:ユーザー、ロール、および権限の概要

ロール

権限

承認者

説明

[テナント管理者]

DataWorks コンソール での操作を実行する権限を除く、すべての DataWorks サービスに対する権限

テナント所有者 (Alibaba Cloud アカウント)、AliyunDataWorksFullAccess ポリシーがアタッチされている RAM ユーザー、AdministratorAccess 権限を持つユーザー、[テナント管理者] ロールが割り当てられている RAM ユーザー。[テナント管理者] ロールが割り当てられている RAM ユーザーは、他の RAM ユーザーにテナント管理者ロールを割り当てることができます。

このロールは DataWorks で完全な権限を持ち、すべての DataWorks サービスで操作を実行できます。

[テナントメンバー]

開発ロールと同じ権限：

• Data Security Guard に対する読み取り専用権限

• すべての監査権限を除く、Security Center に対する通常の権限

• データディレクトリ管理者ロールとメタデータ収集管理者ロールの権限を除く、データマップに対する通常の権限

• DataAnalysis に対する通常の権限

• リクエスト処理ポリシーを管理する権限を除く、承認センターに対する通常の権限

承認は不要です。Alibaba Cloud アカウントに属するすべての RAM ユーザーに [テナントメンバー] ロールが自動的に割り当てられます。

Alibaba Cloud アカウントに属するすべての RAM ユーザーと RAM ロールに [テナントメンバー] ロールが自動的に割り当てられます。

[テナントセキュリティ管理者]

Security Center、承認センター、および Data Security Guard に対するすべての権限

[テナント管理者] は、RAM ユーザーに [テナントセキュリティ管理者] ロールを割り当てることができます。

このロールは、ワークスペースのセキュリティ構成を管理するために使用されます。

[データガバナンス管理者]

サービスをアクティブ化したり、チェック項目を作成、有効化、無効化したりする権限を除く、[データガバナンスセンター] に対する通常の権限と管理権限

[テナント管理者] は、ユーザーに [データガバナンス管理者] ロールを割り当てることができます。

このロールは、データガバナンスセンターを管理するために使用されます。

[データディレクトリ管理者]

[データマップ] に対する通常の権限、および [データマップ] 内の [データディレクトリ] を管理する権限

[テナント管理者] は、ユーザーに [データディレクトリ管理者] ロールを割り当てることができます。

このロールは、データマップ内のデータディレクトリを管理するために使用されます。

[メタデータ収集管理者]

[データマップ] に対する通常の権限と [メタデータ収集] 権限

[テナント管理者] は、ユーザーに [メタデータ収集管理者] ロールを割り当てることができます。

このロールは、データマップ内のメタデータ収集を管理するために使用されます。

オブジェクト

組み込みロール

カスタムロール

DataWorks サービス

DataWorks は、ワークスペースレベルの各組み込みロールのワークスペースレベルのサービスに対する権限を事前に定義しています。詳細については、「組み込みのワークスペースレベルロールの権限」をご参照ください。

カスタムのワークスペースレベルロールを作成する場合は、ワークスペースレベルのサービスに対するロールの権限を指定する必要があります。

MaxComputeコンピューティングエンジン

• 開発環境のMaxComputeコンピューティングエンジン:

  デフォルトでは、組み込みのワークスペースレベルロールには、開発環境のMaxComputeコンピューティングエンジンに対する特定の権限があります。組み込みのワークスペースレベルロールが割り当てられているユーザーは、開発環境のMaxComputeテーブルにアクセスできます。

  開発環境のMaxComputeコンピューティングエンジンに対する各組み込みワークスペースレベルロールの権限の詳細については、このトピックの付録: DataWorks組み込みワークスペースレベルロールとMaxComputeロール間のマッピングセクションをご参照ください。

• 本番環境のMaxComputeコンピューティングエンジン:

  組み込みのワークスペースレベルロールには、本番環境のMaxComputeコンピューティングエンジンに対する権限がありません。本番環境のMaxComputeテーブルにアクセスするには、ユーザーはSecurity Centerで権限を申請する必要があります。詳細については、「MaxComputeの権限の管理」をご参照ください。

カスタムワークスペースレベルロールを作成するときに、カスタムワークスペースレベルロールをMaxComputeロールにマッピングすると、カスタムワークスペースレベルロールには、マッピングされたMaxComputeロールの権限が付与されます。

DataWorks サービス

EMR クラスターを DataWorks ワークスペースに登録すると、ワークスペースメンバーと EMR クラスターの Lightweight Directory Access Protocol (LDAP) アカウント間のマッピングを設定して、ワークスペースメンバーが関連する EMR コンピューティングエンジンでマッピングされた LDAP アカウントの権限を持つようにすることができます。詳細については、「EMR クラスターを DataWorks に登録する」をご参照ください。

Cloudera's Distribution including Apache Hadoop (CDH) コンピュートエンジン

CDHクラスターをDataWorksワークスペースに登録すると、ワークスペースメンバーとCDHクラスターのLinuxアカウントまたはKerberosアカウント間のマッピングを設定して、ワークスペースメンバーが関連するCDHコンピューティングエンジンでマッピングされたLinuxアカウントまたはKerberosアカウントの権限を持つようにすることができます。詳細については、「ワークスペースの作成と管理」をご参照ください。

