DataWorks:データアクセス制御

概要

データアクセス制御は、DataWorks セキュリティセンターの機能であり、複数のエンジンにわたる権限申請、承認、監査のための一元化されたクローズドループポータルを提供します。この機能は、申請者、承認者、監査人 の 3 つのロール向けに設計されており、MaxCompute、Hologres、Data Lake Formation (DLF)、Data Lake Formation (DLF) (Legacy)、Hive (EMR)、Lindorm、StarRocks の 7 つのエンジンに対する資産権限制御をサポートしています。

パス： DataWorks コンソール > データガバナンス > セキュリティセンター > データプラットフォームセキュリティ > データアクセス制御

ページ構造

データアクセス制御ページには、次の 6 つのタブが含まれています。一部のタブの表示は、有効化されているエンジンおよび機能によって異なる場合があります。

エンジンの違い

申請粒度、直接付与、権限有効期間、更新、権限監査などの機能は、エンジンによって異なります。次の表で簡単に比較します。UI に表示されるエンジンは、ワークスペースで有効化されているエンジンとバックエンドの権限によって異なります。

更新と撤回の前提条件：更新は承認済みの申請に対してのみ、撤回は承認待ちの申請に対してのみ有効です。エンジン間の違いはバックエンドポリシーによって決定されます。実際の機能は、ページに表示される内容に準じます。

直接付与

[直接付与] は、[権限申請] とは別のタブです。管理者 (通常はワークスペース管理者または付与権限を持つ RAM ユーザー) は、承認プロセスを経ずに、指定された RAM ユーザーまたは RAM ロールに一連のリソース権限を直接付与することができます。付与された権限は即座に有効になります。

• エントリ：データアクセス制御ページで、[直接付与] タブをクリックします。

• 付与対象：RAM ユーザーまたは RAM ロールに対応しています。RAM ロールに権限を付与できるかどうかは、リソースタイプによって異なります。一部のエンジンまたはリソースタイプは RAM ユーザーのみをサポートしています。この場合、RAM ロール オプションはグレー表示され、「このリソースタイプは RAM ユーザーのみをサポートしています」というメッセージが表示されます。たとえば、Hologres エンジンの直接付与機能は RAM ユーザーのみをサポートしています。

• 設定項目：[権限申請] の場合と同じです。まず、申請内容 (データソースタイプ、ワークスペース、MaxCompute プロジェクト、テーブルなど) を選択し、次に付与情報を設定します。

  • 付与対象タイプ：RAM ユーザーまたは RAM ロール

  • 付与対象：選択したタイプに基づいて、特定の RAM ユーザーまたは RAM ロールを選択します。

  • 権限有効期間：[権限申請] の有効期間と同じです。Hologres エンジンの場合、このフィールドは非表示になり、有効期間は永続に設定されます。

  • 付与理由：必須です。

• 送信：[付与の確認] をクリックすると、権限が即座に書き込まれます。送信が成功すると、フォームは自動的にクリアされます。ページはリダイレクトされません。

• 権限申請との違い：直接付与は承認プロセスを経ないため、[自分の申請] に記録は生成されません。[申請アカウントタイプ] オプションは表示されません。

• 操作の帰属：監査およびバックエンド ログの関連する付与記録は、現在ログインしているアカウントに帰属します。適切なアカウントを使用して付与操作を実行してください。

エンジン固有のガイド

権限申請、承認、設定のプロセスは、エンジンによって異なります。詳細な手順については、各エンジンのドキュメントをご参照ください。

• 「MaxCompute データアクセス制御」

• 「Hologres データアクセス制御」

• 「DLF データアクセス制御」

• 「Hive データアクセス制御」

• 「Lindorm データアクセス制御」

• 「StarRocks データアクセス制御」