異なるモードのワークスペースに関連付けられた MaxCompute コンピュートエンジンでのデータアクセス動作と必要なアクセス権限 - DataWorks

DataWorksは、ベーシックモードとスタンダードモードのワークスペースを提供しています。このトピックでは、異なるモードのワークスペースに関連付けられたMaxComputeコンピューティングエンジンにおけるデータの許可管理の特性について説明します。また、開発環境と本番環境におけるMaxComputeコンピューティングエンジンのデータアクセス動作の違いについても説明します。

前提条件

ベーシックモードのワークスペースとスタンダードモードのワークスペースの違いについて理解していること。
MaxComputeのアクセス許可管理の詳細について理解していること。

使用上の注意

項目	説明	参照
異なるモードのワークスペースに関連付けられたMaxComputeコンピューティングエンジンのアクセス許可管理の特性	異なるモードのワークスペースにMaxComputeコンピューティングエンジンを関連付けると、MaxComputeコンピューティングエンジンが使用される環境はワークスペースモードによって異なります。したがって、異なるモードのワークスペースにおけるデータアクセス動作、必要なアクセス許可、およびデータセキュリティレベルは異なります。	異なるモードのワークスペースに関連付けられたMaxComputeコンピューティングエンジンのアクセス許可管理の違い
異なるモードのワークスペースに関連付けられたMaxComputeコンピューティングエンジンのデータアクセス動作	異なるモードのワークスペースは、異なる数のMaxComputeコンピューティングエンジンを持ち、異なる環境を提供します。したがって、デフォルトで異なる環境でアクセスされるリソースと、リソースへのアクセスに使用できる方法は異なります。	異なるモードのワークスペースに関連付けられたMaxComputeコンピューティングエンジンのデータアクセス動作の違い
異なるモードのワークスペースに関連付けられたMaxComputeコンピューティングエンジンにおけるテーブルの命名形式	異なるモードのワークスペースに関連付けられたMaxComputeコンピューティングエンジンにおけるテーブルの命名形式は、本番環境での誤操作を防ぐために区別する必要があります。	ベーシックモードとスタンダードモードのワークスペースに関連付けられたMaxComputeプロジェクトにおけるテーブルの命名形式

異なるモードのワークスペースに関連付けられたMaxComputeコンピューティングエンジンのアクセス許可管理の違い

異なるワークスペースモードでは、MaxComputeコンピューティングエンジンが使用される環境が異なります。異なるモードのワークスペースに関連付けられたMaxComputeコンピューティングエンジンは、アクセス許可管理の特性が異なり、異なるモードのワークスペースは、異なるメリットとリスクがあります。次の表に詳細を示します。

項目	ベーシックモード	スタンダードモード
権限	ベーシックモードのワークスペースでは、ワークスペースの開発ロールは、関連付けられたMaxComputeコンピューティングエンジンのRole_Project_Devロールにマッピングされます。ワークスペースの開発ロールを使用して、MaxComputeコンピューティングエンジン内のすべてのデータを読み取ることができます。ベーシックモードのワークスペースは本番環境のみを提供します。したがって、ワークスペースの開発ロールがMaxComputeコンピューティングエンジンのRole_Project_Devロールにマッピングされると、開発ロールには本番環境のMaxComputeコンピューティングエンジン内のデータに対する管理権限が付与されます。	スタンダードモードのワークスペースでは、DataWorksワークスペースの開発ロールは、開発環境の関連付けられたMaxComputeコンピューティングエンジンのRole_Project_Devロールにマッピングされます。ワークスペースの開発ロールを使用して、開発環境のMaxComputeコンピューティングエンジン内のすべてのデータを読み取ることができます。ワークスペースの開発ロールは、本番環境の関連付けられたMaxComputeコンピューティングエンジンのロールにはマッピングされません。したがって、DataWorksワークスペースの開発ロールを使用して、本番環境のMaxComputeコンピューティングエンジン内のデータにアクセスすることはできません。
メリット	ベーシックモードのワークスペースはシンプルで使いやすいです。開発エンジニアに開発ロールを割り当てるだけで、すべてのデータウェアハウス開発操作を完了できます。	スタンダードモードのワークスペースは安全で標準化されています。スタンダードモードのワークスペースは、コードレビューやdiffコマンドを使用したコードチェックなどの機能を含む、ノードをデプロイおよび管理するための安全で標準化されたプロセスを提供します。これにより、本番環境の安定性が確保され、不正なデータの拡散や論理的でないコードによって引き起こされるノードエラーなどの予期しない結果を防ぎます。データ関連のアクティビティが効果的に管理され、データセキュリティが確保されます。
リスク	ベーシックモードのワークスペースは、安定性とセキュリティにリスクをもたらします。ベーシックモードのワークスペースの開発ロールは、承認を得ることなく、ノードを作成、変更、またはスケジューリングシステムにコミットするために使用できます。これにより、本番環境が不安定になります。 MaxComputeコンピューティングエンジンがベーシックモードのワークスペースに関連付けられている場合、ワークスペースの開発ロールには、MaxComputeコンピューティングエンジンのすべてのテーブルに対する読み取りおよび書き込み権限が自動的に付与され、テーブルの作成、削除、または変更に使用できます。これにより、データセキュリティにリスクが生じます。	データの開発と本番プロセスは複雑です。ほとんどの場合、プロセスには複数の開発者が関与します。

