MaxCompute：Kontrol Akses Tingkat Baris

CREATE/REPLACE

• Sintaks

  CREATE [OR REPLACE] ROW ACCESS POLICY [IF NOT EXISTS] <policy_name> 
  ON <table_name> 
  TO <authorized_objects> 
  FILTER USING <filter_expr>
  [AS <clause>];

• Deskripsi

  Membuat atau memodifikasi kebijakan akses tingkat baris untuk memberikan izin kepada objek yang ditentukan (pengguna atau peran).

• Parameter

  Parameter	Deskripsi
  policy_name	Nama kebijakan akses tingkat baris. Anda dapat menentukan nama kustom.
  table_name	Nama tabel yang akan diakses.
  authorized_objects	Objek yang diberikan izin. Nilai valid: USER <user_list>: nama pengguna yang diberikan izin. Pisahkan beberapa nama pengguna dengan koma (,). ROLE <role_list>: nama peran yang diberikan izin. Pisahkan beberapa nama peran dengan koma (,). DEFAULT: kebijakan default ketika kebijakan pengguna atau peran tidak terpenuhi.
  filter_expr	Ekspresi filter. Untuk informasi lebih lanjut, lihat Batasan pada filter_expr.
  clause	Atribut kebijakan akses tingkat baris. Nilai valid: PERMISSIVE dan RESTRICTIVE. Untuk informasi lebih lanjut, lihat Tentukan atribut PERMISSIVE atau RESTRICTIVE.

  • Batasan pada filter_expr

    filter_expr memiliki batasan berikut dalam versi ini:

    • Nilai filter_expr harus berupa ekspresi skalar dan bertipe data BOOLEAN.

    • filter_expr tidak dapat berisi subkueri atau pernyataan seperti SELECT, CREATE, dan UPDATE.

    • filter_expr hanya dapat merujuk konstanta atau bidang dalam tabel yang diotorisasi. filter_expr tidak dapat merujuk bidang dalam tabel lain.

    • filter_expr dapat berisi operator bawaan MaxCompute, termasuk operator relasional, operator aritmatika, operator bitwise, dan operator logika. Untuk informasi lebih lanjut, lihat Operator.

    • filter_expr hanya dapat berisi fungsi skalar bawaan tertentu. Parameter ini tidak dapat memanggil UDF, fungsi agregat, atau fungsi jendela. filter_expr mendukung fungsi berikut:

      • Fungsi string: CONCAT, CONCAT_WS, GET_JSON_OBJECT, INSTR, LENGTH, LENGTHB, REGEXP_EXTRACT, REGEXP_REPLACE, REVERSE, SUBSTR, TOLOWER, TOUPPER, TRIM, LTRIM, RTRIM, dan REPLACE.

      • Fungsi matematika: ABS dan ROUND.

      • Fungsi waktu: DATEADD, TO_DATE, dan TO_CHAR.

      • Fungsi lainnya: SIZE, FIELD, COALESCE, IF, dan SPLIT.

  • Deskripsi atribut PERMISSIVE dan RESTRICTIVE

    Beberapa kebijakan mungkin berlaku pada pengguna tertentu. Sistem menggabungkan beberapa kebijakan untuk menentukan apakah pengguna dapat mengakses baris data. Saat Anda membuat kebijakan akses tingkat baris, Anda dapat menggunakan AS {PERMISSIVE | RESTRICTIVE} untuk menentukan atribut PERMISSIVE atau RESTRICTIVE untuk kebijakan tersebut. Jika Anda tidak menentukan atribut, nilai defaultnya adalah PERMISSIVE. Contoh:

    Beberapa kebijakan berlaku pada pengguna.

    • Jika atribut kebijakan adalah PERMISSIVE, hubungan antara kebijakan adalah OR. Dalam hal ini, pengguna dapat mengakses baris data jika nilai filter_expr dalam salah satu kebijakan adalah true.

    • Jika atribut kebijakan adalah RESTRICTIVE, hubungan antara kebijakan adalah AND. Dalam hal ini, pengguna hanya dapat mengakses baris data jika semua kebijakan terpenuhi.

    • Jika atribut kebijakan tertentu adalah PERMISSIVE dan atribut kebijakan lainnya adalah RESTRICTIVE, pengguna hanya dapat mengakses baris data jika kedua kondisi berikut terpenuhi:

      • Setidaknya satu dari kebijakan yang atributnya adalah PERMISSIVE terpenuhi.

      • Semua kebijakan yang atributnya adalah RESTRICTIVE terpenuhi.

    Catatan

    Setiap kali Anda menambahkan kebijakan akses tingkat baris ke tabel, Anda harus mengevaluasi efek keseluruhan dari kombinasi semua kebijakan akses tingkat baris pada tabel. Sebagai contoh, jika kebijakan RESTRICTIVE dan kebijakan PERMISSIVE dikonfigurasikan untuk pengguna pada saat yang sama, kebijakan PERMISSIVE juga harus dipenuhi.

• Skenario

  • Berikan izin kepada pengguna tertentu.

