MaxCompute:Mengelola izin pengguna menggunakan perintah

Memberikan izin operasi objek melalui role

Berikan izin kepada role menggunakan Kontrol akses berbasis ACL atau Kontrol akses berbasis kebijakan, lalu tetapkan role tersebut kepada beberapa pengguna.

Untuk detail cara memberikan izin kepada role, lihat Memberikan izin operasi pada objek kepada role.

Contoh

Pemilik proyek (ALIYUN$5527xxxxxxxx5789) perlu memberikan izin kepada RAM user Allen, Alice, dan Tom untuk membuat tabel, model, fungsi, dan instans, serta melihat semua daftar objek di test_project_a:

-- Beralih ke proyek.
use test_project_a;
-- Menambahkan RAM user ke proyek.
add user RAM$5527xxxxxxxx5788:2763xxxxxxxxxx1649;
add user RAM$5527xxxxxxxx5788:2763xxxxxxxxxx1650;
add user RAM$5527xxxxxxxx5788:2763xxxxxxxxxx1651;
-- Membuat role.
create role Worker;
-- Memberikan izin kepada role menggunakan Kontrol akses berbasis ACL (Metode 1).
grant CreateTable, CreateFunction, CreateInstance, List on project test_project_a to ROLE Worker;
-- Memberikan izin kepada role menggunakan Kontrol akses berbasis kebijakan (Metode 2).
grant CreateTable, CreateFunction, CreateInstance, List
      on project test_project_a
      to ROLE Worker privilegeproperties("policy" = "true", "allow"="true");
-- Menetapkan role kepada ketiga pengguna tersebut.
grant Worker to RAM$5527xxxxxxxx5788:2763xxxxxxxxxx1649;
grant Worker to RAM$5527xxxxxxxx5788:2763xxxxxxxxxx1650;
grant Worker to RAM$5527xxxxxxxx5788:2763xxxxxxxxxx1651;

Mencabut izin operasi objek dari pengguna berbasis role

Tersedia dua pendekatan. Pilih berdasarkan jumlah pengguna yang terdampak:

• Mencabut izin dari role — semua pengguna yang ditetapkan ke role tersebut langsung kehilangan izin tersebut.

• Mencabut role dari pengguna tertentu — hanya pengguna tersebut yang kehilangan izin; pengguna lain tidak terpengaruh.

Contoh

Mencabut izin operasi objek dari Allen, Alice, dan Tom (yang memiliki role Worker):

Metode 1: Mencabut izin dari role Worker (mempengaruhi ketiga pengguna):

--Masuk ke proyek test_project_a.
use test_project_a;
--Mencabut izin dari pengguna Allen.
revoke Label 4 on table sale_detail from USER RAM$5527xxxxxxxx5788:2763xxxxxxxxxx1649;

--Masuk ke proyek test_project_a.
use test_project_a;
--Memberikan izin kepada pengguna Allen.
grant Label 4 on table sale_detail to USER RAM$5527xxxxxxxx5788:2763xxxxxxxxxx1649;

--Masuk ke proyek test_project_a.
use test_project_a;
--Mencabut izin dari Allen.
revoke Download on table sale_detail from USER RAM$5527xxxxxxxx5788:2763xxxxxxxxxx1649;

--Masuk ke proyek test_project_a.
use test_project_a;
--Memberikan izin kepada Allen.
grant Download on table sale_detail to USER RAM$5527xxxxxxxx5788:2763xxxxxxxxxx1649;

--Masuk ke proyek test_project_a.
use test_project_a;
--Mencabut izin dari Tom.
revoke All on instance 202112300224**** from USER RAM$5527xxxxxxxx5788:2763xxxxxxxxxx1651;

--Masuk ke proyek test_project_a.
use test_project_a;
--Mencabut izin dari Tom.
revoke Read, Write on function udf_test from USER RAM$5527xxxxxxxx5788:2763xxxxxxxxxx1651;

--Masuk ke proyek test_project_a.
use test_project_a;
--Mencabut izin dari Alice.
revoke Read, Write on resource udtf.jar from USER RAM$5527xxxxxxxx5788:2763xxxxxxxxxx1650;

