DataWorks:RAM ロールによるデータソースの追加

プロセスの概要

操作手順

1. 引き受けるロールの作成

   セキュリティ要件に基づいて、データソースごとに異なるカスタムロールを作成できます。このトピックでは、次のシナリオを例に、引き受けるロールの作成方法を示します。

   説明

   このステップは、Alibaba Cloud アカウントまたは AliyunRAMFullAccess 権限を持つ RAM ユーザーのみが実行できます。

   ある企業が、すべてのデータを保存する 100 個のバケットを所有しているとします。ビッグデータチームは、これらのバケットのうち 1 つのデータのみを使用する必要があります。プリセットの AliyunDataWorksAccessingOSSRole ロールを使用すると、ビッグデータチームは他の 99 個のバケットにアクセスできる可能性があり、管理上のリスクが生じます。

   したがって、Alibaba Cloud アカウントのオーナーは、ビッグデータチーム用に BigDataOssRole という名前のカスタムロールを作成できます。オーナーはまた、このロールの使用をビッグデータチームの特定のメンバーに制限して、チーム間の権限を管理することもできます。

   1. カスタムロールの作成

      この例では、信頼できるエンティティとして [Alibaba Cloud アカウント] を指定し、BigDataOssRole という名前のカスタムロールを作成する方法を示します。詳細については、「信頼できる Alibaba Cloud アカウント用の RAM ロールを作成する」をご参照ください。

   2. カスタムポリシーの作成

      この例では、特定のバケットに対する読み書き権限を付与するポリシーの作成方法を示します。ポリシーの作成方法の詳細については、「カスタムポリシーの作成」をご参照ください。ポリシーの内容は次のとおりです。

      {
          "Version": "1",
          "Statement": [
              {
                  "Effect": "Allow",
                  "Action": [
                      "oss:GetObject",
                      "oss:ListObjects",
                      "oss:GetObjectMetadata",
                      "oss:GetObjectMeta",
                      "oss:GetBucketAcl",
                      "oss:GetBucketInfo",
                      "oss:PutObject",
                      "oss:DeleteObject",
                      "oss:PutBucket"
                  ],
                  "Resource": [
                      "acs:oss:*:*:bucket_name_1",
                      "acs:oss:*:*:bucket_name_1/*"
                  ]
              }
          ]
      }

   3. 指定したポリシーのロールへの付与

      BigDataOSSRole ロールの信頼ポリシーを変更して、前のステップで作成した ポリシー を BigDataOSSRole ロールにアタッチします。これにより、BigDataOSSRole ロールが付与されたユーザーは、指定された 2 つのバケットからデータを読み取ることができます。

      重要

      このステップは必ず実行してください。実行しない場合、ロールは使用できません。

      ロールの信頼ポリシーの変更方法の詳細については、「RAM ロールの信頼ポリシーの変更」をご参照ください。ポリシーの内容は次のとおりです。

      {
          "Statement": [
              {
                  "Action": "sts:AssumeRole",
                  "Effect": "Allow",
                  "Principal": {
                      "Service": [
                          "di.dataworks.aliyuncs.com"
                      ]
                  }
              }
          ],
          "Version": "1"
      }

2. ロールを使用する権限のユーザーへの付与

   引き受けるすべてのロールを確認した後、関連するユーザーに `PassRole` 権限を含むポリシーを付与する必要があります。これにより、これらのユーザーはロールを使用してデータソースを作成し、同期タスクを実行できます。また、シナリオに基づいてユーザーとロールのマッピングを設定し、どのユーザーがどのロールを使用できるかを指定することもできます。

   • ポリシーテンプレート 1：次のテンプレートを使用してポリシーを作成できます。このテンプレートは、被付与者が DataWorks Data Integration に関連するすべてのロールを使用することを許可します。このポリシーは慎重に付与してください。

     {
         "Version": "1",
         "Statement": [
             {
                 "Action": "ram:PassRole",
                 "Resource": "*",
                 "Effect": "Allow",
                 "Condition": {
                     "StringEquals": {
                         "acs:Service": "di.dataworks.aliyuncs.com"
                     }
                 }
             }
         ]
     }

   • ポリシーテンプレート 2：セキュリティ要件に基づいて、`PassRole` 権限を含むカスタムポリシーを作成し、ユーザーとロールのマッピングを設定できます。

     説明

     このステップは、Alibaba Cloud アカウントまたは AliyunRAMFullAccess 権限を持つ RAM ユーザーのみが実行できます。

     シナリオ例：引き受けるロールのシナリオで説明したように、アカウント管理者がビッグデータチームのために BigDataOssRole ロールを定義した後、管理者は関連するユーザーのみがこのロールを使用できるように指定する必要があります。BigDataOssRoleAllowUse という名前のカスタムポリシーを作成し、関連するユーザーに付与できます。

