DataWorks:MaxCompute計算エンジンインスタンスのデータに対する権限を管理する

デフォルトでは、DataWorksの組み込みワークスペースレベルのロールには、開発環境のMaxCompute計算エンジンインスタンスに対する権限がありますが、本番環境のMaxCompute計算エンジンインスタンスに対する権限はありません。 その結果、これらのロールを使用して、開発環境でのみテーブル、リソース、および関数に直接アクセスできます。

標準モードのワークスペースでは、DataWorksはMaxComputeテーブルに対するRAMユーザーのアクセス許可を管理し、本番環境のデータのセキュリティを確保します。

• 開発環境でMaxCompute計算エンジンインスタンスに対する権限を取得する (自動承認):

  • ワークスペースメンバーに組み込みのワークスペースレベルのロールが割り当てられると、そのメンバーにMaxCompute計算エンジンインスタンスに対する権限が自動的に付与されます。 詳細については、「シナリオ1: 組み込みのワークスペースレベルのロールを割り当てて、MaxCompute計算エンジンインスタンスの権限をユーザーに付与する」をご参照ください。

  • ワークスペースメンバーにカスタムワークスペースレベルのロールが割り当てられると、メンバーにMaxCompute計算エンジンインスタンスに対する権限が自動的に付与されます。 詳細については、「シナリオ2: カスタムワークスペースレベルのロールを割り当てて、MaxCompute計算エンジンインスタンスの権限をユーザーに付与する」をご参照ください。

• 本番環境でMaxCompute計算エンジンインスタンスの権限を取得する (手動認証): Security Centerに移動し、メンバーに必要な権限を要求する必要があります。 次の表に、このタイプの権限付与方法が必要なシナリオを示します。 Security Centerで権限を要求する方法については、「MaxComputeでの権限の管理」をご参照ください。

  シナリオ	説明
  ワークスペースの運用環境のテーブルに、開発環境のRAMユーザーとしてアクセスします。	デフォルトでは、使用するRAMユーザーが、運用環境でMaxCompute計算エンジンインスタンスにアクセスするために使用されるIDとして指定されていない場合、RAMユーザーとしてDataStudioページのワークスペースの運用環境のテーブルに対して操作を実行することはできません。 DataStudioページのテーブルをRAMユーザーとして操作するには、Security CenterでRAMユーザーに必要な権限を要求する必要があります。
  ワークスペースAの開発環境または本番環境のRAMユーザーとして、ワークスペースaの [DataStudio] ページで、ワークスペースBの開発環境または本番環境のテーブルにアクセスします。	デフォルトでは、Workspace aのRAMユーザーを使用して、Workspace Aの [DataStudio] ページでWorkspace Bの開発環境または本番環境のテーブルにアクセスすることはできません。Workspace AのRAMユーザーを使用して、Workspace Bの開発環境または本番環境のテーブルにアクセスする場合は、Security CenterでRAMユーザーに必要な権限を要求する必要があります。

実稼働環境のMaxCompute計算エンジンインスタンスのデータにRAMユーザーとしてアクセスする場合は、RAMユーザーの権限要求を開始し、RAMユーザーに権限が付与されていることを確認する必要があります。 ワークスペース管理者は、本番環境のデータに対する権限を管理できます。

1. Security CenterのRAMユーザーに対して、運用環境のテーブルに対する権限を要求できます。

2. Security Centerでは、リクエスト処理手順をカスタマイズできます。

ODPS SQLノードで次のステートメントを実行して、MaxCompute計算エンジンインスタンスのユーザーの権限を照会できます。

• show grants: MaxCompute計算エンジンインスタンスのアクセス許可を照会します。

• show grants for <username>: MaxCompute計算エンジンインスタンスで指定されたユーザーのアクセス権限を照会します。 このステートメントは、Workspace Managerロールが割り当てられている場合にのみ実行できます。

RAMユーザーがメンバーとしてDataWorksワークスペースに追加され、開発ロールが割り当てられた後、RAMユーザーには、DataWorksサービスおよびワークスペースに関連付けられているMaxCompute計算エンジンインスタンスに対する権限が指定されます。

• DataWorks: DevelopmentロールがRAMユーザーに割り当てられると、RAMユーザーはワークスペース内のノードのコードを開発およびコミットできますが、ノードのコードを本番環境にデプロイすることはできません。 ノードのコードを本番環境にデプロイする権限を持つのは、Project Owner、Workspace Manager、およびO&Mロールだけです。

• MaxCompute: DevelopmentロールがRAMユーザーに割り当てられると、MaxCompute計算エンジンインスタンスのRole_Project_DevロールがRAMユーザーに割り当てられます。 Role_Project_Devロールには、開発環境のMaxComputeプロジェクトとプロジェクトのテーブルに対する権限が指定されています。

  説明

  • RAMユーザーにWorkspace Managerロールを割り当てて、RAMユーザーにDataWorksのさまざまな権限を付与できます。 ただし、RAMユーザーは運用環境のテーブルにアクセスできません。

  • RAMユーザーは、本番環境でMaxComputeプロジェクトにアクセスするために使用されるIDとして指定されていないRAMユーザーを指します。

サンプルシナリオ: RAMユーザーは、workspace Managerロールを割り当てられたユーザーによってメンバーとしてDataWorksワークスペースに追加され、RAMユーザーにはカスタムワークスペースレベルのロールが割り当てられます。 カスタムワークスペースレベルのロールを作成するときに、このロールをワークスペースに関連付けられたMaxCompute計算エンジンインスタンスのロールにマップするかどうかを指定できます。 カスタムワークスペースレベルのロールを作成した後、RAMユーザーをメンバーとしてワークスペースに追加するときに、RAMユーザーにロールを割り当てることができます。 カスタムワークスペースレベルのロールがRAMユーザーに割り当てられると、RAMユーザーにはDataWorksサービスおよびMaxCompute計算エンジンインスタンスに対する指定された権限が付与されます。

• DataWorks: カスタムワークスペースレベルのロールがRAMユーザーに割り当てられると、RAMユーザーには、カスタムワークスペースレベルのロールが操作を実行できるDataWorksサービスに対する権限が付与されます。

• MaxCompute ：

  • カスタムワークスペースレベルのロールがMaxCompute計算エンジンインスタンスのロールにマッピングされていない場合、RAMユーザーにはMaxCompute計算エンジンインスタンスに対する権限がありません。 RAMユーザーは、コマンドを実行してMaxCompute計算エンジンインスタンスのオブジェクトを照会することはできません。

  • カスタムワークスペースレベルのロールがMaxCompute計算エンジンインスタンスのロールにマップされている場合、RAMユーザーはマップされたMaxComputeロールの権限を持ちます。