AnalyticDB:アカウントの権限付与

前提条件

RAM ユーザーが作成されていること。

操作手順

{
 "comments": [
 "-- これは LakeCache を使用する一例です。内容を適宜変更して Spark プログラムを実行してください。"
 ],
 "args": ["oss://testBucketName/data/readme.txt"],
 "name": "spark-oss-test",
 "file": "oss://testBucketName/data/example.py",
 "conf": {
 "spark.adb.lakecache.enabled": "true",
 "spark.adb.roleArn": "acs:ram::testAccountID:role/adbtest"
 }
}

ステップ 1：アカウント B の RAM ロールを作成し、権限を付与

1. RAM ロールを作成し、アカウント A がこの RAM ロールを引き受けることを許可します。

   説明

   既に RAM ロールを作成し、アカウント A がその RAM ロールを引き受けることを許可している場合は、この手順をスキップして次の手順に進むことができます。

   1. Alibaba Cloud アカウント B (プライマリアカウント) または RAM 管理者を使用して、 RAM コンソールにログインします。

   2. 左側メニューで、[Identity Management] > [Roles] を選択します。

   3. [Roles] ページで、[Create Role] をクリックします。

   4. [Create Role] ページで、[Trusted Entity Type] として [Alibaba Cloud Account] を選択し、Alibaba Cloud アカウントを指定して、[OK] をクリックします。

   5. ロール情報を設定します。

      1. [Role Name] を入力します。この例では、ロール名を admin-oss に設定します。

      2. 任意：[Description] を入力します。

      3. [Trusted Alibaba Cloud Account] を [Other Alibaba Cloud Account] に設定し、アカウント A の UID (testAccountIDA) を入力します。

   6. [Complete] をクリックします。

RAM ロールにポリシーを使用して権限を付与します。

1. 信頼ポリシーを変更して、アカウント A 配下の任意の RAM ユーザーがこの RAM ロールを引き受けることを許可します。

   1. 左側メニューで、[Identity Management] > [Roles] を選択します。

   2. [Roles] ページで、対象の RAM ロールの名前をクリックします。

   3. [Trust Policy] タブで、[Edit Trust Policy] をクリックします。

   4. エディターで信頼ポリシーの内容を変更し、[OK] をクリックします。

      {
       "Statement": [
       {
       "Action": "sts:AssumeRole",
       "Effect": "Allow",
       "Principal": {
       "RAM": [
       "acs:ram::testAccountIDA:root"
       ]
       }
       },
       {
       "Action": "sts:AssumeRole",
       "Effect": "Allow",
       "Principal": {
       "Service": [
       "testAccountIDA@ads.aliyuncs.com"
       ]
       }
       }
       ],
       "Version": "1"
      }

ステップ 2：アカウント A で RAM ユーザーを作成し、RAM ロールを引き受ける権限を付与

1. RAM ユーザーを作成します。

   1. Alibaba Cloud アカウント A (プライマリアカウント) または RAM 管理者を使用して、 RAM コンソールにログインします。

   2. 左側メニューで、[Identity Management] > [Users] を選択します。

   3. [Users] ページで、[Create User] をクリックします。

   4. [Create User] ページの [User Account Information] セクションで、基本的なユーザー情報を設定します。

      • [Logon Name] (必須)：英字、数字、ピリオド (.)、ハイフン (-)、アンダースコア (_) を使用できます。最大長：64 文字。

      • [Display Name] (任意)：最大長：128 文字。

      • [Tag] (任意)： をクリックし、タグによるユーザー管理のためにタグキーとタグ値を入力します。

      説明

      [Add User] をクリックすると、一度に複数の RAM ユーザーを作成できます。

   5. [Access Method] セクションで [Console Access] を選択し、必要に応じてコンソールのログオンパスワード、パスワードリセットポリシー、MFA ポリシーを設定します。詳細については、「コンソールアクセス」をご参照ください。

   6. [OK] をクリックします。

2. ポリシーを作成し、RAM ユーザーが任意のロールを引き受けることを許可します。

   1. 左側メニューで、[Permission Management] > [Policies] を選択します。

   2. [Policies] ページで、[Create Policy] をクリックします。

   3. [Create Policy] ページで、[Script Editor] タブをクリックします。

   4. ポリシーの内容を入力し、[OK] をクリックします。

      {
       "Version": "1",
       "Statement": [
       {
       "Action": "ram:PassRole",
       "Resource": "*",
       "Effect": "Allow"
       }
       ]
      }

   5. [Create Policy] ダイアログボックスで、[Policy Name] と [Description] を入力し、[OK] をクリックします。

3. RAM ユーザーに権限を付与します。

   1. 左側のナビゲーションペインで、[ID 管理] > [ユーザー] を選択します。

   2. [Users] ページで、対象の RAM ユーザーの [Actions] 列にある [Add Permissions] をクリックします。

   3. [Add Permissions] パネルで、前の手順で作成したポリシーを RAM ユーザーに追加します。

   4. [Confirm] をクリックします。

   5. [Close] をクリックします。