MaxCompute:コマンドによるユーザーパーミッションの管理

ロール経由でオブジェクト操作のパーミッションを付与

ACL ベースのアクセス制御またはポリシーベースのアクセス制御を用いてロールにパーミッションを付与し、その後複数のユーザーにロールを割り当てます。

ロールへのパーミッション付与の詳細については、「ロールへのオブジェクト操作パーミッションの付与」をご参照ください。

例

プロジェクトオーナー（ALIYUN$5527xxxxxxxx5789）が、RAM ユーザーのアレン、アリス、トムに対して、test_project_a プロジェクト内でテーブル、モデル、関数、インスタンスを作成する権限およびすべてのオブジェクト一覧を表示する権限を付与する必要があります：

-- プロジェクトに切り替えます。
use test_project_a;
-- RAM ユーザーをプロジェクトに追加します。
add user RAM$5527xxxxxxxx5788:2763xxxxxxxxxx1649;
add user RAM$5527xxxxxxxx5788:2763xxxxxxxxxx1650;
add user RAM$5527xxxxxxxx5788:2763xxxxxxxxxx1651;
-- ロールを作成します。
create role Worker;
-- ACL ベースのアクセス制御を用いてロールにパーミッションを付与します（方法 1）。
grant CreateTable, CreateFunction, CreateInstance, List on project test_project_a to ROLE Worker;
-- ポリシーベースのアクセス制御を用いてロールにパーミッションを付与します（方法 2）。
grant CreateTable, CreateFunction, CreateInstance, List
      on project test_project_a
      to ROLE Worker privilegeproperties("policy" = "true", "allow"="true");
-- 3 人のユーザー全員にロールを割り当てます。
grant Worker to RAM$5527xxxxxxxx5788:2763xxxxxxxxxx1649;
grant Worker to RAM$5527xxxxxxxx5788:2763xxxxxxxxxx1650;
grant Worker to RAM$5527xxxxxxxx5788:2763xxxxxxxxxx1651;

ロールベースのユーザーからオブジェクト操作のパーミッションを取り消す

以下の 2 つの方法があります。影響を受けるユーザー数に応じて選択してください：

• ロールからパーミッションを取り消す — ロールが割り当てられているすべてのユーザーが即座に当該パーミッションを失います。

• 特定のユーザーからロールを取り消す — 当該ユーザーのみがパーミッションを失い、他のユーザーには影響しません。

例

ロール Worker を持つアレン、アリス、トムからオブジェクト操作のパーミッションを取り消します：

方法 1：ロール Worker からパーミッションを取り消す（3 人のユーザーすべてに影響）：

-- test_project_a プロジェクトに切り替えます。
use test_project_a;
-- ユーザー アレンからパーミッションを取り消します。
revoke Label 4 on table sale_detail from USER RAM$5527xxxxxxxx5788:2763xxxxxxxxxx1649;

-- test_project_a プロジェクトに切り替えます。
use test_project_a;
-- ユーザー アレンにパーミッションを付与します。
grant Label 4 on table sale_detail to USER RAM$5527xxxxxxxx5788:2763xxxxxxxxxx1649;

-- test_project_a プロジェクトに切り替えます。
use test_project_a;
-- アレンからダウンロードパーミッションを取り消します。
revoke Download on table sale_detail from USER RAM$5527xxxxxxxx5788:2763xxxxxxxxxx1649;

-- test_project_a プロジェクトに切り替えます。
use test_project_a;
-- アレンにダウンロードパーミッションを付与します。
grant Download on table sale_detail to USER RAM$5527xxxxxxxx5788:2763xxxxxxxxxx1649;

-- test_project_a プロジェクトに切り替えます。
use test_project_a;
-- トムからパーミッションを取り消します。
revoke All on instance 202112300224**** from USER RAM$5527xxxxxxxx5788:2763xxxxxxxxxx1651;

-- test_project_a プロジェクトに切り替えます。
use test_project_a;
-- トムからパーミッションを取り消します。
revoke Read, Write on function udf_test from USER RAM$5527xxxxxxxx5788:2763xxxxxxxxxx1651;

-- test_project_a プロジェクトに切り替えます。
use test_project_a;
-- アリスからパーミッションを取り消します。
revoke Read, Write on resource udtf.jar from USER RAM$5527xxxxxxxx5788:2763xxxxxxxxxx1650;