異なるモードのワークスペースに関連付けられたMaxComputeコンピューティングエンジンのデータアクセス動作の違い

MaxComputeでは、プロジェクトを跨いでのリソースアクセスが可能です。開発ロールが割り当てられているユーザーは、DataStudio（開発環境）から本番環境のMaxComputeコンピューティングエンジン内のリソースに直接アクセスできます。異なるモードのワークスペースは、異なる数のMaxComputeコンピューティングエンジンを持ち、異なる環境を提供します。開発環境と本番環境のMaxComputeコンピューティングエンジンにおけるリソースへのアクセス動作は異なります。次の表に違いを示します。

項目	ワークスペースモード	DataStudio	オペレーションセンター
操作の実行に使用できるアカウントまたはロール	スタンダードモード	現在のログオンユーザー	スケジューリングエンジンで操作を実行するように指定されたアカウントまたはロール
操作の実行に使用できるアカウントまたはロール	ベーシックモード	スケジューリングエンジンで操作を実行するように指定されたアカウントまたはロール説明ベーシックモードのワークスペースでは、Alibaba Cloudアカウントがスケジューリングエンジンで操作を実行するように指定されている場合、操作を実行する現在のログオンユーザーであるかどうかに関係なく、Alibaba Cloudアカウントを使用してタスクが実行されます。
リソースが存在する環境	スタンダードモード	projectname_dev.tablename/function/resource	projectname.tablename/function/resource
リソースが存在する環境	ベーシックモード	projectname.tablename/function/resource
リソースへのアクセスに使用されるアカウント	スタンダードモード	ステートメント 1: `select col1 from tablename` 個人アカウントを使用して、開発環境の projectname_dev.tablename テーブルにアクセスします。ステートメント 2: `select col1 from projectname.tablename` 個人アカウントを使用して、本番環境の projectname.tablename テーブルにアクセスします。説明デフォルトでは、スケジューリングエンジンで操作を実行するように指定されていないRAMユーザーは、本番環境のデータにアクセスする権限を持っていません。 RAMユーザーとしてデータにアクセスするには、セキュリティセンターでRAMユーザーの本番環境のテーブルにアクセスするための権限をリクエストする必要があります。	アクセスに使用されるステートメント: `select col1 from tablename` スケジューリングエンジンで操作を実行するように指定されたアカウントまたはロールを使用して、本番環境の projectname.tablename テーブルにアクセスします。
リソースへのアクセスに使用されるアカウント	ベーシックモード	アクセスに使用されるステートメント：select col1 from tablename スケジューリングエンジンで操作を実行するように指定されたアカウントまたはロールを使用して、本番環境の projectname.tablename テーブルにアクセスします。説明ベーシックモードのワークスペースでは、Alibaba Cloudアカウントがスケジューリングエンジンで操作を実行するように指定されている場合、操作を実行する現在のログオンユーザーであるかどうかに関係なく、Alibaba Cloudアカウントを使用してリソースにアクセスします。
リソースにアクセスするために必要な権限	スタンダードモード	個人アカウントに付与された権限	スケジューリングエンジンで操作を実行するように指定されたアカウントまたはロールに付与された権限
リソースにアクセスするために必要な権限	ベーシックモード	スケジューリングエンジンで操作を実行するように指定されたアカウントまたはロールに付与された権限説明 Alibaba Cloudアカウントは、そのリソースに対するすべての権限を持っています。セキュリティ上の理由から、ベーシックモードのワークスペースでは、Alibaba Cloudアカウントをスケジューリングエンジンで操作を実行するように指定しないことをお勧めします。

異なるモードのワークスペースに関連付けられたMaxComputeコンピューティングエンジンにおけるテーブルの命名形式

ベーシックモードのワークスペースは本番環境のみを提供します。したがって、ワークスペースに関連付けられているMaxComputeコンピューティングエンジンは、本番環境でのみ使用されます。スタンダードモードのワークスペースは、開発環境と本番環境を提供します。 2つの環境は互いに隔離されています。この場合、ワークスペースに関連付けられているMaxComputeコンピューティングエンジンにおけるテーブルの命名形式は、2つの環境で異なります。開発環境から本番環境のテーブルにアクセスする場合は、誤操作を防ぐために、本番環境で適切な命名形式を使用する必要があります。次の表に、2つの環境でのテーブルの命名形式を示します。

環境	スタンダードモード	例
開発環境	プロジェクト名_dev.テーブル名	projectAプロジェクトにuser_infoという名前のテーブルを作成する場合、テーブル名はprojectA_dev.user_infoと表示されます。
本番環境	プロジェクト名.テーブル名	projectAプロジェクトにuser_infoという名前のテーブルを作成する場合、テーブル名はprojectA.user_infoと表示されます。