MaxCompute:権限付与のベストプラクティス

ユースケース：

プロジェクトメンバーのグループに、テーブルの作成、リソースのアップロード、関数の作成、タスクの実行の権限を付与します。プレフィックスが t_app_ で始まるテーブルに対しては、すべての権限が付与されます。

ユースケース：一部のテーブルはビジネスに不可欠であり、誤った削除から保護する必要があります。特定のユーザーが、プレフィックスが tb_ で始まるテーブルを削除できないようにします。

手順：

ユースケース：

ユーザー (a****@aliyunid.com) に、特定の条件を持つ一連の権限を付与します。このユーザーは、リクエストが 2018 年 11 月 11 日 23:59:59 より前に行われ、かつ送信元 IP アドレス範囲が 10.32.180.0/23 である場合にのみ、test_project プロジェクトで CreateInstance、CreateTable、および List アクションを実行できます。また、このユーザーが、そのプロジェクト内のいかなるテーブルも削除できないようにする必要があります。

手順：

ユースケース：

ビジネスアナリストは、本番タスクのコードを見ることなく、本番テーブルのデータを表示する必要があります。このアナリストに、複数の本番プロジェクトから特定のテーブルのサブセットへのアクセスを許可する必要があります。

解決策：

アナリストは本番タスクを見てはならないため、分析用に別のプロジェクトを作成できます。各本番プロジェクトでパッケージを作成し、共有したいテーブルをパッケージに追加してから、分析プロジェクトにそのパッケージのインストールを許可します。パッケージが分析プロジェクトにインストールされた後、アナリストに権限を付与できます。このアプローチでは、アナリストをすべての本番プロジェクトに追加する必要がなくなるため、管理上のオーバーヘッドが削減され、アナリストは分析プロジェクト内から共有された本番テーブルのみを表示できるようになります。

この例では、本番プロジェクト (Project_a) で Package_test という名前の パッケージ が作成されるワークフローを示します。本番 テーブル (table_a) がこの パッケージ に追加されます。その後、この パッケージ は分析プロジェクト (Project_analyze) にインストールされ、ユーザー (A*****@aliyunid.com) には、パッケージを介してテーブルをクエリする権限が付与されます。

手順：

1. 本番プロジェクトで、パッケージを作成します。

   USE Project_a;
   CREATE PACKAGE Package_test;

2. 本番プロジェクトで、共有したいリソースをパッケージに追加します。

   ADD table table_a TO PACKAGE Package_test;

3. 本番プロジェクトで、分析プロジェクトがパッケージをインストールすることを許可します。

   ALLOW PROJECT Project_analyze TO INSTALL PACKAGE Package_test;

4. 分析プロジェクトで、パッケージをインストールします。

   USE Project_analyze;
   INSTALL PACKAGE Project_a.Package_test;

5. アナリストにパッケージの読み取り権限を付与します。

   GRANT read on package Package_test TO USER ALIYUN$A*****@aliyunid.com;

6. アナリストはテーブルからデータをクエリできるようになります。

   select * from Project_a.table_a;

手順：

1. Project_a で、Alibaba Cloud アカウント A を使用して a_to_b_pkg という名前のパッケージを作成し、テーブル t1、t2、t3 をパッケージに追加します。

   USE Project_a;
   CREATE PACKAGE a_to_b_pkg; 
   ADD table t1 TO PACKAGE a_to_b_pkg;
   ADD table t2 TO PACKAGE a_to_b_pkg;
   ADD table t3 TO PACKAGE a_to_b_pkg;

2. (アカウント B が所有する) プロジェクト Project_b が、a_to_b_pkg パッケージをインストールすることを許可します。

   ALLOW PROJECT Project_b TO INSTALL PACKAGE a_to_b_pkg;

3. プロジェクト Project_b で、Alibaba Cloud アカウント B を使用して a_to_b_pkg パッケージをインストールします。

   INSTALL PACKAGE Project_a.a_to_b_pkg;

4. アカウント B の RAM ユーザーに、パッケージ内のテーブルに対する権限を付与します。

   add user ram$B:b_user1; 
   add user ram$B:b_user2; 
   GRANT Describe, Select ON TABLE t1 TO USER ram$B:b_user1 PRIVILEGEPROPERTIES ("refobject" = "true", "refproject"="project_a", "package"="project_a.a_to_b_pkg");-- b_user1 にテーブル t1 の読み取り権限を付与
   GRANT Describe, Select ON TABLE t2 TO USER ram$B:b_user1 PRIVILEGEPROPERTIES ("refobject" = "true", "refproject"="project_a", "package"="project_a.a_to_b_pkg");-- b_user1 にテーブル t2 の読み取り権限を付与
   GRANT Describe, Select ON TABLE t3 TO USER ram$B:b_user2 PRIVILEGEPROPERTIES ("refobject" = "true", "refproject"="project_a", "package"="project_a.a_to_b_pkg");-- b_user2 にテーブル t3 の読み取り権限を付与

ユースケース：

プロジェクト ProjectA の table_order という名前のテーブルには、すべてのマーチャントの注文情報が含まれています。このテーブルをマーチャントと共有する必要がありますが、各マーチャントは自身のストアに対応する注文のみを表示できるようにする必要があります。

解決策：

table_order テーブルには、データをフィルタリングするために使用できるマーチャント ID 列が含まれています。MaxCompute は行レベルのアクセス制御を直接サポートしていませんが、table_order テーブルに基づいてマーチャントごとに個別のビューを作成することで実装できます。その後、パッケージを使用して、各マーチャントに対応するビューへの権限を付与できます。この方法は、行レベルのアクセス制御を効果的に実現します。

手順：

1. ProjectA で、各マーチャント専用のビューを作成します。

   CREATE VIEW <viewname> as select * from table_order WHERE sellerid='xxxx';

   <viewname> は作成するビューの名前です。

2. ProjectA で、パッケージを作成し、ビューをマーチャントと共有します。

   create package <packagename>;
   add table <viewname> to package <packagename>;
   allow project <Projectname_seller> to install package <packagename>;

   <packagename> はパッケージの名前です。 <Projectname_seller> はマーチャントの MaxCompute プロジェクトの名前です。

3. マーチャントは自身のプロジェクトにパッケージをインストールし、ビューをクエリします。

   USE <Projectname_seller>;
   install package <ProjectA>.<packagename>;
   grant read on package <ProjectA>.<packagename> to user <username>;
   select * from <ProjectA>.<viewname>;

   <username> はマーチャントのプロジェクト内でビューをクエリするユーザーです。