データ権限とは何か、どのような権限が利用可能か - Data Lake Formation

Data Lake Formation では、データカタログ、データベース、テーブル、カラム、関数の 5 つのレベルで詳細な権限を設定できます。このトピックでは、データ操作に必要な権限と所有者権限について説明します。

権限管理

権限設定

データカタログの権限を有効または無効にできます。詳細については、「権限設定」をご参照ください。

背景情報

権限を設定するには、次の 3 つの要素を指定します。

要素	説明
プリンシパル	権限が付与されるユーザーまたはロールです。ユーザーは RAM ユーザーまたは RAM ロールである必要があります。ロールは、データレイクのロール管理機能を使用して作成する必要があります。プリンシパルは、次のいずれかのフォーマットで指定できます。 Alibaba Cloud アカウント：acs:ram::<Alibaba Cloud アカウント ID>:root、例：`acs:ram::123456:root`。 RAM ユーザー：acs:ram::<Alibaba Cloud アカウント ID>:user/<RAM ユーザー名>、例：`acs:ram::123456:user/user_a`。 RAM ロール：acs:ram::<Alibaba Cloud アカウント ID>:role/<RAM ロール名>、例：`acs:ram::123456:role/role_a`。
リソース	データレイクで管理されるリソースには、以下が含まれます。データカタログ：データレイク内のメタデータの最上位コンテナです。データカタログには複数のデータベースを含めることができます。データベース：データレイクのメタデータで管理されるデータベースです。テーブル：データレイクのメタデータで管理されるテーブルです。カラム：データレイクのメタデータで管理されるカラムです。関数：データレイクのメタデータで管理される関数です。
アクション	利用可能なアクションはリソースタイプによって異なります。たとえば、データベースは CreateTable および List 権限をサポートし、テーブルは Select および Update 権限をサポートし、カラムは Select 権限のみをサポートします。

権限の概要

次の表に、Data Lake Formation でサポートされている権限を示します。

リソース	アクション	説明
データカタログ	Alter	プリンシパルはデータカタログを変更できます。たとえば、`alter catalog <catalog_name> set ...` コマンドを実行します。
	Drop	プリンシパルはデータカタログを削除できます。たとえば、`drop catalog <catalog_name>` コマンドを実行します。
	Grant	プリンシパルはデータカタログに対する権限を付与できます。たとえば、`grant drop on catalog <catalog_name> to ...` コマンドを実行します。
	Create Database	プリンシパルはデータカタログにデータベースを作成できます。たとえば、`create database <catalog_name>.<database_name> ...` コマンドを実行します。
データベース	Describe	プリンシパルはデータベースのメタデータを表示したり、データベースに切り替えたりできます。たとえば、`desc database <database_name>` や `use <database_name>` などのコマンドを実行します。
	Alter	プリンシパルはデータベースを変更できます。たとえば、`alter database <database_name> set location '<path>'` コマンドを実行します。
	Drop	プリンシパルはデータベースを削除できます。たとえば、`drop database <database>` コマンドを実行します。
	Create Table	プリンシパルはデータベースにテーブルを作成できます。たとえば、`create table <database_name>.<table_name> ...` コマンドを実行します。
	List	プリンシパルはデータベース内のリソースのリストを表示できます。たとえば、`show tables` コマンドを実行します。重要 E-MapReduce Spark エンジンは、List アクションの権限検証をサポートしていません。リソースリストはユーザー権限でフィルターされず、すべてのリソースが表示されます。
テーブル	Describe	プリンシパルはテーブルのメタデータを表示できます。たとえば、`desc formatted <table_name>` コマンドを実行します。
	Alter	プリンシパルはテーブルを変更できます。たとえば、`alter table <table_name> add columns ...` や `alter table <table_name> drop partition ...` などのコマンドを実行します。
	Drop	プリンシパルはテーブルを削除できます。たとえば、`drop table <table_name>` コマンドを実行します。
	Select	プリンシパルはテーブルからデータを読み取ることができます。たとえば、`select * from <table_name>` コマンドを実行します。
	Update	プリンシパルはテーブル内のデータを更新できます。たとえば、`insert into table <table_name>` や `delete from <table_name> where ...` などのコマンドを実行します。
カラム	Select	プリンシパルはカラムからデータを読み取ることができます。たとえば、`select <column_name1>, <column_name2> from <table_name>` コマンドを実行します。
関数	Describe	プリンシパルは関数のメタデータを表示できます。
	Alter	プリンシパルは関数を変更できます。
	Drop	プリンシパルは関数を削除できます。
	Execute	プリンシパルは関数を使用または実行できます。

