MaxCompute:Kontrol akses tingkat baris

CREATE/REPLACE

• Sintaks

  CREATE [OR REPLACE] ROW ACCESS POLICY [IF NOT EXISTS] <policy_name> 
  ON <table_name> 
  TO <authorized_objects> 
  FILTER USING <filter_expr>
  [AS <clause>];

• Deskripsi

  Membuat atau memodifikasi Row Access Policy untuk memberikan izin kepada pengguna atau role tertentu.

• Parameter

  Parameter	Deskripsi
  policy_name	Nama Row Access Policy. Anda dapat menyesuaikan nama tersebut.
  table_name	Nama tabel yang akan diakses.
  authorized_objects	Objek yang akan diberi otorisasi. Nilai yang valid: USER <user_list>: Daftar nama pengguna yang diberi otorisasi, dipisahkan dengan koma. ROLE <role_list>: Daftar nama role yang diberikan. Nama role dipisahkan dengan koma. DEFAULT: Aturan default yang berlaku ketika tidak ada aturan pengguna atau aturan role yang cocok.
  filter_expr	Ekspresi filter. Untuk informasi lebih lanjut, lihat deskripsi filter_expr.
  clause	Atribut Row Access Policy. Nilainya dapat berupa PERMISSIVE atau RESTRICTIVE. Untuk informasi lebih lanjut, lihat Menentukan Atribut PERMISSIVE atau RESTRICTIVE.

  • deskripsi filter_expr

    Versi saat ini memberlakukan batasan ketat pada filter_expr:

    • filter_expr harus berupa ekspresi skalar yang dievaluasi ke tipe BOOLEAN.

    • Ekspresi tidak boleh berisi subkueri atau pernyataan seperti SELECT, CREATE, atau UPDATE.

    • filter_expr hanya dapat mereferensi konstanta atau kolom dari tabel yang diotorisasi. Ekspresi tidak boleh mereferensi kolom dari tabel lain.

    • Anda dapat menggunakan operator bawaan MaxCompute, termasuk operator relasional, aritmetika, bitwise, dan logika. Untuk informasi lebih lanjut, lihat Operator.

    • Hanya sebagian fungsi skalar bawaan yang diizinkan. Fungsi yang ditentukan pengguna (UDF), Fungsi agregat, dan Fungsi jendela tidak didukung. Fungsi yang didukung adalah:

      • Fungsi string: CONCAT, CONCAT_WS, GET_JSON_OBJECT, INSTR, LENGTH, LENGTHB, REGEXP_EXTRACT, REGEXP_REPLACE, REVERSE, SUBSTR, TOLOWER, TOUPPER, TRIM, LTRIM, RTRIM, REPLACE.

      • Fungsi matematika: ABS, ROUND.

      • Fungsi tanggal dan waktu: DATEADD, TO_DATE, TO_CHAR.

      • Fungsi lain: SIZE, FIELD, COALESCE, IF, SPLIT.

  • Menentukan atribut PERMISSIVE atau RESTRICTIVE

    Untuk pengguna tertentu, beberapa Kebijakan mungkin berlaku. Kebijakan-kebijakan ini kemudian digabungkan untuk menentukan apakah pengguna akhirnya dapat mengakses baris data tertentu. Saat membuat Row Access Policy, Anda dapat menggunakan AS {PERMISSIVE | RESTRICTIVE} untuk menentukan atribut kebijakan sebagai PERMISSIVE atau RESTRICTIVE. Jika Anda tidak menentukan atribut, kebijakan tersebut secara default bersifat PERMISSIVE. Berikut contohnya:

    Jika beberapa kebijakan berlaku untuk pengguna:

    • Jika semua kebijakan bersifat PERMISSIVE, kebijakan tersebut digabungkan dengan hubungan OR. Pengguna dapat mengakses baris jika ekspresi filter_expr salah satu kebijakan bernilai true.

    • Jika semua kebijakan bersifat RESTRICTIVE, kebijakan tersebut digabungkan dengan hubungan AND. Pengguna hanya dapat mengakses baris jika semua kebijakan terpenuhi.

    • Jika beberapa kebijakan bersifat PERMISSIVE dan yang lain bersifat RESTRICTIVE, pengguna hanya dapat mengakses baris jika kedua kondisi berikut terpenuhi untuk baris tersebut:

      • Setidaknya satu kebijakan PERMISSIVE terpenuhi.

      • Semua kebijakan RESTRICTIVE terpenuhi.

