MaxCompute:Kontrol akses ACL

Kontrol akses berbasis ACL berlaku untuk skenario berikut.

Sebelum menggunakan kontrol akses berbasis ACL, pastikan Anda memiliki informasi berikut:

• Nama akun atau nama role penerima izin. Pengguna atau role tersebut harus telah ditambahkan ke proyek MaxCompute. Format akun adalah sebagai berikut: Akun Alibaba Cloud dalam format ALIYUN$<account_id>, akun pengguna RAM dalam format RAM$<account_id>:<RAM user UID>, dan role RAM dalam format RAM$<account_id>:role/<RAM role name>.

  Anda dapat menjalankan perintah list users; atau list roles; di MaxCompute client untuk mengambil nama akun atau role.

  Untuk menambahkan pengguna atau role, lihat User planning and management atau Role planning.

• Tipe objek, nama objek, dan action yang akan diberikan.

  Untuk informasi lebih lanjut tentang tipe objek dan action, lihat MaxCompute permissions.

Batasan berikut berlaku untuk kontrol akses berbasis ACL:

• Anda hanya dapat memberikan izin kepada pengguna atau role yang sudah ada pada objek yang sudah ada. Hal ini mencegah risiko keamanan akibat penghapusan dan pembuatan ulang objek dengan nama yang sama.

• Kontrol akses berbasis ACL tidak mendukung otorisasi dengan klausa [with grant option]. Misalnya, jika pengguna A memberikan akses ke objek kepada pengguna B, pengguna B tidak dapat meneruskan izin tersebut kepada pengguna C.

• Otorisasi ACL menggunakan model allow-list dan tidak mendukung model deny-list.

Perhatikan hal berikut saat menggunakan kontrol akses berbasis ACL:

• Jika Anda menghapus suatu objek, MaxCompute secara otomatis mencabut semua izin ACL yang terkait dengannya.

• Saat pengguna dihapus, izin mereka tetap dipertahankan. Jika pengguna tersebut ditambahkan kembali ke proyek di kemudian hari, izin sebelumnya akan dipulihkan secara otomatis. Untuk menghapus permanen izin pengguna tersebut, lihat Clear residual permissions of a removed user.

Perintah kontrol akses berbasis ACL menggunakan sintaksis berikut:

• Grant ACL permissions

  grant <actions> on <object_type> <object_name> 
  [(<column_list>)] to <subject_type> <subject_name> 
  [privilegeproperties("conditions" = "<conditions>", "expires"="<days>")];

• Revoke ACL permissions

  revoke <actions> on <object_type> <object_name> 
  [(<column_list>)] from <subject_type> <subject_name>;

• Column-level access control

  grant <actions> on table <table_name> (<column_list>) to <subject_type> <subject_name>;
  revoke <actions> on table <table_name> (<column_list>) from <subject_type> <subject_name>;

Tabel berikut menjelaskan parameter-parameter tersebut.

Asumsikan bahwa Bob@aliyun.com (ID akun: 5527xxxxxxxx5788) adalah pemilik proyek test_project_a, dan Allen (UID: 1652xxxxxxxxxx1538), Alice (UID: 2763xxxxxxxxxx1649), serta Tom (UID: 3874xxxxxxxxxx1850) adalah pengguna RAM di bawah Bob@aliyun.com. Contoh berikut menunjukkan operasi otorisasi menggunakan MaxCompute client.

• Contoh 1: Memberikan izin kepada pengguna

  Buat tabel sale_detail di proyek test_project_a, lalu berikan izin Describe (baca metadata) dan Select (baca data) pada tabel tersebut kepada pengguna Allen. Berikut adalah contoh perintahnya.

  -- Bob beralih ke proyek test_project_a.
  use test_project_a; 
  --Buat tabel partisi bernama sale_detail.
  create table if not exists sale_detail
  (
  shop_name     string,
  customer_id   string,
  total_price   double
  )
  partitioned by (sale_date string, region string);
  --Tambahkan pengguna Allen sebagai anggota proyek.
  add user RAM$5527xxxxxxxx5788:1652xxxxxxxxxx1538;
  --Berikan izin kepada Allen.
  grant Describe, Select on table sale_detail to USER RAM$5527xxxxxxxx5788:1652xxxxxxxxxx1538;
  --Lihat izin yang diberikan kepada Allen.
  show grants for RAM$5527xxxxxxxx5788:1652xxxxxxxxxx1538; 
  --Hasil otorisasi adalah sebagai berikut.
  Authorization Type: ACL
  [user/RAM$5527xxxxxxxx5788:1652xxxxxxxxxx1538]
  A       projects/test_project_a/tables/sale_detail: Describe | Select

• Contoh 2: Memberikan izin tingkat kolom kepada pengguna

  Menggunakan tabel sale_detail yang dibuat pada Contoh 1, berikan semua izin kepada pengguna Alice pada kolom shop_name dan customer_id di tabel sale_detail. Berikut adalah contoh perintahnya.