所有者権限

所有者

リソースの作成者がその所有者です。データベースまたはテーブルの所有者は、その基本情報で確認できます。

RAM ユーザーが Data Lake Formation でデータベースまたはテーブルを作成した場合、その RAM ユーザーがリソース所有者になります。所有者は、ユーザーのプリンシパルフォーマットによって識別されます。
Linux または LDAP ユーザーが E-MapReduce エンジンで SQL コマンドを実行してリソースを作成した場合、そのユーザーがリソース所有者になります。
Databricks エンジンはリソース所有者をサポートしていません。

重要

オープンソースのビッグデータシステムとの統合のため、Data Lake Formation は、同じユーザー名を持つ RAM ユーザーと Linux または LDAP ユーザーを同等の所有者として扱います。たとえば、acs:ram::<Alibaba Cloud アカウント ID>:user/user_a として指定された所有者は、user_a として指定された所有者と同等です。
Alibaba Cloud アカウントがリソース所有者である場合、同等の Linux または LDAP ユーザーは存在しません。acs:ram::<Alibaba Cloud アカウント ID>:root として指定された所有者は、root として指定された所有者と同等ではないことに注意してください。
Data Lake Formation コンソールでは、[データ権限] > [ユーザー] で RAM ユーザーのユーザー名を確認できます。E-MapReduce エンジンを使用する場合、ユーザー管理を使用して、RAM ユーザーと同じ名前の Linux または LDAP ユーザーを追加します。

権限

リソース所有者は、そのリソースに対するすべての権限を持ちます。たとえば、データベースの所有者が RAM ユーザー user_a である場合、user_a は Alter Database や Drop Database などの操作を実行できます。

重要

リソースに対する所有者権限は、その子リソースには及びません。たとえば、データベースの所有者は、データベース自体に対する所有者権限のみを持ち、そのデータベース内のテーブルに対する権限は持ちません。

検証

RAM ユーザーとして Data Lake Formation コンソールにログインすると、その RAM ユーザーまたは同等の ID が所有するリソースに対する所有者権限を持ちます。
E-MapReduce エンジンを使用してデータレイクのメタデータリソースにアクセスする場合、Linux または LDAP ユーザーとして識別され、そのユーザーまたは同等の ID が所有するリソースに対する所有者権限を持ちます。
Databricks エンジンは所有者権限の検証をサポートしていません。

サポートされるコンピュートエンジン

Data Lake Formation は E-MapReduce をサポートしています。次の表に、サポートの詳細を示します。

EMR メジャーバージョン		Hive	Spark	Presto	Impala
EMR 3.x	EMR-3.39.0 以前	サポート対象外	サポート対象外	サポート対象外	サポート対象外
	EMR-3.40.0	サポート対象	サポート対象	サポート対象	サポート対象外
	EMR-3.41.0 から EMR-3.43.1	サポート対象	サポート対象	サポート対象外	サポート対象外
	EMR-3.44.0 以降 (計画中)	サポート対象	サポート対象	サポート対象	サポート対象
EMR 5.x	EMR-5.5.0 以前	サポート対象外	サポート対象外	サポート対象外	サポート対象外
	EMR-5.6.0	サポート対象	サポート対象	サポート対象	サポート対象外
	EMR-5.7.0 から EMR-5.9.1	サポート対象	サポート対象	サポート対象外	サポート対象外
	EMR-5.10.0 以降 (計画中)	サポート対象	サポート対象	サポート対象	サポート対象