MaxCompute 計算エンジン

DataWorks で計算エンジンを使用するには、関連するデータソースを追加する必要があります。標準モードの DataWorks ワークスペースにデータソースを追加する場合は、開発環境と本番環境で関連する計算エンジンのスケジューリングアクセス ID を指定する必要があります。たとえば、AnalyticDB for PostgreSQL データベースにアクセスする場合、DataWorks ワークスペースに AnalyticDB for PostgreSQL データソースを追加するときに、AnalyticDB for PostgreSQL データベースへのアクセスに使用するユーザー名とパスワードを指定する必要があります。

組み込みまたはカスタムのワークスペースレベルのロールが割り当てられているユーザーは、関連するコンピューティングエンジンでタスクを実行するために、データソースを追加するときに指定したスケジューリングアクセス ID を使用します。MaxCompute コンピューティングエンジン以外のコンピューティングエンジンに対する権限は、ワークスペースレベルのロールに直接付与されません。権限は、データソースを追加するときに指定したスケジューリングアクセス ID に基づいて決定されます。

DataWorks ワークスペースメンバーロール

MaxCompute ロール

DataWorks 開発環境および関連 MaxCompute プロジェクトのデータに対する権限

DataWorks 本番環境および関連 MaxCompute プロジェクトのデータに対する権限

DataWorks における権限の説明

ワークスペース管理者

Role_Project_Admin

• MaxCompute: このロールは、プロジェクト、およびプロジェクト内のテーブル、関数、リソース、インスタンス、ジョブに対するすべての権限と、プロジェクト内の Read パッケージ に対する読み取り権限、および テーブル、関数、リソース、インスタンス の作成権限を含む管理権限を持ちます。

• DataWorks: このロールは、データ開発操作を実行し、タスクを本番環境にデプロイする権限を持ちます。

デフォルトでは権限がありません。必要な権限は [セキュリティセンター] で申請する必要があります。

ワークスペース管理者ロールを持つユーザーは、ワークスペースの管理者です。管理者は、ワークスペースの基本プロパティ、データソース、計算エンジンの構成、メンバーを管理する権限を持ち、ワークスペースメンバーにワークスペース管理者、開発、運用管理、デプロイ、または閲覧者のロールを割り当てることができます。

開発

Role_Project_Dev

• MaxCompute: このロールは、プロジェクト、およびプロジェクト内のテーブル、関数、リソース、インスタンス、ジョブ に対するすべての権限と、プロジェクト内の Read パッケージ に対する読み取り権限を持ちます。

• DataWorks: このロールは、データ開発操作を実行する権限を持ちますが、タスクを本番環境にデプロイする権限は持ちません。

開発ロールを持つユーザーは、ワークフロー、スクリプトファイル、リソース、ユーザー定義関数 (UDF)、テーブル、デプロイタスクの作成、およびテーブルの削除を行う権限を持ちますが、デプロイ操作を実行する権限は持ちません。

運用管理

Role_Project_Pe

このロールは、プロジェクト、およびプロジェクト内の関数、リソース、インスタンス、ジョブ に対するすべての権限と、プロジェクト内のパッケージに対する読み取り権限、およびプロジェクト内のテーブルに対する読み取り権限と記述権限を持ちます。

運用管理ロールを持つユーザーは、ワークスペース管理者ロールによって付与されたデプロイ権限とオンライン運用管理権限を持ちますが、データ開発操作を実行する権限は持ちません。

デプロイ

Role_Project_Deploy

デフォルトでは権限がありません。

デプロイロールを持つユーザーは、オンライン運用管理権限を除き、運用管理ロールと同様の権限を持ちます。

データアナリスト

Role_Project_Data_Analyst

デフォルトでは権限がありません。

デフォルトでは、データアナリストロールを持つユーザーは、DataAnalysis に対する権限のみを持ちます。

閲覧者

Role_Project_Guest

デフォルトでは権限がありません。

閲覧者ロールを持つユーザーは、データを表示する権限を持ちますが、ワークフローやコードを変更する権限は持ちません。

セキュリティ管理者

Role_Project_Security

デフォルトでは権限がありません。

セキュリティ管理者ロールを持つユーザーは、Data Security Guard でのみ使用でき、Data Security Guard で機密データ識別ルールを構成し、データリスクを監査する権限を持ちます。

モデル設計者

Role_Project_Erd

デフォルトでは権限がありません。

モデル設計者ロールを持つユーザーは、データウェアハウス計画、データ標準、ディメンションモデリング、およびデータメトリックでモデルを表示し、パラメーター構成を変更する権限を持ちますが、モデルを公開する権限は持ちません。

N/A

Project Owner

この ID はプロジェクトの所有者であり、プロジェクトに対するすべての権限を持ちます。

このロールは、本番環境でも開発環境と同じ権限を持ちます。

N/A

N/A

Super_Administrator

このロールはプロジェクトのスーパー管理者であり、プロジェクトの管理権限と、プロジェクト内のすべてのリソースタイプに対するすべての権限を持ちます。

このロールは、本番環境でも開発環境と同じ権限を持ちます。

N/A

N/A

Admin

プロジェクトを作成すると、システムはこのプロジェクトの Admin ロールを作成し、プロジェクト内のすべてのオブジェクトにアクセスし、ユーザーまたはロールを管理し、ユーザーまたはロールに権限を付与する権限を付与します。 Project Owner ロールとは異なり、Admin ロールには、ユーザーに Admin ロールを割り当て、プロジェクトのセキュリティポリシーを構成し、プロジェクトの認証モデルを変更し、Admin ロールの権限を変更する権限はありません。 Project Owner ロールは、Admin ロールをユーザーに割り当て、セキュリティ構成を管理する権限をユーザーに付与できます。

このロールは、本番環境でも開発環境と同じ権限を持ちます。

N/A