-- test_project_a プロジェクトに切り替えます。
use test_project_a;
-- アレンからパーミッションを取り消します。
revoke Describe, Select on table sale_detail from USER RAM$5527xxxxxxxx5788:2763xxxxxxxxxx1649;

-- test_project_a プロジェクトに切り替えます。
use test_project_a;
-- Alibaba Cloud ユーザーからパーミッションを取り消します。
revoke CreateTable, CreateFunction, CreateInstance, List on project test_project_a from user ALIYUN$5527xxxxxxxx5788;

-- test_project_a プロジェクトに切り替えます。
use test_project_a;
-- トムを test_project_a プロジェクトに追加します。
add user RAM$5527xxxxxxxx5788:2763xxxxxxxxxx1651;
-- トムにパーミッションを付与します。
grant All on instance 202112300224**** to USER RAM$5527xxxxxxxx5789:2763xxxxxxxxxx1651;

-- test_project_a プロジェクトに切り替えます。
use test_project_a;
-- トムを test_project_a プロジェクトに追加します。
add user RAM$5527xxxxxxxx5789:2763xxxxxxxxxx1651;
-- トムにパーミッションを付与します。
grant Read, Write on function udf_test to USER RAM$5527xxxxxxxx5789:2763xxxxxxxxxx1651;

-- test_project_a プロジェクトに切り替えます。
use test_project_a;
-- アリスを test_project_a プロジェクトに追加します。
add user RAM$5527xxxxxxxx5789:2763xxxxxxxxxx1650;
-- アリスにパーミッションを付与します。
grant Read, Write on resource udtf.jar to USER RAM$5527xxxxxxxx5789:2763xxxxxxxxxx1650;

-- test_project_a プロジェクトに切り替えます。
use test_project_a;
-- アレンを test_project_a プロジェクトに追加します。
add user RAM$5527xxxxxxxx5789:2763xxxxxxxxxx1649;
-- RAM ロールを test_project_a プロジェクトに追加します。
add user `RAM$5527xxxxxxxx5789:role/ram_role`;
-- RAM ユーザー アレンにパーミッションを付与します。
grant CreateTable, List on project test_project_a to USER RAM$5527xxxxxxxx5789:2763xxxxxxxxxx1649;
grant Describe, Select on table sale_detail to USER RAM$5527xxxxxxxx5789:2763xxxxxxxxxx1649;
-- RAM ロールにパーミッションを付与します。
grant CreateTable, List on project test_project_a to USER `RAM$5527xxxxxxxx5789:role/ram_role`;
grant Describe, Select on table sale_detail to USER `RAM$5527xxxxxxxx5789:role/ram_role`;

-- ALIYUN$5527xxxxxxxx5789 が test_project_a プロジェクトに切り替えます。
use test_project_a;
-- MaxCompute プロジェクトに ALIYUN$5527xxxxxxxx5788 を追加します。
add user ALIYUN$5527xxxxxxxx5788;
-- ALIYUN$5527xxxxxxxx5789 が ALIYUN$5527xxxxxxxx5788 にパーミッションを付与します。
grant CreateTable, CreateFunction, CreateInstance, List on project test_project_a to user ALIYUN$5527xxxxxxxx5788;

-- test_project_a プロジェクトに切り替えます。
use test_project_a;
-- ユーザーから Worker ロールを取り消します。アレンは最大感度レベル 2 のデータのみにアクセス可能になります。アリスとトムは引き続き最大感度レベル 4 のデータにアクセスできます。
revoke Worker from RAM$5527xxxxxxxx5788:2763xxxxxxxxxx1649;

-- test_project_a プロジェクトに切り替えます。
use test_project_a;
-- Worker ロールを作成します。
create role Worker;
-- Worker ロールにパーミッションを付与します。
grant Label 4 on table <table_name> to ROLE Worker;  -- table_name は送信先テーブルの名前です。
-- ユーザーに Worker ロールを割り当てます。
grant Worker to RAM$5527xxxxxxxx5788:2763xxxxxxxxxx1649;
grant Worker to RAM$5527xxxxxxxx5788:2763xxxxxxxxxx1650;
grant Worker to RAM$5527xxxxxxxx5788:2763xxxxxxxxxx1651;

-- test_project_a プロジェクトに切り替えます。
use test_project_a;
-- ユーザーから Worker ロールを取り消します。アレンのみがダウンロードパーミッションを失います。
revoke Worker from RAM$5527xxxxxxxx5788:2763xxxxxxxxxx1649;

