DataWorks の承認センターは、データ権限付与の管理と機密性の高い操作のコントロールに役立ちます。 承認範囲を定義し、カスタム承認フローを作成することで、企業のコンプライアンス要件を満たすことができます。
機能紹介
DataWorks でデータ開発を管理する際、テーブルデータや DataService API などのリソースに対する権限を簡単にコントロールできます。 権限を管理するには、[承認センター] で承認フローをカスタマイズします。 タスクにコンピュートエンジン承認ポリシーが関連する場合、DataWorks の セキュリティセンター が提供するデータアクセスコントロールのデフォルト承認フローを使用することもできます。
カスタム承認フローを作成すると、DataWorks は権限リクエストがそのカスタムフローを必要とするかどうかを自動的にチェックします。 リクエストが基準に一致する場合、DataWorks はそのリクエストをカスタムフローに従ってルーティングします。
DataWorks の [承認センター] では、以下の操作を実行できます。
承認ポリシーの定義。 承認オブジェクトの範囲を指定し、承認フローを定義して、重要なデータリソースと機密性の高い操作をコントロールできます。 また、ショートメッセージ、メール、または DingTalk で送信される通知を設定することもできます。
承認フローの処理。 承認センターでは、リクエスト申請者と承認者の両方が承認プロセスを管理できます。
カスタム承認ポリシーの管理に関する詳細については、「コンピュートエンジン承認ポリシー」、「DataService Studio 承認ポリシー」、および「拡張プログラム承認ポリシー」をご参照ください。
カスタム承認ポリシーを設定した後、テーブルフィールドの権限をリクエストおよび承認する手順、および DataService Studio での操作に関する手順については、「テーブルフィールドの権限に関するリクエストと処理手順」および「DataService Studio における API、関数、サービスオーケストレーションの権限に関するリクエストと処理手順」で説明されています。
テーブルフィールドの権限リクエストと承認フロー
次の図は、[承認センター] でカスタム承認ポリシーを設定した後に、[セキュリティセンター] でテーブルフィールドの権限をリクエストするための承認フローを示しています。
ユーザーがセキュリティセンターで MaxCompute テーブルフィールドの権限をリクエストすると、DataWorks はリクエストされたフィールドに基づいて適切な承認フローを決定します。
リクエストされたフィールドがカスタム承認ポリシーのデータ範囲内にある場合、リクエストは承認センターでそのポリシーに従って処理されます。
リクエストされたフィールドがどのカスタム承認ポリシーのデータ範囲外にもある場合、リクエストはセキュリティセンターのデフォルト承認フローに従って処理されます。
リクエストが複数のカスタム承認ポリシーにヒットした場合、DataWorks は承認センターで設定されたポリシーの優先度を使用して、適用するポリシーを決定します。
カスタム承認ポリシーを設定する際、プロジェクトまたはデータ分類に基づいてデータ範囲を定義できます。 また、承認者や通知方法などの詳細も指定できます。 さらに、リクエストが複数のポリシーに一致する場合を解決するために、ポリシーの優先度を設定できます。 詳細については、「コンピュートエンジン承認ポリシー」をご参照ください。
DataService Studio の権限リクエストと承認フロー
DataService Studio の承認フローを作成すると、ユーザーがポリシーの対象となるプロジェクトで API、関数、またはサービスオーケストレーションの公開などの管理された操作を実行したときに、そのフローがトリガーされます。
次の図は、申請者が [セキュリティセンター] で権限リクエストを送信した後のフローを示しています。
ユーザーが API、関数、またはサービスオーケストレーションを送信すると、システムはワークスペースにカスタム承認フローが設定されているかどうかをチェックし、カスタム承認プロセスが必要かどうかを判断します。
リクエストがカスタム承認フローにヒットした場合、承認センターで定義されたフローに従って処理されます。
リクエストがカスタム承認フローにヒットしない場合、操作は手動の承認プロセスを必要とせずに自動的に承認されます。
カスタム承認フローがトリガーされると、DataWorks は承認センターで設定された承認ポリシーに従ってリクエストをルーティングします。
カスタム承認ポリシーを設定する際、プロジェクトごとに範囲を定義し、承認者や通知方法などの詳細を指定できます。 詳細については、「DataService Studio 承認ポリシー」をご参照ください。