:プロジェクトレベルのテナントリソースアクセス制御

背景情報

MaxCompute のリソースオブジェクトには、テナントオブジェクトとプロジェクトレベルのオブジェクトが含まれます。

• テナントオブジェクト：外部データソース、ネットワーク接続、カスタムイメージ、クォータグループなどが該当します。テナント管理者は RAM ポリシーを用いて、これらのリソースに対する権限を制御します。

• プロジェクトレベルのオブジェクト：スキーマ、テーブル、ロール、インスタンス、リソース、関数、ビューなど、プロジェクトに属するオブジェクトです。プロジェクト管理者は MaxCompute 独自の権限付与モデルを用いて、これらのオブジェクトに対する権限を制御します。

テナントオブジェクトは複数のプロジェクト間で共用できます。デフォルトでは、MaxCompute はプロジェクトが特定のテナントオブジェクトを利用する権限を持っているかをチェックしません。したがって、テナントオブジェクトの所有者が特定のプロジェクトによる利用を許可しない場合、プロジェクトレベルのテナントリソースアクセス制御を有効化することで、当該リソースを明示的に特定のプロジェクトに紐付けられます。これは任意の強化型アクセス制御モデルです。

利用方法

MaxCompute では、プロジェクトレベルでテナントオブジェクトへのアクセスを制御するための、2 つのセキュリティモデルを提供しています。

プロジェクトレベルのテナントリソースアクセス制御の有効化

プロジェクトレベルのテナントリソースアクセス制御を有効化するには、以下の手順を実行します：

1. テナントオブジェクトのプロジェクトへのマウント:

   1. MaxCompute コンソール にログインし、左上隅からリージョンを選択します。

   2. 左側のナビゲーションウィンドウより、対象オブジェクトの設定ページへ移動します：構成の管理 > クォータ管理、構成の管理 > ネットワーク接続、構成の管理 > 外部データソース、または 構成の管理 > イメージ管理。

   3. 対象オブジェクトの操作列で、強化されたアクセス制御 をクリックし、マウント先のプロジェクトを選択して設定を完了します。

2. マウント済みのテナントオブジェクトを確認します：

   1. 左側のナビゲーションウィンドウより、構成の管理 > プロジェクト管理 を選択します。プロジェクト管理 ページで、対象プロジェクトの操作列にある管理 をクリックして、プロジェクト設定ページを開きます。

   2. プロジェクト設定 ページで、パラメーター設定 タブを選択します。権限属性 セクションで、編集 をクリックします。その後、プロジェクトにバインドされたテナントリソースの表示 をクリックして、プロジェクトとネットワーク接続、外部データソース、カスタムイメージ、クォータグループなどのリソースとのマウント状況を確認します。

3. プロジェクトにマウント済みのテナントオブジェクトに対してポリシーを適用します：

   1. 左側のナビゲーションウィンドウより、構成の管理 > プロジェクト管理 を選択します。プロジェクト管理 ページで、対象プロジェクトの操作列にある管理 をクリックして、プロジェクト設定ページを開きます。

   2. プロジェクト設定 ページで、ロール権限 タブを選択します。対象のプロジェクトレベルのロールを見つけ、操作列のロールの編集 をクリックします。

   3. ロールの編集 ダイアログボックスで、権限付与方法 を ポリシー に設定します。

   4. ポリシー権限付与 スクリプトボックスで、ロールポリシーを変更できます。

      たとえば、以下のポリシーでは、プロジェクト project_a 内のユーザー a が 500 CU のクォータを利用する権限を付与しています：

      {
          "Statement":[
              {
                  "Action":[
                      "odps:Usage"
                  ],
                  "Effect":"Allow",
                  "Resource":[
                      "acs:odps:*:regions/*/quotas/500cu"
                  ]
              }
          ],
          "Version":"1"
      }

      ユーザー a にプロジェクト project_a 内でのテナントリソース利用権限を付与した後、プロジェクトレベルのテナントリソースアクセス制御が有効化されている場合、ユーザーまたはロール単位でテナントリソースへのアクセスを制御できます。

   5. ポリシー設定の詳細については、「ポリシーに基づくアクセス制御」をご参照ください。

プロジェクトで使用されるテナントリソースの照会

プロジェクトが使用するテナントリソースを照会する方法は、シナリオに応じて異なります。

関連ドキュメント

テナントリソースに関する詳細については、以下のトピックをご参照ください：

• 外部データソース

• ネットワーク接続

• クォータグループ