--Masuk ke proyek test_project_a.
use test_project_a;
--Mencabut izin dari Allen.
revoke Describe, Select on table sale_detail from USER RAM$5527xxxxxxxx5788:2763xxxxxxxxxx1649;

--Masuk ke proyek test_project_a.
use test_project_a;
--Mencabut izin dari pengguna Alibaba Cloud.
revoke CreateTable, CreateFunction, CreateInstance, List on project test_project_a from user ALIYUN$5527xxxxxxxx5788;

--Masuk ke proyek test_project_a.
use test_project_a;
--Menambahkan Tom ke proyek test_project_a.
add user RAM$5527xxxxxxxx5788:2763xxxxxxxxxx1651;
--Memberikan izin kepada Tom.
grant All on instance 202112300224**** to USER RAM$5527xxxxxxxx5789:2763xxxxxxxxxx1651;

--Masuk ke proyek test_project_a.
use test_project_a;
--Menambahkan Tom ke proyek test_project_a.
add user RAM$5527xxxxxxxx5789:2763xxxxxxxxxx1651;
--Memberikan izin kepada Tom.
grant Read, Write on function udf_test to USER RAM$5527xxxxxxxx5789:2763xxxxxxxxxx1651;

--Masuk ke proyek test_project_a.
use test_project_a;
--Menambahkan Alice ke proyek test_project_a.
add user RAM$5527xxxxxxxx5789:2763xxxxxxxxxx1650;
--Memberikan izin kepada Alice.
grant Read, Write on resource udtf.jar to USER RAM$5527xxxxxxxx5789:2763xxxxxxxxxx1650;

--Masuk ke proyek test_project_a.
use test_project_a;
--Menambahkan Allen ke proyek test_project_a.
add user RAM$5527xxxxxxxx5789:2763xxxxxxxxxx1649;
--Menambahkan RAM role ke proyek test_project_a.
add user `RAM$5527xxxxxxxx5789:role/ram_role`;
--Memberikan izin kepada RAM user Allen.
grant CreateTable, List on project test_project_a to USER RAM$5527xxxxxxxx5789:2763xxxxxxxxxx1649;
grant Describe, Select on table sale_detail to USER RAM$5527xxxxxxxx5789:2763xxxxxxxxxx1649;
--Memberikan izin kepada RAM role.
grant CreateTable, List on project test_project_a to USER `RAM$5527xxxxxxxx5789:role/ram_role`;
grant Describe, Select on table sale_detail to USER `RAM$5527xxxxxxxx5789:role/ram_role`;

--ALIYUN$5527xxxxxxxx5789 masuk ke proyek test_project_a.
use test_project_a;
--Menambahkan ALIYUN$5527xxxxxxxx5788 ke proyek MaxCompute.
add user ALIYUN$5527xxxxxxxx5788;
--ALIYUN$5527xxxxxxxx5789 memberikan izin kepada ALIYUN$5527xxxxxxxx5788.
grant CreateTable, CreateFunction, CreateInstance, List on project test_project_a to user ALIYUN$5527xxxxxxxx5788;

--Masuk ke proyek test_project_a.
use test_project_a;
--Mencabut role Worker dari pengguna. Allen kini hanya dapat mengakses data dengan tingkat sensitivitas maksimum 2. Alice dan Tom masih dapat mengakses data dengan tingkat sensitivitas maksimum 4.
revoke Worker from RAM$5527xxxxxxxx5788:2763xxxxxxxxxx1649;

--Masuk ke proyek test_project_a.
use test_project_a;
--Membuat role Worker.
create role Worker;
--Memberikan izin kepada role Worker.
grant Label 4 on table <table_name> to ROLE Worker;  --table_name adalah nama tabel tujuan.
--Menetapkan role Worker kepada pengguna.
grant Worker to RAM$5527xxxxxxxx5788:2763xxxxxxxxxx1649;
grant Worker to RAM$5527xxxxxxxx5788:2763xxxxxxxxxx1650;
grant Worker to RAM$5527xxxxxxxx5788:2763xxxxxxxxxx1651;

--Masuk ke proyek test_project_a.
use test_project_a;
--Mencabut role Worker dari pengguna. Hanya Allen yang tidak lagi memiliki izin Download.
revoke Worker from RAM$5527xxxxxxxx5788:2763xxxxxxxxxx1649;

