EMR 上の DataWorks の権限管理 - DataWorks - Alibaba Cloud ドキュメントセンター

DataWorks で EMR タスクを実行するには、EMR および DataWorks の両方で認証と権限付与を構成し、タスクが期待通りに実行されるようにする必要があります。

背景情報

DataWorks では、ワークスペースメンバーを EMR クラスターアカウントにマッピングすることで、EMR エンジンの権限を取得できます。このマッピングにより、クラスター上のユーザー認証および権限付与が処理されるため、異なる Alibaba Cloud アカウント、タスクオーナー、または RAM ユーザーが EMR タスクを実行する際に異なるデータ権限を持ち、権限隔離が実現されます。必要な権限の詳細については、「EMR クラスター側の構成」および「DataWorks 側の構成」をご参照ください。

使用制限

DataWorks では、ワークスペースメンバーを EMR クラスターアカウントにマッピングする方法として、LDAP アカウントまたはシステムアカウントのいずれかのみがサポートされています。DataWorks のコンピュートエンジンインスタンスとして登録されたクラスターに対してこのアカウントマッピングを構成する場合、以下の制限が適用されます。

DataWorks でのアカウントマッピングはクラスターレベルで構成され、クラスターごとに選択できる認証方式は 1 つのみです。
DataWorks でマッピングするクラスターアカウントの認証情報（ユーザー名およびパスワード）は、クラスターの実際の認証情報と一致している必要があります。

クラスターで認証が有効になっていない場合、または DataWorks でマッピングされたアカウントの認証情報がクラスターの実際の認証情報と一致しない場合、DataWorks の EMR タスクは失敗します。

シナリオ

説明

システムアカウントへのマッピング

DataWorks でマッピングされたクラスターアカウントがクラスター上の実際のアカウントと一致しない場合、EMR タスクは失敗します。

LDAP アカウントへのマッピング

DataWorks で EMR タスクが失敗するシナリオは以下のとおりです。

クラスターで LDAP 認証が有効になっているにもかかわらず、DataWorks で対応するアカウントマッピングが構成されていない場合。
DataWorks で LDAP 認証が有効になっているが、クラスター上の対応コンポーネントで認証サービスが有効になっていない場合。

説明
DataWorks で LDAP マッピングを構成すると、SQL タスク（Hive、Impala、Presto など）はデフォルトでマッピングされたアカウントを使用して認証を行います。クラスター上のコンポーネントで LDAP 認証が有効になっていない場合、これらのタスクは失敗します。

説明

サポートされる認証方式は EMR エンジンによって異なります。ご利用のエンジンが LDAP 認証をサポートしているかどうかは、プロダクトドキュメントでご確認ください。

EMR クラスター

認証サービスの有効化
クラスター上でシステムアカウント以外のアカウントを使用して身分認証を行うには、まず対応する認証サービスを有効にしてから、DataWorks で EMR タスク開発に使用するアカウントをそのサービスに追加する必要があります。
1. クラスターで認証サービスを有効にします。
  
  LDAP を使用して身分認証を行うには、まずクラスターで LDAP を有効にする必要があります。詳細については、「LDAP の有効化」をご参照ください。
2. タスク実行に使用するアカウントを計画し、LDAP サービスおよび DataWorks ワークスペースの両方に追加します。
  
  DataStudio で EMR タスクの作成、テスト、コミット、および公開を行う必要があるすべてのユーザーを、LDAP サービスおよび DataWorks ワークスペースの両方に追加することを推奨します。詳細については、「DataWorks ワークスペースへのユーザー追加」をご参照ください。
データ権限の制御

EMR クラスター上の権限管理コンポーネントを使用して、DataWorks ユーザーのデータ権限を隔離できます。たとえば、Ranger を使用して、Alibaba Cloud アカウントに対応するクラスターユーザーの権限を管理できます。

DataWorks

EMR エンジンの権限

DataWorks で EMR タスクを実行する前に、EMR クラスターをコンピュートエンジンとして登録する必要があります。この登録を行うアカウントには、AliyunEMRFullAccess ポリシーがアタッチされている必要があります。AliyunEMRFullAccess ポリシーをユーザーに付与する方法の詳細については、「ユーザー、ロール、および権限の概要」をご参照ください。
DataWorks 機能の使用権限

DataWorks で EMR タスクを実行するには、タスク開発および運用管理（O&M）や品質管理を行うために、DataStudio、データマップ、Data Quality、オペレーションセンターなどの機能に対する権限が必要です。詳細については、「機能権限」をご参照ください。
アカウントマッピングの構成

EMR エンジンのセキュリティモードでの実行を構成したら、DataWorks の ワークスペース管理 > オープンソースクラスター ページに移動し、ワークスペースメンバーをクラスターアカウントにマッピングします。これにより、メンバーはマッピングされたクラスターアカウントの権限を付与され、関連コンポーネントによる権限隔離が可能になります。

説明
EMR エンジンの構成およびアカウントマッピングの詳細については、「DataWorks の構成」をご参照ください。