DataWorks セキュリティセンターで Ranger を構成することで、StarRocks、Hive、Lindorm データソースに対する権限の申請と承認が可能になります。構成が完了すると、ユーザーは DataWorks でデータベース/テーブルのアクセス権限をリクエストできます。セキュリティ管理者がリクエストを承認すると、Ranger は対応するポリシーを自動的に生成します。
概要
Ranger を使用すると、セキュリティ管理者は StarRocks、Hive、Lindorm の データベース/テーブル リソースに対するユーザーのアクセス権限をプロアクティブに管理できます。DataWorks セキュリティセンターで Ranger を構成し、サービスを関連付けると、ユーザーは DataWorks で権限リクエストを送信できます。セキュリティ管理者がリクエストを承認すると、Ranger はデータアクセス制御を実施するための対応するポリシーを生成します。
エンドツーエンドの Ranger 権限管理ワークフローは次のとおりです：
-
Ranger 構成の追加：セキュリティセンターで Ranger インスタンスの接続詳細を構成します。
-
サービス関連付けの追加：StarRocks、Hive、または Lindorm サービスを Ranger インスタンスに追加します。
-
認証情報の設定：RAM ユーザー/ロールをデータソースにアクセスできるアカウントにマッピングします。詳細については、「認証情報」をご参照ください。
-
権限の申請：ユーザーは ページで権限リクエストを送信します。セキュリティ管理者がリクエストを承認すると、Ranger は自動的にポリシーを生成します。
説明サービス関連付けを追加した後にのみ、対応するデータソースタイプが ページに表示されます。
注意事項
-
Manage Ranger ページにアクセスして構成を実行するには、Tenant Administratorまたはテナントセキュリティ管理者である必要があります。
-
EMR/Lindorm クラスターと DataWorks リソースグループは、同一の VPC 内に配置する必要があります。
-
EMR/Lindorm クラスターは、DataWorks ワークスペースにアタッチされ、そのリソースグループが初期化されている必要があります。詳細については、「レガシー Data Studio：EMR 計算リソースのバインド」をご参照ください。
-
DataWorks は、この機能に対してサーバーレスリソースグループのみをサポートしています。詳細については、「サーバーレスリソースグループの使用」をご参照ください。
[Ranger の管理] ページへの移動
-
DataWorks コンソールにログインします。 対象リージョンで、左側のナビゲーションウィンドウでをクリックします。 表示されたページで、入力 セキュリティセンター をクリックします。
-
左側のナビゲーションウィンドウで Manage Ranger をクリックして、[Ranger の管理] ページに移動します。
ステップ 1：Ranger 構成の追加
[Ranger の管理] ページで、New をクリックして Ranger 構成を追加します。パラメーターの説明は次の表のとおりです：
|
パラメーター |
Description |
|
Cluster Type |
クラスタータイプを選択します。有効な値：EMR および Lindorm。
|
|
EMR cluster ID / Lindorm Instance ID |
選択したクラスタータイプに基づいてクラスターまたはインスタンスを選択します。
説明 EMR クラスターのリストを取得するには、お使いのアカウントに |
|
Resource Group |
DataWorks が Ranger サービスへのアクセスに使用するリソースグループを指定します。 説明 サーバーレスリソースグループのみがサポートされています。 |
|
RangerAdmin address |
Ranger Admin サービスの URL。DataWorks はこの URL を介して Ranger と通信し、ポリシーを構成します。 説明 RangerAdmin の VPC 内部アクセス URL を使用してください。 |
|
Ranger administrator account |
Ranger Admin サービスの管理者アカウント。 |
|
Ranger administrator password |
Ranger 管理者アカウントのパスワード。 |
|
Availability Validation |
接続性テストボタンをクリックして可用性を検証します。検証に成功した場合にのみ、構成を保存できます。 |
構成が完了したら、Confirm をクリックして Ranger 構成を保存します。
ステップ 2：サービスの追加
Ranger 構成を追加した後、サービスを構成する必要があります。Ranger サービスを関連付けた後にのみ、対応するデータソースタイプが ページで利用可能になります。
-
Manage Ranger ページで、対象の Ranger サービスを見つけ、[アクション] 列の Management Service をクリックして Management Service ページに移動します。
-
Add Association をクリックし、データソースタイプに基づいてサービスを構成します。
StarRocks サービスの追加
このサービスタイプは、Ranger を介して StarRocks インスタンスのデータベース/テーブル権限を管理するために使用します。
パラメーター
Description
Ranger Service Type
StarRocksを選択します。説明StarRocks インスタンスに外部カタログが存在する場合は、まず内部カタログを関連付けてから、外部カタログを関連付けてください。
Ranger Service Name
Ranger で構成されたサービス名を入力します。名前はカスタマイズできます。
The ID of the StarRocks instance.
Ranger サービス名に対応する StarRocks インスタンスを選択します。
説明EMR クラスターのリストを取得するには、お使いのアカウントに
AliyunEMRReadOnlyAccess権限が必要です。Catalog
StarRocks インスタンス内のカタログを選択します。カタログを追加すると、ユーザーはそのカタログ内のデータベース/テーブルの権限をリクエストできるようになります。
Hive サービスの追加
このサービスタイプは、Ranger を介して EMR クラスター内の Hive のデータベース/テーブル権限を管理するために使用します。
パラメーター
Description
Ranger Service Type
Hiveを選択します。Ranger Service Name
Ranger で設定されているサービス名を入力します。名前はカスタマイズできます。デフォルト値は
emr-hiveです。EMR cluster ID
Ranger サービス名に対応する EMR クラスターを選択します。
説明EMR クラスターのリストを取得するには、アカウントに
AliyunEMRReadOnlyAccess権限が必要です。Lindorm サービスの追加
このサービスタイプは、Ranger を介して Lindorm ワイドテーブルエンジンのテーブルレベルの権限を管理するために使用します。
パラメーター
Description
Ranger Service Type
Lindormを選択します。Ranger Service Name
Ranger で構成されたサービス名を入力します。名前はカスタマイズできます。
Lindorm Instance
Ranger サービス名に対応する Lindorm インスタンスを選択します。
説明Lindorm インスタンスのリストを取得するには、お使いのアカウントに
AliyunLindormReadOnlyAccess権限が必要です。 -
構成が完了したら、Confirm をクリックしてサービス構成を保存します。
次のステップ
Ranger とサービスの構成が完了したら、RAM ユーザー/ロールの認証情報を構成して、クラウドアカウントをデータソースアクセスアカウントにマッピングする必要があります。詳細については、「認証情報」をご参照ください。