MaxCompute：Kontrol akses berbasis ACL

Kontrol akses berbasis ACL cocok untuk skenario berikut.

Sebelum menggunakan kontrol akses berbasis ACL, pastikan Anda memiliki informasi berikut:

• Akun pengguna atau peran yang akan diberikan izin. Pastikan pengguna atau peran tersebut telah ditambahkan ke proyek MaxCompute Anda. Akun Alibaba Cloud memiliki format ALIYUN$<ID_akun>, akun pengguna RAM memiliki format RAM$<ID_akun>:<UID_pengguna_RAM>, dan akun peran RAM memiliki format `RAM$<ID_akun>:role/<nama_peran_RAM>`.

  Anda dapat menjalankan perintah list users; atau list roles; pada Klien MaxCompute untuk mengambil informasi akun atau peran.

  Untuk menambahkan pengguna atau peran, lihat Perencanaan dan manajemen pengguna atau Perencanaan peran.

• Jenis objek, nama objek, dan tindakan yang akan diotorisasi.

  Untuk informasi selengkapnya tentang jenis objek dan tindakan, lihat Izin MaxCompute.

Batasan berikut berlaku untuk kontrol akses berbasis ACL:

• Anda hanya dapat memberikan izin pada objek yang sudah ada dan kepada pengguna atau peran yang sudah ada. Hal ini mencegah risiko keamanan yang dapat timbul jika Anda menghapus suatu objek lalu membuat objek berbeda dengan nama yang sama.

• Kontrol akses berbasis ACL tidak mendukung otorisasi menggunakan klausa [with grant option]. Misalnya, jika Pengguna A memberikan izin kepada Pengguna B, Pengguna B tidak dapat memberikan izin yang sama kepada Pengguna C.

• Otorisasi ACL menggunakan daftar putih (Allow) dan tidak mendukung daftar hitam (Deny).

Perhatikan hal-hal berikut saat menggunakan kontrol akses berbasis ACL:

• Jika Anda menghapus suatu objek, MaxCompute secara otomatis mencabut semua otorisasi ACL yang terkait dengan objek tersebut.

• Setelah pengguna dihapus, izin yang diberikan kepada pengguna tersebut tetap dipertahankan. Jika pengguna tersebut ditambahkan kembali ke proyek, izin akses historisnya akan diaktifkan kembali. Untuk informasi selengkapnya tentang cara menghapus informasi izin sisa dari pengguna yang dihapus, lihat Menghapus sepenuhnya informasi izin sisa dari pengguna yang dihapus.

Format perintah untuk kontrol akses berbasis ACL adalah sebagai berikut:

• Memberikan izin ACL

  grant <actions> on <object_type> <object_name> 
  [(<column_list>)] to <subject_type> <subject_name> 
  [privilegeproperties("conditions" = "<conditions>", "expires"="<days>")];

• Mencabut izin ACL

  revoke <actions> on <object_type> <object_name> 
  [(<column_list>)] from <subject_type> <subject_name>;

• Kontrol akses tingkat kolom

  grant <actions> on table <table_name> (<column_list>) to <subject_type> <subject_name>;
  revoke <actions> on table <table_name> (<column_list>) from <subject_type> <subject_name>;

Tabel berikut menjelaskan parameter-parameter tersebut.

Asumsikan bahwa Bob@aliyun.com(ID akun: 5527xxxxxxxx5788) adalah pemilik proyek test_project_a. Allen(UID: 1652xxxxxxxxxx1538), Alice(UID: 2763xxxxxxxxxx1649), dan Tom(UID: 3874xxxxxxxxxx1850) adalah pengguna RAM yang termasuk dalam Bob@aliyun.com. Contoh berikut menunjukkan cara memberikan izin menggunakan Klien MaxCompute:

• Contoh 1: Memberikan izin kepada pengguna

  Buat tabel bernama sale_detail di proyek test_project_a dan berikan izin Describe (baca metadata) dan Select (baca data tabel) pada tabel tersebut kepada pengguna Allen. Perintah contohnya adalah sebagai berikut.

  -- Bob memasuki proyek test_project_a.
  use test_project_a; 
  -- Buat tabel partisi bernama sale_detail.
  create table if not exists sale_detail
  (
  shop_name     string,
  customer_id   string,
  total_price   double
  )
  partitioned by (sale_date string, region string);
  -- Tambahkan pengguna Allen sebagai anggota proyek.
  add user RAM$5527xxxxxxxx5788:1652xxxxxxxxxx1538;
  -- Berikan izin kepada Allen.
  grant Describe, Select on table sale_detail to USER RAM$5527xxxxxxxx5788:1652xxxxxxxxxx1538;
  -- Lihat hasil otorisasi untuk Allen.
  show grants for RAM$5527xxxxxxxx5788:1652xxxxxxxxxx1538; 
  -- Hasil otorisasi adalah sebagai berikut.
  Authorization Type: ACL
  [user/RAM$5527xxxxxxxx5788:1652xxxxxxxxxx1538]
  A       projects/test_project_a/tables/sale_detail: Describe | Select

• Contoh 2: Memberikan izin kepada pengguna

  Berdasarkan tabel sale_detail yang dibuat pada Contoh 1, berikan semua izin pada kolom shop_name dan customer_id kepada pengguna Alice. Perintah contohnya adalah sebagai berikut.

