DataWorks:RAM ユーザーの権限管理のベストプラクティス

権限管理の概要

次の図は、2 つの権限付与メカニズムがどのように連携して機能するかを示しています。

DataWorks は権限を 2 つのレベルに整理します：

• プロダクトレベル：RAM ユーザーが DataWorks サービスを管理できるか、リソースを購入できるか、またはすべての操作からブロックされるかを制御します。Resource Access Management (RAM) コンソールで RAM ポリシーを使用して構成します。

• サービスモジュールレベル：RAM ユーザーが特定のサービスモジュール内 (ワークスペースでのデータ開発や O&M 操作など) で実行できる内容を制御します。RAM ポリシー (コンソールおよびリソースグループの操作用) または RBAC ロール (ワークスペースおよびグローバルサービスモジュール用) を使用して構成します。

以下のセクションで各レベルについて詳しく説明します：

• プロダクトレベルの権限

• サービスモジュールレベルの権限：コンソールおよびリソースグループの操作

• サービスモジュールレベルの権限：ワークスペースおよびグローバルサービスモジュール

プロダクトレベルの権限

RAM ポリシーを使用して、DataWorks へのプロダクトレベルのアクセスを付与または制限します。

サービスモジュールレベルの権限：コンソールおよびリソースグループの操作

RAM ポリシーを使用して、RAM ユーザーが DataWorks コンソールでワークスペースとリソースグループを管理できるようにします。

デフォルトでは、Alibaba Cloud アカウント (root ユーザー) のみがワークスペースまたはリソースグループの構成を変更したり、リソースグループを削除したりできます。これらの権限を RAM ユーザーに付与するには、許可される正確な操作を指定するカスタム RAM ポリシーを作成してアタッチします。

必要な RAM ポリシーは、RAM ユーザーに実行させたい操作によって異なります。ポリシーの例については、「カスタム RAM ポリシー：コンソール操作のための詳細な権限制御」をご参照ください。

手順：

1. RAM コンソールにログインします。

2. カスタムポリシーを作成します。

3. カスタムポリシーを RAM ユーザーにアタッチします。

サービスモジュールレベルの権限：ワークスペースおよびグローバルサービスモジュール

RBAC ロールを使用して、RAM ユーザーが DataWorks サービスモジュール内で実行できる内容を制御します。これらの割り当ては [ワークスペース管理] ページで管理します。

付録 1：すべての操作のブロック

このポリシーをアタッチすると、RAM ユーザーのすべての DataWorks 操作 (コンソールアクセス、サービスモジュールの機能、API 呼び出しを含む) がブロックされます。

{
    "Version": "1",
    "Statement": [
        {
            "Effect": "Deny",
            "Action": "dataworks:*",
            "Resource": "*"
        }
    ]
}

付録 2: ブロック API オペレーション

このポリシーをアタッチすると、RAM ユーザーによるすべての DataWorks API オペレーションの呼び出しがブロックされます。コンソールアクセスは影響を受けません。

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Deny",
      "Action": "dataworks:*",
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "dataworks:Scope": "OpenAPI"
        }
      }
    }
  ]
}

付録 3：サービスモジュールへのアクセスのブロック

このポリシーをアタッチすると、RAM ユーザーがコンソールで DataWorks サービスモジュールにアクセスできなくなります。

{
    "Version": "1",
    "Statement": [
        {
            "Effect": "Deny",
            "Action": "dataworks:*",
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "dataworks:Scope": "Page"
                }
            }
        }
    ]
}