MaxCompute:ACL アクセスコントロール

ACL ベースのアクセスコントロールは、次のシナリオに適用されます。

ACL ベースのアクセスコントロールを使用する前に、次の情報を確認してください。

• 被付与者のアカウント名またはロール名。ユーザーまたはロールは MaxCompute プロジェクトに追加されている必要があります。アカウントの形式は次のとおりです。Alibaba Cloud アカウントは ALIYUN$<account_id> の形式、RAM ユーザーアカウントは RAM$<account_id>:<RAM user UID> の形式、RAM ロールは RAM$<account_id>:role/<RAM role name> の形式です。

  MaxCompute クライアントで list users; または list roles; コマンドを実行して、アカウント名またはロール名を取得できます。

  ユーザーまたはロールを追加するには、「ユーザー計画と管理」または「ロール計画」をご参照ください。

• オブジェクトタイプ、オブジェクト名、付与するアクション。

  オブジェクトタイプとアクションの詳細については、「MaxCompute の権限」をご参照ください。

ACL ベースのアクセスコントロールには、次の制限が適用されます。

• 権限は、既存のユーザーまたはロールに対し、既存のオブジェクトにのみ付与できます。これにより、同じ名前のオブジェクトを削除して再作成することによるセキュリティリスクを回避できます。

• ACL ベースのアクセスコントロールは、[with grant option] 句を使用した権限付与をサポートしていません。たとえば、ユーザー A がユーザー B にオブジェクトへのアクセスを許可した場合、ユーザー B はその権限をユーザー C に付与することはできません。

• ACL 権限付与は許可リストモデルを使用し、拒否リストモデルはサポートしていません。

ACL ベースのアクセスコントロールを使用する際は、次の点にご注意ください。

• オブジェクトを削除すると、MaxCompute はそのオブジェクトに関連付けられているすべての ACL 権限を自動的に取り消します。

• ユーザーを削除しても、権限は保持されます。その後、ユーザーをプロジェクトに再度追加すると、以前の権限が自動的に復元されます。ユーザーの権限を完全にクリアするには、「削除されたユーザーの残存権限をクリアする」をご参照ください。

ACL ベースのアクセスコントロールコマンドは、次の構文を使用します。

• ACL 権限の付与

  grant <actions> on <object_type> <object_name> 
  [(<column_list>)] to <subject_type> <subject_name> 
  [privilegeproperties("conditions" = "<conditions>", "expires"="<days>")];

• ACL 権限の取り消し

  revoke <actions> on <object_type> <object_name> 
  [(<column_list>)] from <subject_type> <subject_name>;

• 列レベルのアクセスコントロール

  grant <actions> on table <table_name> (<column_list>) to <subject_type> <subject_name>;
  revoke <actions> on table <table_name> (<column_list>) from <subject_type> <subject_name>;

次の表に、パラメーターを示します。

Bob@aliyun.com (アカウント ID: 5527xxxxxxxx5788) が test_project_a のプロジェクト所有者であり、Allen (UID: 1652xxxxxxxxxx1538)、Alice (UID: 2763xxxxxxxxxx1649)、Tom (UID: 3874xxxxxxxxxx1850) が Bob@aliyun.com の RAM ユーザーであると仮定します。以下の例は、MaxCompute クライアントを使用した権限付与操作を示しています。

• 例 1：ユーザーへの権限付与

  test_project_a プロジェクトに sale_detail テーブルを作成し、ユーザー Allen にテーブルの Describe (メタデータの読み取り) と Select (データの読み取り) 権限を付与します。以下にサンプルコマンドを示します。

  -- Bob が test_project_a プロジェクトに切り替えます。
  use test_project_a; 
  -- sale_detail という名前のパーティションテーブルを作成します。
  create table if not exists sale_detail
  (
  shop_name     string,
  customer_id   string,
  total_price   double
  )
  partitioned by (sale_date string, region string);
  -- ユーザー Allen をプロジェクトメンバーとして追加します。
  add user RAM$5527xxxxxxxx5788:1652xxxxxxxxxx1538;
  -- Allen に権限を付与します。
  grant Describe, Select on table sale_detail to USER RAM$5527xxxxxxxx5788:1652xxxxxxxxxx1538;
  -- Allen に付与された権限を表示します。
  show grants for RAM$5527xxxxxxxx5788:1652xxxxxxxxxx1538; 
  -- 権限付与の結果は次のとおりです。
  Authorization Type: ACL
  [user/RAM$5527xxxxxxxx5788:1652xxxxxxxxxx1538]
  A       projects/test_project_a/tables/sale_detail: Describe | Select

• 例 2：ユーザーへの列レベルの権限付与

  例 1 で作成した sale_detail テーブルを使用して、ユーザー Alice に sale_detail テーブルの shop_name 列と customer_id 列のすべての権限を付与します。以下にサンプルコマンドを示します。