     BigDataOssRoleAllowUse という名前のポリシーを作成します。詳細については、「カスタムポリシーの作成」をご参照ください。ポリシースクリプトは次のとおりです。

     {
         "Version": "1",
         "Statement": [
             {
                 "Action": "ram:PassRole",
                 "Resource": "acs:ram::19122324****:role/BigDataOssRole",
                 "Effect": "Allow",
                 "Condition": {
                     "StringEquals": {
                         "acs:Service": [
                             "oss.aliyuncs.com",
                             "di.dataworks.aliyuncs.com"
                         ]
                     }
                 }
             }
         ]
     }

     説明

     ポリシー内の UID (19122324****) を、現在の Alibaba Cloud アカウントの UID に置き換えてください。

     管理者は、BigDataOssRole ロールの使用を許可されている RAM ユーザーに BigDataOssRoleAllowUse ポリシーを付与します。BigDataOssRoleAllowUse ポリシーが付与された RAM ユーザーは、BigDataOssRole ロールを使用してデータソースを作成し、同期タスクを実行できます。データソースを作成する際に、データソースのアクセス ID として BigDataOssRole を使用できます。

3. データソースの作成

   アカウント管理者がデータソース作成者に権限を付与した後、作成者はデータソースを作成できます。

   1. Alibaba Cloud アカウントまたは AliyunDataWorksFullAccess ポリシーを持つ RAM ユーザーが OSS データソースを作成および設定します。

      構成時に、[アクセスモード] を [RAM ロールベースの権限付与] に設定します。他のパラメーターは、この Topic の説明に従って設定します。標準モードのワークスペースを使用している場合は、必要に応じて [開発] 環境または [本番] 環境を設定できます。

      説明

      このトピックでは OSS データソースを例として使用しています。使用するデータソースによって、実際のインターフェイスは異なる場合があります。OSS データソースの設定の詳細については、「OSS データソースの設定」をご参照ください。

      

      パラメーター	説明
      データソース名	データソース名は、英字、数字、アンダースコア (_) で構成する必要があります。数字またはアンダースコア (_) で始めることはできません。
      データソースの説明	データソースの簡単な説明。説明は 80 文字を超えることはできません。
      エンドポイント	OSS エンドポイント。フォーマットは http://oss.aliyuncs.com です。OSS サービスのエンドポイントはリージョンによって異なります。異なるリージョンにアクセスする場合は、異なるドメイン名を入力する必要があります。 説明 エンドポイントの正しいフォーマットは http://oss.aliyuncs.com です。バケット名をピリオドで oss.aliyuncs.com の前に追加しないでください (例：http://xxx.oss.aliyuncs.com)。このフォーマットでも接続性テストは成功する場合がありますが、同期は失敗します。
      バケット	OSS バケット情報。バケットはオブジェクトを格納するためのコンテナーです。 1 つ以上のバケットを作成できます。各バケットに 1 つ以上のファイルを追加できます。 データ同期タスクでは、ここに入力したバケット内で対応するファイルを見つけることができます。追加されていないバケット内のファイルは見つけることができません。
      アクセスモード	[RAM ロールベースの権限付与] を選択します。このモードでは、セキュリティトークンサービス (STS) の権限付与を利用して、クラウドプロダクトのサービスアカウントがロールを偽装してデータソースにアクセスすることで、より高いセキュリティを提供します。
      ロールの選択	RAM ロールを、[ロールの選択] ドロップダウンリストから選択します。
      リージョン	[リージョン] ドロップダウンリストからリージョンを選択します。

   2. ネットワーク接続のテスト

      「接続設定」セクションで、リソースグループの[接続テスト]をクリックします。

      同期タスクでは、1 種類のリソースグループのみを使用できます。リソースグループの接続性をテストして、同期タスクで使用される Data Integration リソースグループがデータソースに接続できることを確認する必要があります。そうしないと、同期タスクは正常に実行されません。複数のリソースグループを同時にテストするには、リソースグループを選択して、[一括接続性テスト] をクリックします。詳細については、「ネットワーク接続性のソリューション」をご参照ください。

   3. 接続性テストが成功したら、[完了] をクリックします。

4. 同期タスクの作成

   データソースが作成されると、開発者は [DataStudio] ページでこのデータソースに基づいて同期タスクを作成できます。 詳細については、「同期タスクを設定する」をご参照ください。

5. 同期タスクの実行

   タスクのエグゼキュータは、Data Studio またはオペレーションセンターページでデータ同期タスクを実行します。

   説明

   [DataStudio] でタスクを実行する場合、タスク エグゼキュータが手順 2: ユーザーにロールを使用する権限を付与するで必要な権限を付与済みであることを確認してください。これにより、タスクの失敗を防ぐことができます。