DataWorks:MaxCompute のデータアクセス権限の管理

データアクセスコントロールワークフロー

権限申請ワークフロー

データアクセス制御機能を使用すると、Permission Application、Permission Application Processing、および Permission Audit 操作を実行できます。 また、Permission Application Records および Permission Application Processing Record を表示することもできます。 開発中に RAM ユーザーが必要なテーブル権限を持っていない場合、ユーザーは Permission Application ページで対応する権限を申請できます。 承認者 (ワークスペース管理者またはテーブル所有者) が Permission Application Processing ページでリクエストを承認すると、権限が付与されます。

説明

DataWorks の Security Center は、デフォルトの権限申請承認ワークフローを提供します。 また、[承認センター] で承認ワークフローをカスタマイズすることもできます。 MaxCompute テーブルの列レベルの権限を申請すると、DataWorks は申請された列に基づいて承認ワークフローのタイプを識別します。

説明

リソースと関数の権限申請では、カスタム承認ワークフローと権限監査管理には対応していません。

• 権限申請者: データアクセスコントロールページで MaxCompute テーブルの権限を申請できます。申請が承認されると、マイアプリケーションページで承認結果を確認し、権限が有効になったことを確認できます。

• 権限承認者: 申請を受け取った後、承認者は マイ承認タスクページで申請の詳細を確認し、承認または却下を決定できます。処理済みの申請については、承認者は マイ承認タスクページで現在の Alibaba Cloud アカウント配下のテーブル、リソース、関数の承認結果を確認できます。

• [Permission Audit]：Alibaba Cloud アカウント所有者またはワークスペース管理者は、[権限監査] ページに移動して、ワークスペースメンバーに付与されたテーブル権限を管理および監査できます。 ワークスペースの特定のメンバーから権限を取り消すことができます。

権限申請

データアクセス制御ページで権限を申請するには、Application Content と Application information セクションを設定する必要があります。

1. DataWorks コンソールにログインし、ターゲットリージョンに切り替えてから、左側のナビゲーションペインでData Governance > Security Centerをクリックします。表示されたページで、[セキュリティセンターへ移動]をクリックします。

2. Security Center の左側のナビゲーションペインで、Data Platform Security > Data Access Controlに移動します。

3. Data Access Control ページで、権限申請タブをクリックして MaxCompute テーブル、リソース、または関数の権限を申請します。

   テーブル権限申請

   テーブル権限を申請する際、対象テーブルを追加した後、必要に応じてTable-level permissionsまたはSelected Columns権限を申請できます。

   設定項目		説明
   [Application Content]	[Data Source Type]	MaxCompute タイプを選択します。
   	[Application Type]	Table
   	[Workspace]	対象の Table が存在するワークスペースを選択します。
   	[MaxCompute Project]	Table が存在するワークスペースに関連付けられている MaxCompute プロジェクト。
   	[Schema]	テーブルが存在するスキーマ。
   [Tables to Be Added]	テーブルレベルの権限を申請	テーブルレベルの Select、Update[, ] Download[, ] Describe[, ] Alter[, ] および Drop 権限を申請できます。
   	列レベルの権限を申請	列レベルの Select、Update[, ] および Download 権限を申請できます。

   • MaxCompute プロジェクトで labelsecurity が有効になっていない場合、テーブルレベルの Select および Update 権限の申請が成功すると、テーブルに新しく追加された列は自動的に Select および Update 権限を継承します。

   • MaxCompute プロジェクトで labelsecurity が有効になっている場合は、列レベルの権限を申請してください。テーブルレベルの権限が付与された後、新しく追加された列は自動的にテーブルレベルの権限を継承しません。

   リソース権限申請

   設定項目		説明
   [Application Content]	[Data Source Type]	MaxCompute タイプを選択します。
   	[Application Type]	Resource
   	[Workspace]	対象リソースが存在するワークスペースを選択します。
   	[Project]	リソースが存在するワークスペースに関連付けられている MaxCompute プロジェクト。
   	[Resource Name]	権限を申請するリソース。

   関数権限申請

   設定項目		説明
   [Application Content]	[Data Source Type]	MaxCompute タイプを選択します。
   	[Application Type]	Function
   	[Workspace]	対象関数が存在するワークスペースを選択します。
   	[Project]	関数が存在するワークスペースに関連付けられている MaxCompute プロジェクト。
   	[Function Name]	権限を申請する関数の名前。