--Bob masuk ke proyek test_project_a.
use test_project_a;
--Bob menambahkan Allen, Alice, dan Tom ke proyek test_project_a.
add user RAM$5527xxxxxxxx5788:2763xxxxxxxxxx1649;
add user RAM$5527xxxxxxxx5788:2763xxxxxxxxxx1650;
add user RAM$5527xxxxxxxx5788:2763xxxxxxxxxx1651;
--Bob membuat role Worker.
create role Worker;
--Bob memberikan izin kepada role Worker.
grant download on table sale_detail to ROLE Worker;
--Menetapkan role Worker kepada pengguna.
grant Worker to RAM$5527xxxxxxxx5788:2763xxxxxxxxxx1649;
grant Worker to RAM$5527xxxxxxxx5788:2763xxxxxxxxxx1650;
grant Worker to RAM$5527xxxxxxxx5788:2763xxxxxxxxxx1651;

--Masuk ke proyek test_project_a.
use test_project_a;
--Mencabut role Worker dari pengguna. Hanya Allen yang tidak lagi memiliki izin CreateTable, CreateFunction, CreateInstance, dan List.
revoke Worker from RAM$5527xxxxxxxx5788:2763xxxxxxxxxx1649;

-- Beralih ke proyek.
use test_project_a;
-- Mencabut izin berbasis ACL dari role.
revoke CreateTable, CreateModel, CreateFunction, CreateInstance, List on project test_project_a from ROLE Worker;
-- Mencabut izin berbasis kebijakan dari role.
revoke CreateTable, CreateModel, CreateFunction, CreateInstance, List
      on project test_project_a
      from ROLE Worker privilegeproperties("policy" = "true", "allow"="true");

Metode 2: Mencabut role Worker hanya dari Allen:

-- Beralih ke proyek.
use test_project_a;
-- Mencabut role dari Allen. Alice dan Tom tidak terpengaruh.
revoke Worker from RAM$5527xxxxxxxx5788:2763xxxxxxxxxx1649;

Memberikan izin unduh melalui role

Berikan izin Download kepada role menggunakan mekanisme kontrol unduh, lalu tetapkan role tersebut kepada pengguna.

Untuk detail cara memberikan izin unduh kepada role, lihat Memberikan izin Download kepada role.

Contoh

Berikan izin kepada RAM user Allen, Alice, dan Tom untuk mengunduh data dari tabel tertentu di test_project_a:

-- Beralih ke proyek.
use test_project_a;
-- Menambahkan RAM user ke proyek.
add user RAM$5527xxxxxxxx5788:2763xxxxxxxxxx1649;
add user RAM$5527xxxxxxxx5788:2763xxxxxxxxxx1650;
add user RAM$5527xxxxxxxx5788:2763xxxxxxxxxx1651;
-- Membuat role.
create role Worker;
-- Memberikan izin Download role tersebut pada tabel.
grant Download on table sale_detail to ROLE Worker;
-- Menetapkan role kepada ketiga pengguna tersebut.
grant Worker to RAM$5527xxxxxxxx5788:2763xxxxxxxxxx1649;
grant Worker to RAM$5527xxxxxxxx5788:2763xxxxxxxxxx1650;
grant Worker to RAM$5527xxxxxxxx5788:2763xxxxxxxxxx1651;

Mencabut izin unduh dari pengguna berbasis role

Tersedia dua pendekatan:

• Mencabut izin dari role — semua pengguna yang ditetapkan ke role tersebut kehilangan izin tersebut.

• Mencabut role dari pengguna tertentu — hanya pengguna tersebut yang kehilangan izin.

Contoh

Metode 1: Mencabut izin Download dari role Worker (mempengaruhi Allen, Alice, dan Tom):

-- Beralih ke proyek.
use test_project_a;
revoke Download on table sale_detail from ROLE Worker;

Metode 2: Mencabut role Worker hanya dari Allen:

-- Beralih ke proyek.
use test_project_a;
revoke Worker from RAM$5527xxxxxxxx5788:2763xxxxxxxxxx1649;

Memberikan akses ke data sensitif melalui role

Berikan akses role ke data berlabel menggunakan Kontrol akses berbasis label atau Kontrol akses berbasis kebijakan, lalu tetapkan role tersebut kepada pengguna.