  -- Bob memasuki proyek test_project_a.
  use test_project_a; 
  -- Tambahkan pengguna Alice sebagai anggota proyek.
  add user RAM$5527xxxxxxxx5788:2763xxxxxxxxxx1649;
  -- Berikan izin tingkat kolom kepada Alice.
  grant All on table sale_detail (shop_name, customer_id) to USER RAM$5527xxxxxxxx5788:2763xxxxxxxxxx1649;
  -- Lihat hasil otorisasi untuk Alice.
  show grants for RAM$5527xxxxxxxx5788:2763xxxxxxxxxx1649; 
  -- Hasil otorisasi adalah sebagai berikut.
  Authorization Type: ACL
  [user/RAM$5527xxxxxxxx5788:2763xxxxxxxxxx1649]
  A       projects/test_project_a/tables/sale_detail/customer_id: All
  A       projects/test_project_a/tables/sale_detail/shop_name: All

• Contoh 3: Mencabut izin dari pengguna

  Berdasarkan Contoh 1 dan Contoh 2, cabut izin dari pengguna Allen dan Alice. Perintah contohnya adalah sebagai berikut.

  -- Bob memasuki proyek test_project_a.
  use test_project_a; 
  -- Cabut izin dari Allen.
  revoke Describe, Select on table sale_detail (shop_name, customer_id) from USER RAM$5527xxxxxxxx5788:1652xxxxxxxxxx1538;
  -- Cabut izin dari Alice.
  revoke All on table sale_detail (shop_name, customer_id) from USER RAM$5527xxxxxxxx5788:2763xxxxxxxxxx1649;
  -- Lihat hasil pencabutan izin dari Allen. Daftar izin tidak lagi berisi izin Describe atau Select.
  show grants for RAM$5527xxxxxxxx5788:1652xxxxxxxxxx1538; 
  -- Lihat hasil pencabutan izin dari Alice. Daftar izin tidak lagi berisi izin All.
  show grants for RAM$5527xxxxxxxx5788:2763xxxxxxxxxx1649; 

• Contoh 4: Memberikan izin yang sama kepada beberapa pengguna berdasarkan peran

  Berikan izin kepada Alice, Tom, dan akun Alibaba Cloud lainnya, Lily@aliyun.com(ID akun: 5638xxxxxxxx6899), untuk membuat instans, sumber daya, fungsi, dan tabel, serta melihat semua jenis objek di proyek test_project_a. Perintah contohnya adalah sebagai berikut.

  -- Bob memasuki proyek test_project_a.
  use test_project_a; 
  -- Tambahkan pengguna Alice, Tom, dan Lily@aliyun.com sebagai anggota proyek.
  add user RAM$5527xxxxxxxx5788:2763xxxxxxxxxx1649;
  add user RAM$5527xxxxxxxx5788:3874xxxxxxxxxx1850;
  add user ALIYUN$5638xxxxxxxx6899;
  -- Buat peran Worker.
  create role Worker; 
  -- Tetapkan peran Worker kepada pengguna.
  grant Worker TO RAM$5527xxxxxxxx5788:2763xxxxxxxxxx1649; 
  grant Worker TO RAM$5527xxxxxxxx5788:3874xxxxxxxxxx1850; 
  grant Worker TO ALIYUN$5638xxxxxxxx6899; 
  -- Berikan izin CreateInstance, CreateResource, CreateFunction, CreateTable, dan List pada proyek test_project_a kepada peran Worker.
  grant CreateInstance, CreateResource, CreateFunction, CreateTable, List on project test_project_a TO ROLE Worker;
  -- Lihat hasil otorisasi untuk Lily.
  show grants for ALIYUN$5638xxxxxxxx6899; 
  -- Hasil otorisasi adalah sebagai berikut. Ini menunjukkan bahwa pengguna Lily memiliki izin tersebut.
  [roles]
  worker
  
  Authorization Type: ACL
  [role/worker]
  A       projects/test_project_a: CreateTable | CreateResource | CreateInstance | CreateFunction | List

• Contoh 5: Mencabut izin yang sama yang diberikan kepada beberapa pengguna berdasarkan peran

  Dalam contoh ini, izin yang diberikan kepada pengguna RAM Alice dan Tom serta akun Alibaba Cloud Lily@aliyun.com pada Contoh 4 dicabut. Perintah contohnya adalah sebagai berikut:

  -- Masuk ke proyek test_project_a menggunakan akun Alibaba Cloud Bob@aliyun.com.
  use test_project_a; 
  -- Cabut peran Worker dari pengguna RAM Alice dan Tom serta akun Alibaba Cloud Lily@aliyun.com.
  revoke Worker from RAM$5527xxxxxxxx5788:2763xxxxxxxxxx1649;
  revoke Worker from RAM$5527xxxxxxxx5788:3874xxxxxxxxxx1850;
  revoke Worker from ALIYUN$5638xxxxxxxx6899;
  -- Kueri izin akun Alibaba Cloud Lily@aliyun.com. Akun Alibaba Cloud Lily@aliyun.com tidak lagi memiliki izin dari peran Worker.
  show grants for ALIYUN$5638xxxxxxxx6899; 

Setelah memahami cara kerja otorisasi berbasis ACL, Anda dapat melakukan operasi berikut sesuai kebutuhan:

• Otorisasi peran tingkat proyek

• Mengelola izin pengguna menggunakan perintah

• Mengkueri informasi izin pengguna, peran, atau objek