AnalyticDB:Spark RAM ユーザーのきめ細かなアクセス制御

ポリシー A: AnalyticDB 管理権限

ポリシー A は、RAM ユーザーに AnalyticDB Spark アプリケーションを管理し、RAM ロールを Spark エンジンに渡す権限を付与します。

1. [権限] > [ポリシー] に移動し、[ポリシーの作成] をクリックします。

2. [JSON] を選択し、次のコンテンツを貼り付けます。

3. ${AliyunAccount} をご利用の Alibaba Cloud アカウント ID に置き換えます。

4. ポリシー名を adb-spark-ramuser-test-adbpolicy とします。

ram:PassRole 操作は、RAM ユーザーがどのロールを Spark エンジンに渡すことができるかを制御します。Resource の値を、adb-spark-ramrole-test の ARN に置き換えます。ARN を見つけるには、[アイデンティティ] > [ロール] に移動してロール名をクリックし、基本情報セクションから ARN をコピーします。ARN を保存します。この ARN はジョブを送信するときに必要になります。

{
  "Version": "1",
  "Statement": [
    {
      "Action": [
        "adb:Get*",
        "adb:List*",
        "adb:Kill*",
        "adb:Cancel*",
        "adb:Submit*",
        "adb:Allocate*",
        "adb:Describe*",
        "adb:Lock*",
        "adb:Copy*",
        "adb:Query*",
        "adb:Show*",
        "adb:Test*",
        "adb:Export*",
        "adb:Execute*",
        "adb:*Project",
        "adb:*Directory",
        "adb:*ProcessDefinition",
        "adb:*ProcessDefinitions",
        "adb:*ProcessDefinitionAttribute",
        "adb:*ProcessInstance",
        "adb:*ProcessInstances",
        "adb:*ProcessInstanceAttribute",
        "adb:*ProcessInstanceTasks",
        "adb:*TaskDefinition",
        "adb:*TaskDefinitions",
        "adb:*TaskDefinitionCode",
        "adb:*TaskDefinitionAttribute",
        "adb:*TaskInstance",
        "adb:*TaskInstances",
        "adb:*Notebook",
        "adb:*Notebooks",
        "adb:*NotebookKernel",
        "adb:*NotebookAttribute",
        "adb:*NotebookConfiguration",
        "adb:*NotebookParagraph",
        "adb:*NotebookParagraphs",
        "adb:*JupyterInstance",
        "adb:*JupyterInstances",
        "adb:*JupyterSpecifications",
        "adb:*JupyterInstanceAttribute",
        "adb:*Schedule",
        "adb:BindAccount",
        "adb:UnbindAccount",
        "adb:Authentication",
        "adb:Check*",
        "adb:Load*",
        "adb:Stat*",
        "adb:*SparkTemplate*",
        "adb:Download*"
      ],
      "Resource": "*",
      "Effect": "Allow"
    },
    {
      "Action": "ram:ListUserBasicInfos",
      "Effect": "Allow",
      "Resource": "*"
    },
    {
      "Action": "ram:PassRole",
      "Resource": "acs:ram::${AliyunAccount}:role/adb-spark-ramrole-test",
      "Effect": "Allow"
    }
  ]
}

ポリシー B: データアクセス権限

ポリシー B は、Spark エンジンがランタイム時にアクセスできる OSS バケットを制御し、特定の IP CIDR ブロックに制限します。

1. プレースホルダーの値を実際の値に置き換えます。

   プレースホルダー	説明	例
   ${bucket-1}, ${bucket-2}	OSS バケット名	my-spark-data
   ${AliyunAccount}	Alibaba Cloud アカウント ID	123456789012
   ${IPv4 CIDR Block1}, ${IPv4 CIDR Block2}	許可されたソース IP CIDR ブロック	192.168.1.0/24

2. ポリシー名を adb-spark-ramuser-test-datapolicy とします。

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "oss:*",
      "Resource": [
        "acs:oss:oss-*:${AliyunAccount}:${bucket-1}",
        "acs:oss:oss-*:${AliyunAccount}:${bucket-2}",
        "acs:oss:oss-*:${AliyunAccount}:${bucket-1}/*",
        "acs:oss:oss-*:${AliyunAccount}:${bucket-2}/*"
      ],
      "Condition": {
        "IpAddress": {
          "acs:SourceIp": [
            "${IPv4 CIDR Block1}",
            "${IPv4 CIDR Block2}"
          ]
        }
      }
    }
  ]
}

ポリシーの付与

1. ポリシー A を RAM ユーザーにアタッチします。

   1. [ID] > [ユーザー] に移動し、adb-spark-ramuser-test を見つけて、その名前をクリックします。

   2. [権限] > [権限付与] をクリックし、adb-spark-ramuser-test-adbpolicy を追加します。

2. ポリシー B を RAM ロールにアタッチします。

   1. [ID] > [ロール] に移動し、adb-spark-ramrole-test を見つけて、その名前をクリックします。

   2. [権限] ＞ [権限の付与] をクリックし、adb-spark-ramuser-test-datapolicy を追加します。