DataWorks:MaxCompute のデータアクセス権限の管理

データアクセス制御のワークフロー

権限申請のワークフロー

データアクセス制御は、権限のリクエスト、権限承認、権限監査 の操作に加えて、権限リクエストレコード と 権限承認レコード の機能もサポートしています。RAM ユーザーが必要なテーブル権限を持っていない場合、権限のリクエスト ページで申請を送信できます。権限承認者 (ワークスペース管理者またはテーブル所有者) が 権限承認 ページで申請を承認すると、権限が付与されます。

説明

DataWorks の セキュリティセンター は、デフォルトの権限申請承認ワークフローを提供します。また、承認センター で承認ワークフローをカスタマイズすることもできます。MaxCompute テーブルの列レベルの権限を申請すると、DataWorks は申請された列に基づいて承認ワークフローの種類を識別します。

説明

リソースおよび関数の権限申請は、カスタム承認ワークフローまたは権限監査をサポートしていません。

• 権限申請者： データアクセス制御 ページで MaxCompute テーブルの権限を申請できます。申請が承認されると、マイ申請 ページで承認結果を確認し、権限が有効になったことを確認できます。

• 権限承認者： 申請を受け取った後、権限承認者は マイ承認タスク ページで申請詳細を確認し、申請を承認するか拒否するかを決定できます。処理済みの申請については、権限承認者は現在の Alibaba Cloud アカウント配下にあるテーブル、リソース、関数の承認結果を マイ承認タスク ページで確認できます。

• [権限監査]： Alibaba Cloud アカウントの所有者またはワークスペース管理者は、権限監査 ページで、ワークスペースメンバーに付与されたテーブル権限を管理および監査できます。ワークスペースの特定のメンバーから権限を回収できます。

権限申請

データアクセス制御ページで、リクエスト内容 と リクエスト情報 セクションを設定します。

1. DataWorks コンソールにログインし、対象のリージョンに切り替えてから、左側メニューで データガバナンス > セキュリティセンター をクリックします。表示されたページで、[セキュリティセンターへ移動] をクリックします。

2. セキュリティセンターの左側メニューで、データプラットフォームのセキュリティ > データアクセス制御 をクリックします。

3. データアクセス制御 ページで、権限申請タブをクリックして、MaxCompute のテーブル、リソース、または関数の権限を申請します。

   テーブル権限の申請

   テーブル権限を申請する際、対象テーブルを追加した後、必要に応じて テーブルレベルの権限 または Selected Columns の権限を申請できます。

   設定項目		説明
   [リクエスト内容]	[データソースタイプ]	MaxCompute タイプを選択します。
   	[リクエストタイプ]	Table
   	[ワークスペース]	対象の Table が存在するワークスペースを選択します。
   	[MaxCompute プロジェクト]	Table が存在するワークスペースに関連付けられた MaxCompute プロジェクト。
   	[スキーマ]	テーブルが存在するスキーマです。
   [追加対象テーブル]	テーブルレベルの権限を申請	テーブルレベルの Select、 Update[、] Download[、] Describe[、] Alter[、] および Drop 権限を申請できます。
   	列レベルの権限を申請	列レベルの Select、Update[、]および Download 権限を申請できます。

   説明

   MaxCompute プロジェクトに対して、テーブルレベルまたは列レベルの権限を申請できます。新しく追加された列がテーブルレベルの権限を自動的に継承するかどうかは、プロジェクトで labelsecurity が有効になっているかどうかによって決まります：

   • MaxCompute プロジェクトで labelsecurity が有効になっていない場合：テーブルレベルの Select および Update 権限の申請に成功すると、テーブルに新しく追加された列は自動的に Select および Update 権限を継承します。

   • MaxCompute プロジェクトで labelsecurity が有効になっている場合：テーブルレベルの権限は、新しく追加された列に自動的に継承されません。テーブルレベルの Select および Update 権限の申請に成功した後、新しく追加された列にアクセスするには、別途、列レベルの権限を申請する必要があります。

   リソース権限の申請

   設定項目		説明
   [リクエスト内容]	[データソースタイプ]	MaxCompute タイプを選択します。
   	[リクエストタイプ]	Resource
   	[ワークスペース]	対象のリソースが存在するワークスペースを選択します。
   	[プロジェクト]	リソースが存在するワークスペースに関連付けられている MaxCompute プロジェクトです。
   	[リソース名]	権限を申請するリソースです。

   関数権限の申請

   設定項目		説明
   [リクエスト内容]	[データソースタイプ]	MaxCompute タイプを選択します。
   	[リクエストタイプ]	Function
   	[ワークスペース]	対象の関数が存在するワークスペースを選択します。
   	[プロジェクト]	関数が存在するワークスペースに関連付けられている MaxCompute プロジェクトです。
   	[関数名]	権限を申請する関数の名前です。