Untuk detail cara memberikan izin label kepada role, lihat Memberikan izin untuk mengakses data sensitivitas tinggi kepada role.

Contoh

Allen, Alice, dan Tom memiliki tingkat akses data 2. Berikan mereka akses ke data pada tingkat sensitivitas 4 di test_project_a:

-- Beralih ke proyek.
use test_project_a;
-- Membuat role.
create role Worker;
-- Memberikan akses role tersebut ke data tingkat sensitivitas 4.
grant Label 4 on table <table_name> to ROLE Worker;
-- Menetapkan role kepada pengguna.
grant Worker to RAM$5527xxxxxxxx5788:2763xxxxxxxxxx1649;
grant Worker to RAM$5527xxxxxxxx5788:2763xxxxxxxxxx1650;
grant Worker to RAM$5527xxxxxxxx5788:2763xxxxxxxxxx1651;

Mencabut akses ke data sensitif dari pengguna berbasis role

Tersedia dua pendekatan:

• Mencabut izin dari role — semua pengguna yang ditetapkan ke role tersebut kehilangan akses.

• Mencabut role dari pengguna tertentu — hanya pengguna tersebut yang kehilangan akses.

Contoh

Metode 1: Mencabut izin label dari role Worker (Allen, Alice, dan Tom kembali ke tingkat akses 2):

-- Beralih ke proyek.
use test_project_a;
revoke Label on table <table_name> from ROLE Worker;

Metode 2: Mencabut role Worker hanya dari Allen (Alice dan Tom tetap memiliki akses tingkat 4):

-- Beralih ke proyek.
use test_project_a;
revoke Worker from RAM$5527xxxxxxxx5788:2763xxxxxxxxxx1649;

Memberikan izin pada proyek

Sintaks

grant Read|Write|List|CreateTable|CreateInstance|CreateFunction|CreateResource|All
      on project <project_name>
      to USER <user_name> [privilegeproperties("conditions" = "<conditions>", "expires"="<days>")];

Parameter wajib

Memberikan izin pada tabel

Sintaks

grant Describe|Select|Alter|Update|Drop|ShowHistory|All
      on table <table_name> [(<column_list>)]
      to USER <user_name> [privilegeproperties("conditions" = "<conditions>", "expires"="<days>")];

Parameter wajib

Parameter opsional

Memberikan izin pada model

Sintaks

grant Describe|Execute|Alter|Drop|All
      on MODEL <model_name>
      to USER <user_name> [privilegeproperties("conditions" = "<conditions>", "expires"="<days>")];

Parameter wajib

Memberikan izin pada resource

Sintaks

grant Read|Write|Delete|All
      on resource <resource_name>
      to USER <user_name> [privilegeproperties("conditions" = "<conditions>", "expires"="<days>")];

Parameter wajib

Memberikan izin pada fungsi

Sintaks

grant Read|Write|Delete|Execute|All
      on function <function_name>
      to USER <user_name> [privilegeproperties("conditions" = "<conditions>", "expires"="<days>")];

Parameter wajib

Memberikan izin pada instans

Sintaks

grant Read|Write|All
      on instance <instance_id>
      to USER <user_name> [privilegeproperties("conditions" = "<conditions>", "expires"="<days>")];

Parameter wajib

Contoh

Contoh berikut semuanya menggunakan proyek test_project_a, di mana ALIYUN$5527xxxxxxxx5789 adalah pemilik proyek.

Contoh 1: Memberikan izin kepada akun Alibaba Cloud untuk membuat tabel, fungsi, dan instans, serta melihat semua daftar objek dalam proyek:

-- Beralih ke proyek.
use test_project_a;
-- Menambahkan akun Alibaba Cloud ke proyek.
add user ALIYUN$5527xxxxxxxx5788;
-- Memberikan izin tingkat proyek yang diperlukan.
grant CreateTable, CreateFunction, CreateInstance, List on project test_project_a to user ALIYUN$5527xxxxxxxx5788;

Contoh 2: Memberikan izin kepada RAM user dan RAM role untuk membuat tabel dan melihat semua daftar objek dalam proyek, ditambah membaca metadata dan data dari tabel tertentu:

-- Beralih ke proyek.
use test_project_a;
-- Menambahkan RAM user dan RAM role ke proyek.
add user RAM$5527xxxxxxxx5789:2763xxxxxxxxxx1649;
add user `RAM$5527xxxxxxxx5789:role/ram_role`;
-- Memberikan izin tingkat proyek.
grant CreateTable, List on project test_project_a to USER RAM$5527xxxxxxxx5789:2763xxxxxxxxxx1649;
grant CreateTable, List on project test_project_a to USER `RAM$5527xxxxxxxx5789:role/ram_role`;
-- Memberikan izin tingkat tabel.
grant Describe, Select on table sale_detail to USER RAM$5527xxxxxxxx5789:2763xxxxxxxxxx1649;
grant Describe, Select on table sale_detail to USER `RAM$5527xxxxxxxx5789:role/ram_role`;

Contoh 3: Memberikan akses baca dan tulis kepada RAM user pada resource:

-- Beralih ke proyek.
use test_project_a;
add user RAM$5527xxxxxxxx5789:2763xxxxxxxxxx1650;
grant Read, Write on resource udtf.jar to USER RAM$5527xxxxxxxx5789:2763xxxxxxxxxx1650;

Contoh 4: Memberikan akses baca dan tulis kepada RAM user pada fungsi:

-- Beralih ke proyek.
use test_project_a;
add user RAM$5527xxxxxxxx5789:2763xxxxxxxxxx1651;
grant Read, Write on function udf_test to USER RAM$5527xxxxxxxx5789:2763xxxxxxxxxx1651;

Contoh 5: Memberikan semua izin kepada RAM user pada instans:

-- Beralih ke proyek.
use test_project_a;
add user RAM$5527xxxxxxxx5788:2763xxxxxxxxxx1651;
grant All on instance 202112300224**** to USER RAM$5527xxxxxxxx5789:2763xxxxxxxxxx1651;

Mencabut izin pada proyek

Sintaks

revoke Read|Write|List|CreateTable|CreateInstance|CreateFunction|CreateResource|All
      on project <project_name>
      from USER <user_name>;

Parameter wajib

Mencabut izin pada tabel

Sintaks

revoke Describe|Select|Alter|Update|Drop|ShowHistory|All
      on table <table_name> [(<column_list>)]
      from USER <user_name>;

Parameter wajib

Mencabut izin pada model

Sintaks

revoke Describe|Execute|Alter|Drop|All
      on MODEL <model_name>
      from USER <user_name>;

Parameter wajib

Mencabut izin pada resource

Sintaks

revoke Read|Write|Delete|All
      on resource <resource_name>
      from USER <user_name>;

Parameter wajib

Mencabut izin pada fungsi

Sintaks

revoke Read|Write|Delete|Execute|All
      on function <function_name>
      from USER <user_name>;

Parameter wajib

Mencabut izin pada instans

Sintaks

revoke Read|Write|All
      on instance <instance_id>
      from USER <user_name>;

Parameter wajib

Contoh

Contoh 1: Mencabut izin akun Alibaba Cloud untuk membuat tabel, fungsi, dan instans serta melihat semua daftar objek dalam proyek:

use test_project_a;
revoke CreateTable, CreateFunction, CreateInstance, List on project test_project_a from user ALIYUN$5527xxxxxxxx5788;

Contoh 2: Mencabut akses baca dan metadata RAM user pada tabel:

use test_project_a;
revoke Describe, Select on table sale_detail from USER RAM$5527xxxxxxxx5788:2763xxxxxxxxxx1649;

Contoh 3: Mencabut akses baca dan tulis RAM user pada resource:

use test_project_a;
revoke Read, Write on resource udtf.jar from USER RAM$5527xxxxxxxx5788:2763xxxxxxxxxx1650;

Contoh 4: Mencabut akses baca dan tulis RAM user pada fungsi:

use test_project_a;
revoke Read, Write on function udf_test from USER RAM$5527xxxxxxxx5788:2763xxxxxxxxxx1651;

Contoh 5: Mencabut semua izin pada instans dari RAM user:

use test_project_a;
revoke All on instance 202112300224**** from USER RAM$5527xxxxxxxx5788:2763xxxxxxxxxx1651;