  -- Bob beralih ke proyek test_project_a.
  use test_project_a; 
  --Tambahkan pengguna Alice sebagai anggota proyek.
  add user RAM$5527xxxxxxxx5788:2763xxxxxxxxxx1649;
  --Berikan izin tingkat kolom kepada Alice.
  grant All on table sale_detail (shop_name, customer_id) to USER RAM$5527xxxxxxxx5788:2763xxxxxxxxxx1649;
  --Lihat izin yang diberikan kepada Alice.
  show grants for RAM$5527xxxxxxxx5788:2763xxxxxxxxxx1649; 
  --Hasil otorisasi adalah sebagai berikut.
  Authorization Type: ACL
  [user/RAM$5527xxxxxxxx5788:2763xxxxxxxxxx1649]
  A       projects/test_project_a/tables/sale_detail/customer_id: All
  A       projects/test_project_a/tables/sale_detail/shop_name: All

• Contoh 3: Mencabut izin dari pengguna

  Berdasarkan Contoh 1 dan Contoh 2, cabut izin dari pengguna Allen dan Alice. Berikut adalah contoh perintahnya.

  -- Bob beralih ke proyek test_project_a.
  use test_project_a; 
  --Cabut izin dari Allen.
  revoke Describe, Select on table sale_detail (shop_name, customer_id) from USER RAM$5527xxxxxxxx5788:1652xxxxxxxxxx1538;
  --Cabut izin dari Alice.
  revoke All on table sale_detail (shop_name, customer_id) from USER RAM$5527xxxxxxxx5788:2763xxxxxxxxxx1649;
  --Periksa izin Allen setelah pencabutan. Izin Describe dan Select dihapus dari daftar izin.
  show grants for RAM$5527xxxxxxxx5788:1652xxxxxxxxxx1538; 
  --Periksa izin Alice setelah pencabutan. Izin All dihapus dari daftar izin.
  show grants for RAM$5527xxxxxxxx5788:2763xxxxxxxxxx1649; 

• Contoh 4: Memberikan izin yang sama kepada beberapa pengguna menggunakan role

  Berikan izin kepada Alice, Tom, dan akun Alibaba Cloud lain Lily@aliyun.com (ID akun: 5638xxxxxxxx6899) untuk membuat instance, resource, fungsi, dan tabel, serta melihat semua tipe objek di proyek test_project_a. Berikut adalah contoh perintahnya.

  -- Bob beralih ke proyek test_project_a.
  use test_project_a; 
  --Tambahkan pengguna Alice, Tom, dan Lily@aliyun.com sebagai anggota proyek.
  add user RAM$5527xxxxxxxx5788:2763xxxxxxxxxx1649;
  add user RAM$5527xxxxxxxx5788:3874xxxxxxxxxx1850;
  add user ALIYUN$5638xxxxxxxx6899;
  --Buat role Worker.
  create role Worker; 
  --Tetapkan role Worker kepada pengguna.
  grant Worker TO RAM$5527xxxxxxxx5788:2763xxxxxxxxxx1649; 
  grant Worker TO RAM$5527xxxxxxxx5788:3874xxxxxxxxxx1850; 
  grant Worker TO ALIYUN$5638xxxxxxxx6899; 
  --Berikan role Worker izin untuk membuat instance, resource, fungsi, dan tabel, serta melihat semua tipe objek di proyek test_project_a.
  grant CreateInstance, CreateResource, CreateFunction, CreateTable, List on project test_project_a TO ROLE Worker;
  --Lihat izin pengguna Lily.
  show grants for ALIYUN$5638xxxxxxxx6899; 
  --Hasil otorisasi berikut menunjukkan bahwa pengguna Lily memiliki izin yang ditentukan.
  [roles]
  worker
  
  Authorization Type: ACL
  [role/worker]
  A       projects/test_project_a: CreateTable | CreateResource | CreateInstance | CreateFunction | List

• Contoh 5: Mencabut izin berbasis role yang sama dari beberapa pengguna

  Berdasarkan Contoh 4, cabut izin dari pengguna Alice, Tom, dan Lily@aliyun.com. Berikut adalah contoh perintahnya.

  -- Bob beralih ke proyek test_project_a.
  use test_project_a; 
  --Cabut role Worker dari pengguna Alice, Tom, dan Lily@aliyun.com.
  revoke Worker from RAM$5527xxxxxxxx5788:2763xxxxxxxxxx1649;
  revoke Worker from RAM$5527xxxxxxxx5788:3874xxxxxxxxxx1850;
  revoke Worker from ALIYUN$5638xxxxxxxx6899;
  --Periksa izin Lily setelah pencabutan. Daftar izin tidak lagi mencakup role Worker.
  show grants for ALIYUN$5638xxxxxxxx6899; 

Setelah memahami cara kerja otorisasi ACL, Anda dapat mengelola izin sesuai kebutuhan bisnis:

• Project-level role authorization

• Manage user permissions using commands

• Query the permissions of a user, role, or object