-- Bob が test_project_a プロジェクトに切り替えます。
use test_project_a;
-- Bob がアレン、アリス、トムを test_project_a プロジェクトに追加します。
add user RAM$5527xxxxxxxx5788:2763xxxxxxxxxx1649;
add user RAM$5527xxxxxxxx5788:2763xxxxxxxxxx1650;
add user RAM$5527xxxxxxxx5788:2763xxxxxxxxxx1651;
-- Bob が Worker ロールを作成します。
create role Worker;
-- Bob が Worker ロールにパーミッションを付与します。
grant download on table sale_detail to ROLE Worker;
-- ユーザーに Worker ロールを割り当てます。
grant Worker to RAM$5527xxxxxxxx5788:2763xxxxxxxxxx1649;
grant Worker to RAM$5527xxxxxxxx5788:2763xxxxxxxxxx1650;
grant Worker to RAM$5527xxxxxxxx5788:2763xxxxxxxxxx1651;

-- test_project_a プロジェクトに切り替えます。
use test_project_a;
-- ユーザーから Worker ロールを取り消します。アレンのみが CreateTable、CreateFunction、CreateInstance、List の各パーミッションを失います。
revoke Worker from RAM$5527xxxxxxxx5788:2763xxxxxxxxxx1649;

-- プロジェクトに切り替えます。
use test_project_a;
-- ロールから ACL ベースのパーミッションを取り消します。
revoke CreateTable, CreateModel, CreateFunction, CreateInstance, List on project test_project_a from ROLE Worker;
-- ロールからポリシーベースのパーミッションを取り消します。
revoke CreateTable, CreateModel, CreateFunction, CreateInstance, List
      on project test_project_a
      from ROLE Worker privilegeproperties("policy" = "true", "allow"="true");

方法 2：アレンのみから Worker ロールを取り消します：

-- プロジェクトに切り替えます。
use test_project_a;
-- アレンからロールを取り消します。アリスとトムには影響しません。
revoke Worker from RAM$5527xxxxxxxx5788:2763xxxxxxxxxx1649;

ロール経由でダウンロードパーミッションを付与

ダウンロード制御メカニズムを用いてロールにダウンロードパーミッションを付与し、その後ユーザーにロールを割り当てます。

ロールへのダウンロードパーミッション付与の詳細については、「ロールへのダウンロードパーミッションの付与」をご参照ください。

例

RAM ユーザーのアレン、アリス、トムに、test_project_a プロジェクト内の特定のテーブルからデータをダウンロードする権限を付与します：

-- プロジェクトに切り替えます。
use test_project_a;
-- RAM ユーザーをプロジェクトに追加します。
add user RAM$5527xxxxxxxx5788:2763xxxxxxxxxx1649;
add user RAM$5527xxxxxxxx5788:2763xxxxxxxxxx1650;
add user RAM$5527xxxxxxxx5788:2763xxxxxxxxxx1651;
-- ロールを作成します。
create role Worker;
-- テーブルに対するロールのダウンロードパーミッションを付与します。
grant Download on table sale_detail to ROLE Worker;
-- 3 人のユーザー全員にロールを割り当てます。
grant Worker to RAM$5527xxxxxxxx5788:2763xxxxxxxxxx1649;
grant Worker to RAM$5527xxxxxxxx5788:2763xxxxxxxxxx1650;
grant Worker to RAM$5527xxxxxxxx5788:2763xxxxxxxxxx1651;

ロールベースのユーザーからダウンロードパーミッションを取り消す

以下の 2 つの方法があります：

• ロールからパーミッションを取り消す — ロールが割り当てられているすべてのユーザーが当該パーミッションを失います。

• 特定のユーザーからロールを取り消す — 当該ユーザーのみがパーミッションを失います。

例

方法 1：ロール Worker からダウンロードパーミッションを取り消す（アレン、アリス、トムに影響）：

-- プロジェクトに切り替えます。
use test_project_a;
revoke Download on table sale_detail from ROLE Worker;

方法 2：アレンのみから Worker ロールを取り消す：

-- プロジェクトに切り替えます。
use test_project_a;
revoke Worker from RAM$5527xxxxxxxx5788:2763xxxxxxxxxx1649;