  -- Bob が test_project_a プロジェクトに切り替えます。
  use test_project_a; 
  -- ユーザー Alice をプロジェクトメンバーとして追加します。
  add user RAM$5527xxxxxxxx5788:2763xxxxxxxxxx1649;
  -- Alice に列レベルの権限を付与します。
  grant All on table sale_detail (shop_name, customer_id) to USER RAM$5527xxxxxxxx5788:2763xxxxxxxxxx1649;
  -- Alice に付与された権限を表示します。
  show grants for RAM$5527xxxxxxxx5788:2763xxxxxxxxxx1649; 
  -- 権限付与の結果は次のとおりです。
  Authorization Type: ACL
  [user/RAM$5527xxxxxxxx5788:2763xxxxxxxxxx1649]
  A       projects/test_project_a/tables/sale_detail/customer_id: All
  A       projects/test_project_a/tables/sale_detail/shop_name: All

• 例 3：ユーザーからの権限の取り消し

  例 1 と例 2 に基づいて、ユーザー Allen と Alice から権限を取り消します。以下にサンプルコマンドを示します。

  -- Bob が test_project_a プロジェクトに切り替えます。
  use test_project_a; 
  -- Allen から権限を取り消します。
  revoke Describe, Select on table sale_detail from USER RAM$5527xxxxxxxx5788:1652xxxxxxxxxx1538;
  -- Alice から権限を取り消します。
  revoke All on table sale_detail (shop_name, customer_id) from USER RAM$5527xxxxxxxx5788:2763xxxxxxxxxx1649;
  -- 取り消し後の Allen の権限を確認します。 Describe と Select 権限が権限リストから削除されます。
  show grants for RAM$5527xxxxxxxx5788:1652xxxxxxxxxx1538; 
  -- 取り消し後の Alice の権限を確認します。 All 権限が権限リストから削除されます。
  show grants for RAM$5527xxxxxxxx5788:2763xxxxxxxxxx1649; 

• 例 4：ロールを使用して複数のユーザーに同じ権限を付与する

  Alice、Tom、および別の Alibaba Cloud アカウント Lily@aliyun.com (アカウント ID: 5638xxxxxxxx6899) に、インスタンス、リソース、関数、およびテーブルを作成し、test_project_a プロジェクト内のすべてのオブジェクトタイプを一覧表示する権限を付与します。以下にサンプルコマンドを示します。

  -- Bob が test_project_a プロジェクトに切り替えます。
  use test_project_a; 
  -- ユーザー Alice、Tom、および Lily@aliyun.com をプロジェクトメンバーとして追加します。
  add user RAM$5527xxxxxxxx5788:2763xxxxxxxxxx1649;
  add user RAM$5527xxxxxxxx5788:3874xxxxxxxxxx1850;
  add user ALIYUN$5638xxxxxxxx6899;
  -- Worker ロールを作成します。
  create role Worker; 
  -- ユーザーに Worker ロールを割り当てます。
  grant Worker TO RAM$5527xxxxxxxx5788:2763xxxxxxxxxx1649; 
  grant Worker TO RAM$5527xxxxxxxx5788:3874xxxxxxxxxx1850; 
  grant Worker TO ALIYUN$5638xxxxxxxx6899; 
  -- Worker ロールに、インスタンス、リソース、関数、テーブルを作成し、test_project_a プロジェクト内のすべてのオブジェクトタイプを一覧表示する権限を付与します。
  grant CreateInstance, CreateResource, CreateFunction, CreateTable, List on project test_project_a TO ROLE Worker;
  -- ユーザー Lily の権限を表示します。
  show grants for ALIYUN$5638xxxxxxxx6899; 
  -- 次の権限付与結果は、ユーザー Lily が指定された権限を持っていることを示します。
  [roles]
  worker
  
  Authorization Type: ACL
  [role/worker]
  A       projects/test_project_a: CreateTable | CreateResource | CreateInstance | CreateFunction | List

• 例 5：複数のユーザーから同じロールベースの権限を取り消す

  例 4 に基づいて、ユーザー Alice、Tom、および Lily@aliyun.com から権限を取り消します。以下にサンプルコマンドを示します。

  -- Bob が test_project_a プロジェクトに切り替えます。
  use test_project_a; 
  -- ユーザー Alice、Tom、および Lily@aliyun.com から Worker ロールを取り消します。
  revoke Worker from RAM$5527xxxxxxxx5788:2763xxxxxxxxxx1649;
  revoke Worker from RAM$5527xxxxxxxx5788:3874xxxxxxxxxx1850;
  revoke Worker from ALIYUN$5638xxxxxxxx6899;
  -- 取り消し後の Lily の権限を確認します。権限リストに Worker ロールは含まれなくなります。
  show grants for ALIYUN$5638xxxxxxxx6899; 

ACL 権限付与の仕組みを理解したら、ビジネスニーズに応じて権限を管理できます。

• プロジェクトレベルのロール権限付与

• コマンドを使用したユーザー権限の管理

• ユーザー、ロール、またはオブジェクトの権限の照会