AnalyticDB:アカウントの権限付与

前提条件

RAM ユーザーが作成されていること。

手順

{
  "comments": [
    "-- これは LakeCache の使用例です。内容を修正して Spark プログラムを実行してください。"
  ],
  "args": ["oss://testBucketName/data/readme.txt"],
  "name": "spark-oss-test",
  "file": "oss://testBucketName/data/example.py",
  "conf": {
    "spark.adb.lakecache.enabled": "true";
    "spark.adb.roleArn": "acs:ram::testAccountID:role/adbtest";
  }
}

ステップ 1: アカウント B の RAM ロールを作成して権限を付与する

1. RAM ロールを作成し、アカウント A がこのロールを偽装できるようにします。

   説明

   すでに RAM ロールを作成し、アカウント A がそれを偽装できるようにしている場合は、このステップをスキップできます。

   1. Alibaba Cloud アカウント B またはアカウント B の RAM 管理者を使用して RAM コンソールにログインします。

   2. 左側のナビゲーションウィンドウで、[ID 管理] > [ロール] を選択します。

   3. [ロール] ページで、[ロールの作成] をクリックします。

   4. [ロールの作成] ページで、[信頼できるエンティティタイプ] を [Alibaba Cloud アカウント] に設定し、アカウントを指定して [OK] をクリックします。

   5. ロール情報を設定します。

      1. [ロール名] (例: admin-oss) を入力します。

      2. オプション: [メモ] を入力できます。

      3. 他の Alibaba Cloud アカウント で 他の Alibaba Cloud アカウント を選択し、Alibaba Cloud アカウント A の UID (testAccountIDA) を入力します。

   6. [完了] をクリックします。

2. RAM ロールに権限を付与します。

   1. [正確な権限付与] をクリックします。

   2. [正確な権限付与] パネルで、ポリシータイプを [システムポリシー] または [カスタムポリシー] に設定し、ポリシー名を入力します。

      OSS へのアクセス

      • AliyunOSSReadOnlyAccess: OSS に対する読み取り専用権限を付与します。

      • AliyunOSSFullAccess: OSS に対する完全制御を付与します。OSS 外部テーブルに対して INSERT などのデータ更新操作を実行するには、この権限を RAM ロールに付与する必要があります。

      特定の VPC 内のリソースへのアクセス

      特定の VPC 内のリソースにアクセスするには、カスタムポリシーを作成する必要があります。ポリシーの `Resource` パラメーターで、リソースが属するセキュリティグループと vSwitch を指定します。詳細については、「カスタム権限ポリシーの作成」をご参照ください。

      この例では、特定の VPC 内の ApsaraDB RDS for MySQL インスタンスにのみアクセスする権限を付与します。カスタムポリシーの名前は eni_policy です。次のコードはポリシーのドキュメントを示しています。

      説明

      ApsaraDB RDS for MySQL インスタンスにセキュリティグループを追加する必要があります。セキュリティグループのインバウンドルールとアウトバウンドルールでは、ApsaraDB RDS for MySQL インスタンスのポートでのアクセスを許可する必要があります。

      {
          "Version": "1",
          "Statement": [
              {
                  "Effect": "Allow",
                  "Action": "ecs:*",
                  "Resource": "acs:ecs:*:*:securitygroup/<The ID of the security group to which the RDS instance belongs>"
              },
              {
                  "Effect": "Allow",
                  "Action": "vpc:*",
                  "Resource": "acs:vpc:*:*:vswitch/<The ID of the vSwitch to which the RDS instance belongs>"
              }
          ]
      }

   3. [OK] をクリックします。

   4. [閉じる] をクリックします。

3. アカウント A の任意の RAM ユーザーがこの RAM ロールを偽装できるように、信頼ポリシーを変更します。

   1. 左側のナビゲーションウィンドウで、[ID 管理] > [ロール] を選択します。

   2. [ロール] ページで、ターゲット RAM ロールの名前をクリックします。

   3. [信頼ポリシー] タブで、[信頼ポリシーの編集] をクリックします。

   4. エディターで信頼ポリシーのドキュメントを修正し、[OK] をクリックします。

      {
        "Statement": [
          {
            "Action": "sts:AssumeRole",
            "Effect": "Allow",
            "Principal": {
              "RAM": [
                "acs:ram::testAccountIDA:root"
              ]
            }
          },
          {
            "Action": "sts:AssumeRole",
            "Effect": "Allow",
            "Principal": {
              "Service": [
                "testAccountIDA@ads.aliyuncs.com"
              ]
            }
          }
        ],
        "Version": "1"
      }

ステップ 2: アカウント A の RAM ユーザーを作成し、RAM ロールを偽装する権限を付与する

1. RAM ユーザーを作成します。

   1. Alibaba Cloud アカウント A またはアカウント A の RAM 管理者を使用して RAM コンソールにログインします。

   2. 左側のナビゲーションウィンドウで、[ID] > [ユーザー] を選択します。

   3. [ユーザー] ページで、[ユーザーの作成] をクリックします。

      

   4. [ユーザーの作成] ページで、[ユーザーアカウント情報] セクションのユーザー情報を設定します。

      • [ログイン名]: ログイン名には、文字、数字、ピリオド (.)、ハイフン (-)、アンダースコア (_) を使用できます。長さは 64 文字までです。

      • [表示名]: 表示名は 128 文字までです。

      • [タグ]: アイコンをクリックし、タグキーとタグ値を入力します。タグは、RAM ユーザーの分類と管理に役立ちます。

      説明

      [ユーザーの追加] をクリックすると、複数の RAM ユーザーを同時に作成できます。

   5. [アクセスモード] セクションで、パスワードによるコンソールログイン を選択します。その後、必要に応じてログインパスワード、パスワードリセットポリシー、多要素認証 (MFA) ポリシーを設定できます。詳細については、「コンソールアクセス」をご参照ください。

   6. [OK] をクリックします。

2. RAM ユーザーが任意のロールを偽装できる権限ポリシーを作成します。

   1. 左側のナビゲーションウィンドウで、[権限管理] > [ポリシー] を選択します。

   2. [ポリシー] ページで、[ポリシーの作成] をクリックします。

   3. [ポリシーの作成] ページで、[スクリプトエディター] タブをクリックします。

   4. ポリシーのドキュメントを入力し、[OK] をクリックします。

      {
          "Version": "1",
          "Statement": [
              {
                  "Action": "ram:PassRole",
                  "Resource": "*",
                  "Effect": "Allow"
              }
          ]
      }

   5. [ポリシーの作成] ダイアログボックスで、[ポリシー名] と [メモ] を入力し、[OK] をクリックします。

3. RAM ユーザーに権限を付与します。

   1. 左側のナビゲーションウィンドウで、[ID 管理] > [ユーザー] を選択します。

   2. [ユーザー] ページでターゲット RAM ユーザーを見つけ、[操作] 列の [権限の追加] をクリックします。

   3. [権限の追加] パネルで、ステップ 2 で作成した権限を RAM ユーザーに付与します。

   4. [OK] をクリックします。

   5. [閉じる] をクリックします。