    Dalam contoh ini, tabel bernama table01 berisi bidang yang bertipe data STRING dan nama kolomnya adalah region. Konfigurasikan kebijakan akses tingkat baris untuk pengguna tertentu untuk mengizinkan pengguna mengakses hanya catatan di mana nilai dalam bidang region adalah china. Contoh pernyataan:

    CREATE ROW ACCESS POLICY policy01
    ON table01
    TO USER (aliyun$odps_tes***@aliyun.com,aliyun$odps_tes***@aliyun.com)
    FILTER USING (region = "china");

  • Berikan izin kepada peran tertentu.

    Dalam contoh ini, dua peran bernama role1 dan role2 ada dalam sistem. Berikan izin kepada kedua peran sehingga mereka hanya dapat mengakses catatan yang nilainya dalam bidang region adalah china. Contoh pernyataan:

    CREATE ROW ACCESS POLICY policy02
    ON table01
    TO ROLE (role1, role2)
    FILTER USING (region = "china");

  • Berikan izin kepada pengguna default.

    Sebagai contoh, sekitar 100 pengguna potensial mungkin mengakses tabel tertentu. Administrator secara terpisah memberikan izin kepada salah satu pengguna dengan menggunakan perintah otorisasi. Pengendalian akses juga diperlukan untuk pengguna lainnya. Jika Anda memberikan izin kepada pengguna atau peran tertentu pada tabel, kontrol akses tingkat baris diaktifkan untuk tabel tersebut. Pengguna lain tidak dapat mengakses data dalam tabel karena mereka tidak memiliki izin akses pada tabel. Dalam hal ini, administrator dapat mengeksekusi pernyataan berikut untuk memodifikasi izin akses pengguna default.

    Secara default, pengguna lain tidak diizinkan mengakses tabel. Ini sama dengan efek menentukan bahwa pengguna default tidak memiliki izin akses.

    CREATE ROW ACCESS POLICY policy03 
    ON table01
    TO DEFAULT 
    FILTER USING (false);

    Jika Anda ingin membatasi pengguna default untuk mengakses hanya catatan di mana nilai bidang region adalah other, eksekusi pernyataan berikut:

    CREATE ROW ACCESS POLICY policy04 
    ON table01
    TO default 
    FILTER USING (region = "other");

    Penting

    Saat Anda menambahkan kebijakan akses tingkat baris ke tabel untuk pengguna tertentu, Anda harus mempertimbangkan perilaku akses pengguna lainnya. Jika tabel telah diakses oleh pengguna lain, Anda juga harus mengonfigurasi kebijakan untuk mengizinkan akses dari pengguna tersebut untuk menghindari kesalahan larangan akses yang tidak terduga.

• Logika otentikasi

  Gambar berikut menunjukkan proses otentikasi saat pengguna mengakses tabel yang telah dikonfigurasi dengan kebijakan akses tingkat baris.

DROP

• Menghapus kebijakan tertentu dari tabel.

  DROP ROW ACCESS POLICY <policy_name> ON <table_name>;

• Menghapus semua kebijakan dari tabel.

  DROP ALL ROW ACCESS POLICY ON <table_name>;

DESC

Memeriksa detail izin kebijakan pada tabel.

DESC ROW ACCESS POLICY <policy_name> ON <table_name>;

LIST

• Menampilkan semua kebijakan pada tabel.

  LIST ROW ACCESS POLICY ON <table_name>;

• Menampilkan kebijakan yang dikonfigurasi untuk pengguna pada tabel.

  LIST ROW ACCESS POLICY ON <table_name> TO USER <user_name>;

• Menampilkan kebijakan yang dikonfigurasi untuk peran pada tabel.

  LIST ROW ACCESS POLICY ON <table_name> TO ROLE <role_name>;

Pemeriksaan perilaku kompatibel

Saat MaxCompute melakukan perhitungan berdasarkan ekspresi filter, hasilnya mungkin dipengaruhi oleh parameter bendera. Jika pengguna mendefinisikan kebijakan akses tingkat baris di bawah perilaku kompatibel tertentu dan mendefinisikan kebijakan akses tingkat baris lainnya di bawah perilaku kompatibel lainnya, kebocoran data mungkin terjadi jika hasilnya tidak sesuai dengan harapan. Oleh karena itu, saat MaxCompute melakukan kontrol akses tingkat baris, sistem memeriksa perilaku kompatibel yang dilakukan saat kebijakan akses tingkat baris didefinisikan. Jika perilaku kompatibel tidak konsisten, kesalahan dilaporkan dan akses dilarang.

Contoh: Contoh ini menunjukkan penerapan kebijakan di bawah perilaku kompatibel yang berbeda berdasarkan data sampel.

1. Perilaku ketika parameter kedua fungsi SUBSTR disetel ke 0 dipengaruhi dalam edisi tipe data yang kompatibel dengan Hive. Untuk informasi lebih lanjut, lihat SUBSTR.

   • Jika edisi tipe data yang kompatibel dengan Hive diaktifkan, hasil yang diperoleh ketika posisi awal fungsi SUBSTR adalah 0 sama dengan hasil yang diperoleh ketika posisi awal fungsi SUBSTR adalah 1.

