MaxCompute:組み込みロールが割り当てられたユーザーのポリシーベースの権限管理

この操作は、プロジェクト所有者、または Super_Administrator ロールまたは Admin ロールが割り当てられたユーザーのみが実行できます。ビジネス要件に基づいて、次のいずれかの方法を使用して、RAM ユーザー Alice から権限を取り消すことができます。

• ロールに付与されている権限を取り消し、ロールを保持する

  次の手順を実行します。

  1. MaxCompute クライアントをインストールして起動します。

  2. REVOKE 文を実行して、delete_test ロールに付与されている権限を取り消します。これにより、delete_test ロールは、名前が tb_ で始まるテーブルを削除できるようになります。

     文の例：

     REVOKE DROP ON TABLE tb_* FROM ROLE delete_test privilegeproperties("policy" = "true", "allow"="false");

     REVOKE 構文の詳細については、「ポリシーベースのアクセス制御とダウンロード制御」の「GRANT 文を使用したポリシーベースのアクセス制御」セクションをご参照ください。

  3. SHOW GRANTS 文を実行して、RAM ユーザー Alice の権限を表示します。文の例：

     SHOW GRANTS FOR ram$bo*@aliyun.com:Alice;

     次の結果が返されます。

     [roles]
     role_project_admin, delete_test                                 -- delete_test ロールは保持されます。
     
     Authorization Type: Policy                                      -- 権限は取り消されます。
     [role/role_project_admin]
     A       projects/mcproject_name: *
     A       projects/mcproject_name/instances/*: *
     A       projects/mcproject_name/jobs/*: *
     A       projects/mcproject_name/offlinemodels/*: *
     A       projects/mcproject_name/packages/*: *
     A       projects/mcproject_name/registration/functions/*: *
     A       projects/mcproject_name/resources/*: *
     A       projects/mcproject_name/tables/*: *
     A       projects/mcproject_name/volumes/*: *
     
     Authorization Type: ObjectCreator
     AG      projects/mcproject_name/tables/local_test: All
     AG      projects/mcproject_name/tables/mr_multiinout_out1: All
     AG      projects/mcproject_name/tables/mr_multiinout_out2: All
     AG      projects/mcproject_name/tables/ramtest: All
     AG      projects/mcproject_name/tables/tb_test: All
     AG      projects/mcproject_name/tables/wc_in: All
     AG      projects/mcproject_name/tables/wc_in1: All
     AG      projects/mcproject_name/tables/wc_in2: All
     AG      projects/mcproject_name/tables/wc_out: All

     ユーザー権限の表示方法の詳細については、「MaxCompute SQL を使用した権限のクエリ」をご参照ください。

  4. Alice として MaxCompute クライアントにログオンし、DROP TABLE 文を実行して、名前が tb_ で始まるテーブルを削除します。

     文の例：

     DROP TABLE tb_test;

     OK が返された場合、権限は取り消されます。

• ユーザーからロールを取り消し、必要に応じてロールを削除する

  次の手順を実行します。

  1. MaxCompute クライアントをインストールして起動します。

  2. REVOKE 文を実行して、Alice から delete_test ロールを取り消します。

     文の例：

     REVOKE delete_test FROM ram$bo*@aliyun.com:Alice;

     ユーザーからロールを取り消す方法の詳細については、「ロール計画」をご参照ください。

  3. SHOW GRANTS 文を実行して、RAM ユーザー Alice の権限を表示します。文の例：

     SHOW GRANTS FOR ram$bo*@aliyun.com:Alice; 

     次の結果が返されます。

     [roles]
     role_project_admin                                           -- delete_test ロールは取り消されます。
     
     Authorization Type: Policy
     [role/role_project_admin]
     A       projects/mcproject_name: *
     A       projects/mcproject_name/instances/*: *
     A       projects/mcproject_name/jobs/*: *
     A       projects/mcproject_name/offlinemodels/*: *
     A       projects/mcproject_name/packages/*: *
     A       projects/mcproject_name/registration/functions/*: *
     A       projects/mcproject_name/resources/*: *
     A       projects/mcproject_name/tables/*: *
     A       projects/mcproject_name/volumes/*: *
     
     Authorization Type: ObjectCreator
     AG      projects/mcproject_name/tables/local_test: All
     AG      projects/mcproject_name/tables/mr_multiinout_out1: All
     AG      projects/mcproject_name/tables/mr_multiinout_out2: All
     AG      projects/mcproject_name/tables/ramtest: All
     AG      projects/mcproject_name/tables/wc_in: All
     AG      projects/mcproject_name/tables/wc_in1: All
     AG      projects/mcproject_name/tables/wc_in2: All
     AG      projects/mcproject_name/tables/wc_out: All

  4. Alice として MaxCompute クライアントにログオンし、DROP TABLE 文を実行して、名前が tb_ で始まるテーブルを削除します。

     文の例：

     DROP TABLE tb_test;

     OK が返された場合、権限は取り消されます。

  5. オプション。DROP ROLE 文を実行して、delete_test ロールを削除します。

     文の例：

     DROP ROLE delete_test;

     OK が返された場合、ロールは削除されます。ロールの削除方法の詳細については、「ロール計画」をご参照ください。