ロール経由で機密データへのアクセスを付与

ラベルベースのアクセス制御またはポリシーベースのアクセス制御を用いてロールにラベル付きデータへのアクセス権を付与し、その後ユーザーにロールを割り当てます。

ロールへのラベルパーミッション付与の詳細については、「高秘密度データへのアクセス権をロールに付与」をご参照ください。

例

アレン、アリス、トムのデータアクセスレベルは 2 です。これらのユーザーに test_project_a プロジェクト内の感度レベル 4 のデータへのアクセス権を付与します：

-- プロジェクトに切り替えます。
use test_project_a;
-- ロールを作成します。
create role Worker;
-- ロールに感度レベル 4 のデータへのアクセス権を付与します。
grant Label 4 on table <table_name> to ROLE Worker;
-- ユーザーにロールを割り当てます。
grant Worker to RAM$5527xxxxxxxx5788:2763xxxxxxxxxx1649;
grant Worker to RAM$5527xxxxxxxx5788:2763xxxxxxxxxx1650;
grant Worker to RAM$5527xxxxxxxx5788:2763xxxxxxxxxx1651;

ロールベースのユーザーから機密データへのアクセスを取り消す

以下の 2 つの方法があります：

• ロールからパーミッションを取り消す — ロールが割り当てられているすべてのユーザーがアクセス権を失います。

• 特定のユーザーからロールを取り消す — 当該ユーザーのみがアクセス権を失います。

例

方法 1：ロール Worker からラベルパーミッションを取り消す（アレン、アリス、トムはアクセスレベル 2 に戻ります）：

-- プロジェクトに切り替えます。
use test_project_a;
revoke Label on table <table_name> from ROLE Worker;

方法2: Allen のみから Worker ロールを取り消す (Alice と Tom はアクセスレベル4を保持します):

-- プロジェクトに切り替えます。
use test_project_a;
revoke Worker from RAM$5527xxxxxxxx5788:2763xxxxxxxxxx1649;

プロジェクトに対するパーミッションの付与

構文

grant Read|Write|List|CreateTable|CreateInstance|CreateFunction|CreateResource|All
      on project <project_name>
      to USER <user_name> [privilegeproperties("conditions" = "<conditions>", "expires"="<days>")];

必須パラメーター

テーブルに対するパーミッションの付与

構文

grant Describe|Select|Alter|Update|Drop|ShowHistory|All
      on table <table_name> [(<column_list>)]
      to USER <user_name> [privilegeproperties("conditions" = "<conditions>", "expires"="<days>")];

必須パラメーター

オプションパラメーター

モデルに対するパーミッションの付与

構文

grant Describe|Execute|Alter|Drop|All
      on MODEL <model_name>
      to USER <user_name> [privilegeproperties("conditions" = "<conditions>", "expires"="<days>")];

必須パラメーター

リソースに対するパーミッションの付与

構文

grant Read|Write|Delete|All
      on resource <resource_name>
      to USER <user_name> [privilegeproperties("conditions" = "<conditions>", "expires"="<days>")];

必須パラメーター

関数に対するパーミッションの付与

構文

grant Read|Write|Delete|Execute|All
      on function <function_name>
      to USER <user_name> [privilegeproperties("conditions" = "<conditions>", "expires"="<days>")];

必須パラメーター

インスタンスに対するパーミッションの付与

構文

grant Read|Write|All
      on instance <instance_id>
      to USER <user_name> [privilegeproperties("conditions" = "<conditions>", "expires"="<days>")];

必須パラメーター

例

以下の例ではすべて test_project_a プロジェクトを使用し、プロジェクトオーナーは ALIYUN$5527xxxxxxxx5789 です。

例 1： Alibaba Cloud アカウントに、プロジェクト内でテーブル、関数、インスタンスを作成し、すべてのオブジェクト一覧を表示する権限を付与します：

-- プロジェクトに切り替えます。
use test_project_a;
-- Alibaba Cloud アカウントをプロジェクトに追加します。
add user ALIYUN$5527xxxxxxxx5788;
-- 必要なプロジェクトレベルのパーミッションを付与します。
grant CreateTable, CreateFunction, CreateInstance, List on project test_project_a to user ALIYUN$5527xxxxxxxx5788;

例 2： RAM ユーザーおよび RAM ロールに、プロジェクト内でテーブルを作成し、すべてのオブジェクト一覧を表示する権限、および特定のテーブルからメタデータとデータを読み取る権限を付与します：