4. Application information を設定します。

   設定項目		説明
   [Application information]	[User]	対象リソースの権限を申請するアカウントを選択します。 [Current login account]: 現在 DataWorks ワークスペースにログインしている Alibaba Cloud アカウントで、対象テーブルの権限を申請します。 [Account Used for Scheduling]: スケジューリングアクセスIDとして設定されている RAM ユーザーに、対象テーブルの権限を申請します。 [Apply on Behalf of Others]: 現在 DataWorks ワークスペースにログインしているアカウントを使用して、別の Alibaba Cloud アカウントに対象テーブルの権限を申請します。このオプションを選択した場合、Username パラメーターを設定する必要があります。
   	[Application duration]	権限のカスタム有効期間を指定できます。権限は期限切れ後に自動的に取り消されます。 説明 この機能を使用する前に、テーブルが存在する MaxCompute プロジェクトでポリシーベース認可が有効になっていることを確認してください。詳細については、「Details of data access control for MaxCompute」をご参照ください。MaxCompute Policy の詳細については、「MaxCompute Policy overview」をご参照ください。
   	[Reason for Application]	承認者がニーズを理解できるように、権限を申請する理由を簡潔に記述します。

5. Apply for Permissions をクリックして申請します。

   Permission Application Records タブで、当該リクエストの承認の詳細と承認記録を表示できます。

権限承認

権限申請者が権限申請を送信した後、権限承認者は [マイ承認タスク] ページで申請を処理できます。

1. 左側のナビゲーションペインで、申請 & 承認 > 自分の承認タスク を選択し、データアクセス制御 タブをクリックします。 承認待ち リストで、Application account number、Application Time、Workspace、Project name、Object name、およびその他の条件で絞り込み、現在の Alibaba Cloud アカウントでの承認待ちリクエストを表示できます。

   説明

   1 つの申請に複数のテーブルの権限申請が含まれている場合、申請はテーブル所有者に基づいて自動的に複数の申請に分割されます。

2. 対象のリクエストの Operation 列で Approval をクリックします。Approval details ダイアログでは、Application Details、Approval record などの詳細を表示できます。このダイアログでは、次の操作を実行できます。

   • リクエストの詳細と要件に基づいて、リクエストを承認するかどうかを決定します。Approval Comments を入力し、Agree または Reject をクリックしてリクエストを処理します。

   • リクエストのApplication ContentとExpiration Timeを変更します。

   説明

   • 保留中のステップ: 承認権限を持つすべての承認者を表示します。

   • 処理済みのステップ: 申請を処理した承認者のみを表示します。

   承認詳細ダイアログで個々のリクエストを承認するのに加えて、[マイ承認タスク] ページですべてのリクエストを選択し、Batch Agree または Batch Reject をクリックすることもできます。Approval Comments を入力して、対象のリクエストを一括で処理します。

権限申請記録の表示

左側のナビゲーションペインで、[アプリケーションと承認] > [マイアプリケーション] を選択し、[データアクセス制御] タブをクリックします。 Approval status、Application Time、Workspace などの条件で絞り込んで、現在の Alibaba Cloud アカウントの申請レコードを表示できます。

また、対象のリクエストの Operation 列にある View details をクリックして、詳細情報を表示することもできます。Approval status が 承認中 のリクエストについては、後続の承認操作に進むことができます。

権限承認記録の表示

データアクセスコントロールページの [権限承認記録] タブは 非推奨になりました。リストは [申請と承認] > [マイ承認タスク] ページに移行されました。元のタブには承認記録リストが表示されなくなり、移行通知のみが表示されます。権限承認記録を表示するには、以下の手順に従ってください。

左側のナビゲーションペインで、[アプリケーション & 承認] > [マイ承認タスク] を選択し、[データアクセス制御] タブをクリックします。タスクステータスを [すべて] に設定します。Application account number、Approval Results、Workspace、およびその他の条件で絞り込むと、現在の Alibaba Cloud アカウントでの承認レコードを表示できます。

また、対象のリクエストのOperation列でView detailsをクリックして詳細情報を表示することもできます。

[Permission Audit]

権限承認が完了したら、「権限監査」タブに移動し、フィルター条件を使用して対象のリソースを検索および監査し、Authorization Informationを表示し、「操作」列でReclaim permissionまたはView permissionsをクリックできます。

[権限監査] タブは現在 MaxCompute エンジンのみをサポートしています。Hologres、DLF、Hive、Lindorm、StarRocks などの他のエンジンは、このタブでの権限監査に対応していません。