4. リクエスト情報 を設定します。

   設定項目		説明
   [リクエスト情報]	[ユーザー]	対象リソースの権限を申請するアカウントを選択します。 [現在のログインアカウント]：現在 DataWorks ワークスペースにログインしている Alibaba Cloud アカウントに対して、対象テーブルの権限を申請します。 [スケジュール用アクセスアカウント]：スケジューリングアクセス ID として設定されている RAM ユーザーに対して、対象テーブルの権限を申請します。 [代理リクエスト]：現在 DataWorks ワークスペースにログインしているアカウントを使用して、別の Alibaba Cloud アカウントに対して対象テーブルの権限を申請します。このオプションを選択した場合は、ユーザー名 パラメーターを設定する必要があります。
   	[リクエスト期間]	権限のカスタム有効期間を指定できます。権限は有効期限が切れると自動的に回収されます。 説明 この機能を使用する前に、テーブルが存在する MaxCompute プロジェクトでポリシーベースの権限付与が有効になっていることを確認してください。詳細については、「MaxCompute のデータアクセス制御の詳細」をご参照ください。MaxCompute Policy の詳細については、「MaxCompute Policy の概要」をご参照ください。
   	[リクエスト理由]	承認者がニーズを理解できるように、権限を申請する理由を簡潔に説明します。

5. 権限のリクエスト をクリックし、申請を送信します。

   現在の申請の承認詳細と承認履歴は、権限リクエストレコード タブで確認できます。

権限承認

権限申請者 が申請を送信した後、権限承認者 は [マイ承認タスク] ページでその申請を処理できます。

1. 左側メニューで、[申請と承認] > [マイ承認タスク] を選択し、[データアクセス制御] タブをクリックします。[承認待ち] リストで、アカウントのリクエスト、リクエスト時間、ワークスペース、プロジェクト名、オブジェクト名 などの条件でフィルタリングして、現在の Alibaba Cloud アカウント配下の承認待ちの申請を表示できます。

   説明

   1 つの申請に複数のテーブルの権限申請が含まれている場合、その申請はテーブル所有者に基づいて自動的に複数の申請に分割されます。

2. 対象の申請の 操作 列にある 承認 をクリックします。承認詳細 ダイアログで、リクエストの詳細、承認レコード などの詳細を確認できます。ダイアログでは、以下の操作を実行できます：

   • 申請の詳細と要件に基づいて、申請を承認するかどうかを決定します。承認コメント を入力し、同意 または 拒否 をクリックして申請を処理します。

   • 申請の リクエスト内容 と 有効期限 を変更できます。

   説明

   • 未処理のステップ： 承認権限を持つすべての承認者が表示されます。

   • 処理済みのステップ： 申請を処理した承認者のみが表示されます。

   承認詳細ダイアログで個別の申請を承認するだけでなく、[マイ承認タスク] ページですべての申請を選択し、バッチ同意 または バッチ拒否 をクリックすることもできます。承認コメント を入力して、対象の申請を一括で処理します。

権限申請履歴の表示

左側メニューで、[申請と承認] > [マイ申請] を選択し、[データアクセス制御] タブをクリックします。承認ステータス、リクエスト時間、ワークスペース などの条件でフィルタリングして、現在の Alibaba Cloud アカウント配下の申請履歴を表示できます。

また、対象の申請の 操作 列にある 詳細を表示 をクリックして、詳細情報を確認することもできます。承認ステータス が 承認中 の申請については、後続の承認操作に進むことができます。

権限承認履歴の表示

データアクセス制御ページの [権限承認履歴] タブは 非推奨 になりました。このリストは [申請と承認 > マイ承認タスク] ページに移行されました。元のタブには承認履歴リストは表示されなくなり、移行に関する通知のみが表示されます。権限承認履歴を表示するには、以下の手順に従ってください。

左側メニューで、[申請と承認] > [マイ承認タスク] を選択し、[データアクセス制御] タブをクリックします。タスクのステータスを [すべて] に設定します。アカウントのリクエスト、承認結果、ワークスペース などの条件でフィルタリングして、現在の Alibaba Cloud アカウント配下の承認履歴を表示できます。

また、対象の申請の 操作 列にある 詳細を表示 をクリックして、詳細情報を確認することもできます。

[権限監査]

[権限監査] タブで、対象リソースをフィルタリングして特定し、認可情報 を確認し、認可情報 列の 権限の取り消し または 権限の表示 をクリックします。

[権限監査] タブは現在、MaxCompute コンピュートエンジンのみをサポートしています。Hologres、DLF、Hive、Lindorm、StarRocks などの他のエンジンは、このタブでの権限監査には対応していません。