    Catatan

    Setiap kali Anda menambahkan Row Access Policy baru ke tabel, Anda harus mengevaluasi efek gabungan dari semua kebijakan pada tabel tersebut. Misalnya, jika pengguna tunduk pada kebijakan RESTRICTIVE dan PERMISSIVE, mereka harus memenuhi kondisi semua kebijakan RESTRICTIVE dan setidaknya satu kebijakan PERMISSIVE.

• Kasus penggunaan

  • Memberikan izin kepada pengguna tertentu

    Asumsikan sebuah tabel bernama table01 dan berisi kolom STRING bernama region. Row Access Policy ditetapkan untuk beberapa pengguna untuk membatasi akses mereka hanya ke catatan di mana nilai kolom region adalah china. Contoh perintahnya sebagai berikut:

    CREATE ROW ACCESS POLICY policy01
    ON table01
    TO USER (aliyun$odps_test01**@aliyun.com,aliyun$odps_test02**@aliyun.com)
    FILTER USING (region = "china");

  • Memberikan izin kepada role tertentu

    Asumsikan sistem memiliki dua role, role1 dan role2. Anda dapat memberikan otorisasi kepada kedua role ini untuk hanya mengakses catatan di mana bidang region bernilai china. Perintahnya sebagai berikut:

    CREATE ROW ACCESS POLICY policy02
    ON table01
    TO ROLE (role1, role2)
    FILTER USING (region = "china");

  • Memberikan izin kepada pengguna default

    Saat Anda menambahkan Row Access Policy pertama ke tabel, akses menjadi terbatas. Pengguna yang tidak cocok dengan kebijakan apa pun kehilangan akses ke data karena mereka tidak berada dalam daftar izin. Untuk mengontrol akses pengguna lainnya, Anda dapat mengonfigurasi kebijakan default. Pada titik ini, administrator dapat menggunakan perintah berikut untuk memodifikasi izin akses pengguna default.

    Secara default, menolak akses ke semua pengguna lain setara dengan menentukan bahwa pengguna default tidak memiliki izin akses.

    CREATE ROW ACCESS POLICY policy03 
    ON table01
    TO DEFAULT 
    FILTER USING (false);

    Jika Anda ingin membatasi pengguna Default hanya untuk mengakses catatan di mana bidang region bernilai other, perintahnya sebagai berikut:

    CREATE ROW ACCESS POLICY policy04 
    ON table01
    TO default 
    FILTER USING (region = "other");

    Penting

    Saat menambahkan Row Access Policy ke tabel, pertimbangkan perilaku akses pengguna selain yang dikendalikan. Jika pengguna lain sebelumnya mengakses tabel, Anda harus menetapkan aturan eksplisit untuk mereka guna menghindari kesalahan penolakan akses yang tidak terduga.

• Logika otorisasi

  Bagan alir berikut menunjukkan proses otorisasi saat pengguna mengakses tabel dengan Row Access Policy.

DROP

• Menghapus kebijakan tertentu dari tabel.

  DROP ROW ACCESS POLICY <policy_name> ON <table_name>;

• Menghapus semua kebijakan dari tabel.

  DROP ALL ROW ACCESS POLICY ON <table_name>;

DESC

Menampilkan detail kebijakan tertentu pada tabel.

DESC ROW ACCESS POLICY <policy_name> ON <table_name>;

LIST

• Menampilkan daftar semua kebijakan pada tabel.

  LIST ROW ACCESS POLICY ON <table_name>;

• Menampilkan kebijakan yang dikonfigurasi untuk pengguna tertentu pada tabel.

  LIST ROW ACCESS POLICY ON <table_name> TO USER <user_name>;

• Menampilkan kebijakan yang dikonfigurasi untuk role tertentu pada tabel.

  LIST ROW ACCESS POLICY ON <table_name> TO ROLE <role_name>;

Pemeriksaan perilaku kompatibilitas

Saat MaxCompute mengevaluasi ekspresi filter, perilakunya dapat dipengaruhi oleh parameter flag. Jika pengguna menetapkan Row Access Policy di bawah satu perilaku kompatibilitas lalu menetapkan kebijakan lain di bawah perilaku yang berbeda, kebocoran data dapat terjadi akibat hasil yang tidak terduga. Oleh karena itu, saat kontrol akses tingkat baris diterapkan, sistem memeriksa perilaku kompatibilitas pada saat definisi. Jika pengaturannya tidak konsisten, kesalahan dilaporkan dan akses ditolak.

Contoh: Contoh ini menggunakan data sampel untuk menunjukkan bagaimana kebijakan diterapkan di bawah perilaku kompatibilitas yang berbeda.

1. Perilaku fungsi SUBSTR saat parameter keduanya bernilai 0 dipengaruhi oleh mode kompatibilitas Hive. Untuk informasi lebih lanjut, lihat SUBSTR.

