_test;

4. Di proyek analisis, instal paket.

   USE Project_analyze;
   INSTALL PACKAGE Project_a.Package_test;

5. Berikan izin baca kepada analis pada paket tersebut.

   GRANT read on package Package_test TO USER ALIYUN$A*****@aliyunid.com;

6. Analis kini dapat melakukan kueri data dari tabel tersebut.

   select * from Project_a.table_a;

Prosedur:

1. Di Project_a, gunakan Akun Alibaba Cloud A untuk membuat paket bernama a_to_b_pkg dan tambahkan tabel t1, t2, dan t3 ke dalam paket.

   USE Project_a;
   CREATE PACKAGE a_to_b_pkg; 
   ADD table t1 TO PACKAGE a_to_b_pkg;
   ADD table t2 TO PACKAGE a_to_b_pkg;
   ADD table t3 TO PACKAGE a_to_b_pkg;

2. Izinkan proyek Project_b (milik Akun B) untuk menginstal paket a_to_b_pkg.

   ALLOW PROJECT Project_b TO INSTALL PACKAGE a_to_b_pkg;

3. Di proyek Project_b, gunakan Akun Alibaba Cloud B untuk menginstal paket a_to_b_pkg.

   INSTALL PACKAGE Project_a.a_to_b_pkg;

4. Berikan izin kepada RAM user dari Akun B pada tabel dalam paket tersebut.

   add user ram$B:b_user1; 
   add user ram$B:b_user2; 
   GRANT Describe , Select ON TABLE t1 TO USER ram$B:b_user1 PRIVILEGEPROPERTIES ("refobject" = "true", "refproject"="project_a", "package"="project_a.a_to_b_pkg");--Berikan izin baca pada tabel t1 kepada b_user1
   GRANT Describe , Select ON TABLE t2 TO USER ram$B:b_user1 PRIVILEGEPROPERTIES ("refobject" = "true", "refproject"="project_a", "package"="project_a.a_to_b_pkg");--Berikan izin baca pada tabel t2 kepada b_user1
   GRANT Describe , Select ON TABLE t3 TO USER ram$B:b_user2 PRIVILEGEPROPERTIES ("refobject" = "true", "refproject"="project_a", "package"="project_a.a_to_b_pkg");--Berikan izin baca pada tabel t3 kepada b_user2

Kasus penggunaan:

Sebuah tabel bernama table_order di proyek ProjectA berisi informasi pesanan untuk semua merchant. Tabel ini harus dibagikan dengan para merchant, tetapi setiap merchant hanya boleh melihat pesanan yang sesuai dengan tokonya sendiri.

Solusi:

Tabel table_order berisi kolom ID merchant yang dapat digunakan untuk memfilter data. Meskipun MaxCompute tidak mendukung secara langsung kontrol akses tingkat baris, implementasikan hal ini dengan membuat view terpisah untuk setiap merchant berdasarkan tabel table_order. Lalu berikan izin kepada setiap merchant pada view yang sesuai menggunakan paket. Metode ini secara efektif mencapai kontrol akses tingkat baris.

Prosedur:

1. Di ProjectA, buat view khusus untuk setiap merchant.

   CREATE VIEW <viewname> as select * from table_order WHERE sellerid='xxxx';

   <viewname> adalah nama view yang akan dibuat.

2. Di ProjectA, buat paket dan bagikan view tersebut dengan merchant.

   create package <packagename>;
   add table <viewname> to package <packagename>;
   allow project <Projectname_seller> to install package <packagename>;

   <packagename> adalah nama paket. <Projectname_seller> adalah nama proyek MaxCompute milik merchant.

3. Merchant menginstal paket di proyeknya dan melakukan kueri terhadap view tersebut.

   USE <Projectname_seller>;
   install package <ProjectA>.<packagename>;
   grant read on package <ProjectA>.<packagename> to user <username>;
   select * from <ProjectA>.<viewname>;

   <username> adalah pengguna di proyek merchant yang perlu melakukan kueri terhadap view tersebut.