-- プロジェクトに切り替えます。
use test_project_a;
-- RAM ユーザーおよび RAM ロールをプロジェクトに追加します。
add user RAM$5527xxxxxxxx5789:2763xxxxxxxxxx1649;
add user `RAM$5527xxxxxxxx5789:role/ram_role`;
-- プロジェクトレベルのパーミッションを付与します。
grant CreateTable, List on project test_project_a to USER RAM$5527xxxxxxxx5789:2763xxxxxxxxxx1649;
grant CreateTable, List on project test_project_a to USER `RAM$5527xxxxxxxx5789:role/ram_role`;
-- テーブルレベルのパーミッションを付与します。
grant Describe, Select on table sale_detail to USER RAM$5527xxxxxxxx5789:2763xxxxxxxxxx1649;
grant Describe, Select on table sale_detail to USER `RAM$5527xxxxxxxx5789:role/ram_role`;

例 3： RAM ユーザーにリソースに対する読み取りおよび書き込みアクセス権を付与します：

-- プロジェクトに切り替えます。
use test_project_a;
add user RAM$5527xxxxxxxx5789:2763xxxxxxxxxx1650;
grant Read, Write on resource udtf.jar to USER RAM$5527xxxxxxxx5789:2763xxxxxxxxxx1650;

例 4： RAM ユーザーに関数に対する読み取りおよび書き込みアクセス権を付与します：

-- プロジェクトに切り替えます。
use test_project_a;
add user RAM$5527xxxxxxxx5789:2763xxxxxxxxxx1651;
grant Read, Write on function udf_test to USER RAM$5527xxxxxxxx5789:2763xxxxxxxxxx1651;

例 5： RAM ユーザーにインスタンスに対するすべてのパーミッションを付与します：

-- プロジェクトに切り替えます。
use test_project_a;
add user RAM$5527xxxxxxxx5788:2763xxxxxxxxxx1651;
grant All on instance 202112300224**** to USER RAM$5527xxxxxxxx5789:2763xxxxxxxxxx1651;

プロジェクトに対するパーミッションの取り消し

構文

revoke Read|Write|List|CreateTable|CreateInstance|CreateFunction|CreateResource|All
      on project <project_name>
      from USER <user_name>;

必須パラメーター

テーブルに対するパーミッションの取り消し

構文

revoke Describe|Select|Alter|Update|Drop|ShowHistory|All
      on table <table_name> [(<column_list>)]
      from USER <user_name>;

必須パラメーター

モデルに対するパーミッションの取り消し

構文

revoke Describe|Execute|Alter|Drop|All
      on MODEL <model_name>
      from USER <user_name>;

必須パラメーター

リソースに対するパーミッションの取り消し

構文

revoke Read|Write|Delete|All
      on resource <resource_name>
      from USER <user_name>;

必須パラメーター

関数に対するパーミッションの取り消し

構文

revoke Read|Write|Delete|Execute|All
      on function <function_name>
      from USER <user_name>;

必須パラメーター

インスタンスに対するパーミッションの取り消し

構文

revoke Read|Write|All
      on instance <instance_id>
      from USER <user_name>;

必須パラメーター

例

例 1： Alibaba Cloud アカウントの、プロジェクト内でテーブル、関数、インスタンスを作成し、すべてのオブジェクト一覧を表示する権限を取り消します：

use test_project_a;
revoke CreateTable, CreateFunction, CreateInstance, List on project test_project_a from user ALIYUN$5527xxxxxxxx5788;

例 2： RAM ユーザーのテーブルに対する読み取りおよびメタデータアクセス権を取り消します：

use test_project_a;
revoke Describe, Select on table sale_detail from USER RAM$5527xxxxxxxx5788:2763xxxxxxxxxx1649;

例 3： RAM ユーザーのリソースに対する読み取りおよび書き込みアクセス権を取り消します：

use test_project_a;
revoke Read, Write on resource udtf.jar from USER RAM$5527xxxxxxxx5788:2763xxxxxxxxxx1650;

例 4： RAM ユーザーの関数に対する読み取りおよび書き込みアクセス権を取り消します：

use test_project_a;
revoke Read, Write on function udf_test from USER RAM$5527xxxxxxxx5788:2763xxxxxxxxxx1651;

例 5： RAM ユーザーのインスタンスに対するすべてのパーミッションを取り消します：

use test_project_a;
revoke All on instance 202112300224**** from USER RAM$5527xxxxxxxx5788:2763xxxxxxxxxx1651;