     SET odps.sql.hive.compatible=true;
     SELECT substr('abc', 0);
     -- Jika edisi tipe data yang kompatibel dengan Hive diaktifkan, hasil yang diperoleh ketika posisi awal fungsi SUBSTR adalah 0 sama dengan hasil yang diperoleh ketika posisi awal fungsi SUBSTR adalah 1. 
     +-----+
     | _c0 |
     +-----+
     | abc |
     +-----+

   • Jika edisi tipe data yang kompatibel dengan Hive dinonaktifkan, nilai yang dikembalikan adalah string kosong ketika posisi awal fungsi SUBSTR adalah 0.

     SET odps.sql.hive.compatible=false;
     SELECT substr('abc', 0);
     -- Jika edisi tipe data yang kompatibel dengan Hive dinonaktifkan, nilai yang dikembalikan adalah string kosong ketika posisi awal fungsi SUBSTR adalah 0.
     +-----+
     | _c0 |
     +-----+
     |     |
     +-----+

2. Saat Anda membuat kebijakan akses tingkat baris, sistem memeriksa operator dan fungsi yang digunakan dalam filter_expr. Jika perilaku operator dan fungsi bergantung pada parameter bendera tertentu, sistem mencatat parameter bendera tersebut dalam Settings. Anda dapat mengeksekusi pernyataan DESC untuk melihat parameter bendera.

   -- Hapus semua kebijakan yang dikonfigurasikan untuk tabel.
   DROP ALL row access policy ON policy_test;
   
   -- Konfigurasikan kebijakan dalam edisi tipe data yang kompatibel dengan Hive. Fungsi SUBSTR digunakan dalam filter_expr.
   SET odps.sql.hive.compatible=true;
   CREATE row access policy policy04 ON policy_test TO default filter using(substr(b, 0)='1');
   
   -- Lihat detail kebijakan pada tabel policy_test.
   DESC row access policy policy04 on policy_test;

   Hasil berikut dikembalikan. Nilai parameter odps.sql.hive.compatible dicatat dalam Settings.

   Authorization Type: Row Access Policy
   Name: policy04
   Objects: acs:odps:*:projects/sql_optimizer/tables/policy_test
   FilterExpr: substr(b, 0) = '1'
   NormalizedFilterExpr: ::substr(policy_test.b, 0) = '1'
   Restrictive: false
   Settings: odps.sql.hive.compatible=true

3. Saat kebijakan diterapkan, sistem menentukan apakah Settings lingkungan saat ini konsisten dengan Settings yang dikonfigurasikan saat kebijakan dibuat. Jika tidak konsisten, kesalahan dilaporkan.

   • Dalam edisi tipe data yang kompatibel dengan Hive, kebijakan diterapkan.

     SET odps.sql.hive.compatible=true;
     SELECT * FROM policy_test;

     Hasil yang dikembalikan:

     +------------+---+
     | a          | b |
     +------------+---+
     | 1          | 1 |
     +------------+---+

   • Dalam edisi selain edisi tipe data yang kompatibel dengan Hive, kueri gagal karena nilai parameter odps.sql.hive.compatible berbeda dari nilai yang ditentukan saat kebijakan dibuat.

     SET odps.sql.hive.compatible=false;
     SELECT * FROM policy_test;

     Hasil yang dikembalikan:

     FAILED: ODPS-0130071:[0,0] Semantic analysis exception - physical plan generation failed: java.lang.IllegalArgumentException: Row access policy flag mismatch for: odps.sql.hive.compatible, flag value when grant this policy is true, while at runtime is false. please set odps.sql.hive.compatible = true or contact your project manager.

Perilaku unduhan Tunnel

Untuk tabel yang telah dikonfigurasi dengan kebijakan akses tingkat baris, Anda harus mematuhi kebijakan akses tingkat baris saat menggunakan perintah Tunnel untuk mengunduh data tabel. Namun, MaxCompute Tunnel tidak memiliki kemampuan komputasi untuk menjalankan logika penyaringan kontrol akses tingkat baris. Sistem memulai tugas SQL untuk menyaring data berdasarkan aturan dan kemudian mengunduh hasil komputasi tugas tersebut.

Oleh karena itu, saat Anda menggunakan perintah Tunnel atau SDK Tunnel untuk mengunduh data dari tabel MaxCompute yang telah dikonfigurasi dengan kebijakan akses tingkat baris, diperlukan waktu untuk menunggu tugas SQL berjalan.

Pelarangan pembuatan kebijakan akses tingkat baris

Jika administrator proyek ingin melarang pembuatan kebijakan akses tingkat baris baru dalam proyek, administrator proyek dapat menjalankan perintah berikut untuk memodifikasi properti proyek:

setproject odps.sql.create.row.policy.disable=true;

Nilai valid:

• false: Anda diizinkan untuk membuat kebijakan akses tingkat baris. Ini adalah nilai default.

• true: Anda tidak diizinkan untuk membuat kebijakan akses tingkat baris. Anda diizinkan untuk memodifikasi atau menghapus kebijakan yang ada.