DataWorks では、Alibaba Cloud の Resource Access Management (RAM) ポリシーを使用して、[サービスレベルの権限] と [コンソールエンティティの権限] を制御できます。権限を付与するには、ポリシーを RAM ユーザーまたは RAM ロールにアタッチします。この記事では、利用可能な権限について説明し、Alibaba Cloud アカウントがユーザーに DataWorks 管理ポリシーを付与する方法を示します。
サービスレベルの権限：システムポリシーとカスタムポリシー
デフォルトでは、Alibaba Cloud アカウントのみが DataWorks のサービスレベルの管理権限を持ちます。これらの責務を委任するには、以下のシステムポリシーを RAM ユーザーに付与します。これにより、RAM ユーザーには Alibaba Cloud アカウントと同じ操作権限が付与されます。
権限タイプ | スコープ | ポリシー名 | 説明 | リファレンス |
許可されるアクション (システムポリシー) | DataWorks サービスの管理 | AliyunDataWorksFullAccess | RAM ユーザーに DataWorks の内部機能を管理する権限を付与します。このポリシーは、リソースを購入する権限を付与しません。 | 手順については、「RAM ユーザーへの権限付与」をご参照ください。 |
リソースの購入 | AliyunBSSOrderAccess | RAM ユーザーが請求管理で注文の表示、支払い、キャンセルを行ったり、DataWorks コンソールからリソースの購入やサービスの更新を行ったりすることを許可します。 | ||
拒否されるアクション (カスタムポリシー) | DataWorks での操作を拒否 (きめ細かい) | カスタム | ユーザーによる管理コンソールへのアクセス、DataWorks モジュールへのエントリ、または OpenAPI の呼び出しを拒否します。 | まず、「サービスレベルの権限ポリシー」を参照してポリシーを定義します。次に、カスタムポリシーを RAM ユーザーにアタッチします。手順については、「カスタムポリシーの作成 (オプション)」をご参照ください。 |
OpenAPI 呼び出しの拒否 (きめ細かい) | デフォルトでは、DataWorks モジュールに対する権限を持つユーザーは、そのモジュールの OpenAPI 操作を呼び出すことができます。ユーザーがすべての OpenAPI 操作を呼び出せなくするには、この権限を付与します。 | |||
DataWorks モジュールへのアクセスを拒否 (きめ細かい) | デフォルトでは、Alibaba Cloud アカウント配下のすべての RAM ユーザーは、DataWorks テナントのメンバーです。彼らはグローバルモジュールと、参加しているワークスペース内の任意のモジュールにアクセスできます。 必要に応じて、ユーザーによる DataWorks モジュールへのエントリを拒否できます。 |
コンソールエンティティの権限：カスタムポリシー
DataWorks は、以下のエンティティに対する操作の、きめ細かい権限制御をサポートしています：
エンティティ | アクション | リファレンス |
ワークスペース |
| コンソールエンティティにきめ細かい権限を付与するには、まず「コンソールエンティティレベルの権限ポリシー」で説明されているようにカスタムポリシーを作成します。次に、「RAM ユーザーへの権限付与」の手順に従って、ポリシーを RAM ユーザーにアタッチします。 |
リソースグループ |
| |
アラート情報 |
|
RAM ユーザーへの権限付与
RAM コンソールの左側のナビゲーションペインで、を選択します。
[権限の追加] パネルで、目的のシステムポリシーまたはカスタムポリシーを RAM ユーザーにアタッチします。
システムポリシーまたはカスタムポリシーをアタッチできます。カスタムポリシーをアタッチするには、まずカスタムポリシーを作成することが必要です。利用可能なポリシーの一覧については、「サービスレベルの権限：システムポリシーとカスタムポリシー」をご参照ください。
説明パラメーター設定の詳細については、「RAM ユーザーの権限の管理」をご参照ください。
カスタムポリシーの作成 (オプション)
RAM ポリシーで、きめ細かい権限制御を実装するには、カスタムポリシーを作成する必要があります。広範な認可にシステムポリシーを使用している場合、この手順は不要です。
Alibaba Cloud アカウントを使用して、Access Control コンソールでカスタムポリシーを作成できます。 詳細については、「カスタムポリシーの作成」をご参照ください。
サービスレベルの制御用のカスタムポリシーを作成するには、「サービスレベルの権限ポリシー」を参照してポリシーの内容を定義します。
コンソールエンティティレベルの制御用のカスタムポリシーを作成するには、次の手順に従います。RAM コンソールで、[権限] > [ポリシー] に移動します。[ポリシーの作成] をクリックし、[JSON] タブを選択します。ポリシーは次の構造を持ちます：
{"Version":"1","Statement":[{"Effect":"Allow","Action":"dataworks:ActionName","Resource":"acs:dataworks:$regionid:$accountid:ResourceType/*"}]}。ここで、Action と Resource の値は、権限ポリシーテーブルの Action 列と Resource 列に対応します。ポリシー要素
説明
Action
Action 要素を、「コンソールエンティティレベルの権限ポリシー」の Action 列の対応する値に設定します。
Resource
Resource 要素を、「コンソールエンティティレベルの権限ポリシー」の Resource 列の対応する値に設定します。
説明リソースの詳細：
Resource 列の値は、
acs:dataworks:$regionid:$accountid:ResourceType/*のような形式です。必要に応じて次の部分を置き換えます：$で始まるプレースホルダー：これらを実際の ID 値に置き換えます。たとえば、$regionidを特定のリージョン ID に、$accountidを Alibaba Cloud アカウントの UID に置き換えます。ワイルドカード
*：これは、特定のレベルのすべてのリソースに一致します。権限のスコープを絞るには、これを特定の値に置き換えます。たとえば、workspace/*をworkspace/specific_workspace_id(例：workspace/12345) に置き換えると、ポリシーはその特定のワークスペースにのみ適用されます。