   • Dalam mode kompatibilitas Hive, posisi awal 0 untuk fungsi SUBSTR menghasilkan hasil yang sama dengan posisi awal 1.

     SET odps.sql.hive.compatible=true;
     SELECT substr('abc', 0);
     -- Dalam mode kompatibilitas Hive, posisi awal 0 diperlakukan sama seperti posisi awal 1.
     +-----+
     | _c0 |
     +-----+
     | abc |
     +-----+

   • Di luar mode kompatibilitas Hive, posisi awal 0 mengembalikan string kosong.

     SET odps.sql.hive.compatible=false;
     SELECT substr('abc', 0);
     -- Di luar mode kompatibilitas Hive, posisi awal 0 mengembalikan string kosong.
     +-----+
     | _c0 |
     +-----+
     |     |
     +-----+

2. Saat Anda membuat Row Access Policy, sistem memeriksa operator dan fungsi yang digunakan dalam filter_expr. Jika perilakunya bergantung pada parameter Flag tertentu, parameter tersebut direkam dalam Settings. Anda dapat menggunakan perintah DESC untuk melihat parameter Flag terkait.

   -- Hapus semua kebijakan pada tabel.
   DROP ALL row access policy ON policy_test;
   
   -- Konfigurasi kebijakan dalam mode kompatibilitas Hive, menggunakan fungsi SUBSTR dalam filter_expr.
   SET odps.sql.hive.compatible=true;
   CREATE row access policy policy04 ON policy_test TO default filter using(substr(b, 0)='1');
   
   -- Lihat detail kebijakan yang dikonfigurasi pada tabel policy_test.
   DESC row access policy policy04 on policy_test;

   Hasil berikut dikembalikan: Bidang Settings menunjukkan nilai parameter odps.sql.hive.compatible.

   Authorization Type: Row Access Policy
   Name: policy04
   Objects: acs:odps:*:projects/sql_optimizer/tables/policy_test
   FilterExpr: substr(b, 0) = '1'
   NormalizedFilterExpr: ::substr(policy_test.b, 0) = '1'
   Restrictive: false
   Settings: odps.sql.hive.compatible=true

3. Saat kebijakan diterapkan selanjutnya, sistem memeriksa apakah Settings lingkungan saat ini konsisten dengan Settings saat pembuatan kebijakan. Jika tidak konsisten, kesalahan dilaporkan.

   • Terapkan kebijakan dalam mode kompatibilitas Hive.

     SET odps.sql.hive.compatible=true;
     SELECT * FROM policy_test;

     Hasil berikut dikembalikan:

     +------------+---+
     | a          | b |
     +------------+---+
     | 1          | 1 |
     +------------+---+

   • Dalam mode non-kompatibel Hive, kueri gagal dieksekusi karena nilai parameter odps.sql.hive.compatible tidak konsisten dengan nilai yang ditentukan saat kebijakan dibuat.

     SET odps.sql.hive.compatible=false;
     SELECT * FROM policy_test;

     Hasil berikut dikembalikan:

     FAILED: ODPS-0130071:[0,0] Semantic analysis exception - physical plan generation failed: java.lang.IllegalArgumentException: Row access policy flag mismatch for: odps.sql.hive.compatible, flag value when grant this policy is true, while at runtime is false. please set odps.sql.hive.compatible = true or contact your project manager.

Perilaku unduhan MaxCompute Tunnel

Saat Anda mengunduh data dari tabel dengan Row Access Policy menggunakan MaxCompute Tunnel, aturan kontrol akses tingkat baris tetap harus diikuti. Namun, Tunnel tidak dapat mengeksekusi logika filtering sendiri. Sebagai gantinya, Tunnel memulai Tugas SQL untuk memfilter data lalu mengunduh hasilnya.

Oleh karena itu, saat Anda menggunakan perintah Tunnel atau SDK Tunnel untuk mengunduh data dari tabel MaxCompute dengan Row Access Policy, terdapat periode tunggu selama Tugas SQL dieksekusi.

Menonaktifkan Pembuatan Row Access Policy

Untuk mencegah pembuatan Row Access Policy baru dalam Proyek, administrator Proyek dapat menjalankan perintah berikut untuk memodifikasi properti Proyek:

setproject odps.sql.create.row.policy.disable=true;

Nilai yang valid adalah:

• false (default): Mengizinkan pembuatan Row Access Policy baru.

• true: Melarang pembuatan Row Access Policy baru, tetapi memungkinkan modifikasi dan penghapusan kebijakan yang sudah ada.