DataWorks:DLF データアクセスコントロール

DLF データアクセス権限管理プロセス

データアクセスコントロールへのアクセス

DataWorks コンソールにログインします。 左側のナビゲーションウィンドウで、[データガバナンス] > [セキュリティセンター] を選択します。 表示されるページで、[セキュリティセンターに移動] をクリックします。

権限申請

1. Data Platform Security > Data access control > Permission Application の順にクリックして、Permission Application タブに移動します。Application Content セクションで、Engine Type を選択します。

   DLF 関連のデータソースタイプには以下が含まれます。

   • DLF：DLF 3.0。

   • DLF-Legacy：DLF の以前のバージョン。

   説明

   以下の手順では、[Data Lake Formation (DLF)] を例に説明します。[DLF-Legacy] を選択した場合も、操作は同様です。権限付与の粒度には 4 つのレベル ([カタログ / スキーマ / テーブル / 列]) が含まれます。権限の有効期間は [カスタム期間] に対応しており、承認済みの申請は更新可能です。その他の手順は DLF 3.0 と同じです。

2. Granularity of authorization と Catalog を設定し、権限を申請するオブジェクトを選択します。

   以下の 3 つの権限付与の粒度レベルが利用できます。

   • Metabase レベルの権限: 権限を申請する Metabase を選択し、Metabase permissions 列で希望する権限を選択します。

     利用可能な権限には、Describe、Alter、Drop、CreateTable、CreateFunction、List が含まれます。

   • テーブルレベルの権限： Tables to Be Added セクションで、対象のテーブルを選択します。 テーブルを選択すると、その情報が右側に表示されます。 対応する権限列で必要な権限を選択します。

     利用可能な権限には、Select、Update、Alter、Drop などが含まれます。

   • 列レベルの権限: Tables to Be Added セクションで、対象のテーブルを選択します。 テーブルを選択すると、テーブルとその列情報が右側に表示されます。 テーブル名の横にある展開アイコンをクリックしてすべての列を表示し、[選択] 列で目的の列権限を選択します。

     説明

     DLF 内の内部 Paimon テーブルのみが列レベルの権限管理をサポートします。

3. Application information を設定します。

   パラメーター	[Description]
   [User]	権限を申請するユーザーを選択します。 [Current login account]：DataWorks ワークスペースに現在ログインしている Alibaba Cloud アカウントに対して、対象テーブルの権限を申請します。 [Apply on Behalf of Others]: 別の Alibaba Cloud アカウントに対して、対象テーブルの権限を申請します。 このオプションを選択した場合は、Username パラメーターを設定します。 [DLF role]：DLF ロールに対して権限を申請します。このオプションを選択した場合は、ドロップダウンリストから複数の DLF ロールを選択できます。このオプションは、[Data Lake Formation (DLF)] データソースタイプでのみ利用できます。
   [Application duration]	権限の有効期間を選択します。 データソースタイプが [Data Lake Formation (DLF)] の場合、[無期限] のみがサポートされています。 データソースタイプが [DLF-Legacy] の場合、カスタム期間を指定できます。有効期限が切れると、権限は自動的に失効します。
   [Reason for Application]	対象テーブルの権限を申請する理由を入力します。

4. Apply for Permissions をクリックしてリクエストを送信します。

   Permission Application Records タブで、現在のリクエストの承認詳細と承認記録を表示できます。

権限承認

RAM ユーザーが承認操作を実行するには、Admin (データレイク管理者) または super_administrator ロールを持っている必要があります。

1. 承認待ちの申請を表示します。

   左側のナビゲーションペインで、[申請と承認] > [マイ承認タスク] を選択し、[データアクセスコントロール] タブをクリックします。エンジンタイプ [Data Lake Formation (DLF)] または [DLF-Legacy] を選択し、フィルター条件を使用して、現在の Alibaba Cloud アカウントの承認待ちの申請を表示します。

   説明

   1 つの申請に複数のテーブルの権限申請が含まれている場合、申請はテーブル所有者に基づいて自動的に複数の申請に分割されます。

2. 承認詳細を表示します。

   対象のリクエストの Operation 列にある Approval をクリックします。Approval details ダイアログで、Application Details や Approval record などの詳細を確認できます。

3. 申請を承認または却下します。

   リクエストの詳細と要件に基づいてリクエストを承認するかどうかを決定し、Approval Comments を入力して Agree または Reject をクリックします。

   また、自分の承認タスク ページですべての申請を選択し、Batch Agree または Batch Reject をクリックすることもできます。Approval Comments を入力して、申請をまとめて処理します。

権限申請および承認レコードの表示

• DLF 権限申請レコードは [取り下げ] ([承認待ち] ステータスの申請のみ) をサポートしています。更新機能はバージョンによって異なります。[Data Lake Formation (DLF 3.0)] の権限は無期限であり、[更新はサポート対象外] です。[DLF-Legacy] はカスタム有効期間と更新をサポートしています。承認済みの申請は、[申請と承認] > [マイアプリケーション] に移動して更新できます。

• データアクセスコントロールページの [権限監査] タブは、現在 MaxCompute エンジンのみをサポートしています。DLF の権限監査および失効は、このタブでは利用できません。DLF リソースの権限を管理するには、DLF の組み込み権限管理機能を使用してください。

• 権限申請レコードと権限承認レコードの元のタブエントリは、[申請と承認] セクションの [マイアプリケーション] および [マイ承認タスク] ページに移行されています。新しいページエントリの使用を推奨します。元の権限承認レコードタブリストは非推奨となり、移行通知のみが表示されるようになりました。[申請と承認] > [マイ承認タスク] に移動し、タスクステータスを [すべて] に設定してレコードを表示してください。

権限承認レコード

左側のナビゲーションペインで、[リクエストと承認] > [自分の承認タスク] を選択し、[データアクセス制御] タブをクリックします。タスクステータスを [すべて] に設定します。その後、Application account number、Approval Results、Workspace などの基準でレコードをフィルタリングし、お使いの Alibaba Cloud アカウントの承認レコードを表示できます。

また、リクエストの View details 列の Operation をクリックして、詳細を表示することもできます。