MaxCompute:権限の概要

MaxComputeの認証プロセスは、オブジェクトと操作に基づいて、RAM認証とMaxComputeサービス認証に分けられます。 次の図は、ユーザーが操作を実行する前に必要な認証プロセスを示しています。

ユーザーがMaxComputeコンソールでサービスの有効化、リソースの購入、クォータ、プロジェクト、またはテナントの管理を行う必要がある場合、Alibaba Cloudはユーザーに対してRAM認証を実行し、ユーザーに関連する権限が付与されているかどうかを確認します。 ユーザーに関連する権限が付与されていない場合、ユーザーは操作を実行できません。

• RAM認証が必要な操作の一覧については、「RAM権限」をご参照ください。

• RAMユーザーまたはRAMロールにシステムポリシーをアタッチする方法の詳細については、「RAMユーザーへの権限の付与」をご参照ください。

MaxComputeとDataWorks間の権限関係を理解する前に、MaxComputeプロジェクトとDataWorksワークスペース間の関係を理解する必要があります。

• MaxComputeプロジェクトを作成するときに、DataWorksワークスペースの基本モードを選択すると、DataWorksワークスペースはMaxComputeプロジェクトに関連付けられます。

• MaxComputeプロジェクトを作成するときに、DataWorksワークスペースに標準モードを選択すると、DataWorksワークスペースは開発環境のMaxComputeプロジェクトと本番環境のMaxComputeプロジェクトに関連付けられます。 開発環境のMaxComputeプロジェクトの場合、プロジェクト名の接尾辞は_devです。

また、MaxComputeプロジェクトの訪問者IDを設定して、MaxComputeプロジェクトのアカウントのポリシーを決定する必要があります。

ユーザーとロールの概念は、DataWorksとMaxComputeの両方に存在します。 次のコンテンツでは、DataWorksとMaxComputeの間の権限関係について説明します。

• ロールとその権限

  DataWorksは組み込みロールを使用して、プロジェクトメンバーがデータを開発するためのMaxComputeプロジェクトのリソースに対する権限を提供します。 次の表に、MaxComputeロールとDataWorks組み込みロールの間の権限関係を示します。

  マッピング		権限の説明
  DataWorksロールまたはID	MaxComputeロール	DataWorks開発環境と関連するMaxComputeプロジェクトのデータに対する権限	DataWorks本番環境と関連するMaxComputeプロジェクトのデータに対する権限	DataWorksの権限の説明
  ワークスペース管理者	Role_Project_Admin	MaxCompute: このロールには、プロジェクト内のプロジェクトとテーブル、関数、リソース、インスタンス、ジョブに対するすべての権限があり、プロジェクト内のパッケージに対する読み取り権限があります。 DataWorks: このロールには、データ開発操作を実行し、実稼働環境にタスクをデプロイする権限があります。	デフォルトでは権限はありません。 セキュリティセンターで必要な権限を要求する必要があります。	ワークスペース管理者ロールを持つユーザーは、ワークスペースの管理者です。 管理者は、基本プロパティ、データソース、計算エンジン構成、およびワークスペースのメンバーを管理する権限を持ち、ワークスペースのメンバーにワークスペース管理者、開発者、O&M、デプロイ、または訪問者のロールを割り当てることができます。
  開発	Role_Project_Dev	MaxCompute: このロールには、プロジェクト内のプロジェクトとテーブル、関数、リソース、インスタンス、ジョブに対するすべての権限があり、プロジェクト内のパッケージに対する読み取り権限があります。 DataWorks: このロールには、データ開発操作を実行する権限がありますが、実稼働環境にタスクをデプロイする権限はありません。	デフォルトでは権限はありません。 セキュリティセンターで必要な権限を要求する必要があります。	Developmentロールを持つユーザーは、ワークフロー、スクリプトファイル、リソース、ユーザー定義関数 (UDF) 、テーブル、デプロイメントタスクを作成し、テーブルを削除する権限を持ちますが、デプロイメント操作を実行する権限はありません。
  O&M	Role_Project_Pe	このロールには、プロジェクトとプロジェクト内の関数、リソース、インスタンス、ジョブに対するすべての権限、プロジェクト内のパッケージに対する読み取り権限、およびプロジェクト内のテーブルに対する読み取り権限と説明権限があります。 説明 O&Mロールには、MaxComputeコンピューティングエンジンに対する権限がありますが、DataWorksコンソールでノードを実行する権限はありません。	デフォルトでは権限はありません。 セキュリティセンターで必要な権限を要求する必要があります。	O&Mロールには、ワークスペース管理者ロールによって付与されたデプロイおよびオンラインO&M権限がありますが、データ開発操作を実行する権限はありません。
  デプロイ	Role_Project_Deploy	デフォルトでは権限はありません。	デフォルトでは権限はありません。 セキュリティセンターで必要な権限を要求する必要があります。	デプロイロールには、オンラインO&M権限を除いて、O&Mロールと同様の権限があります。
  訪問者	Role_Project_Guest	デフォルトでは権限はありません。	デフォルトでは権限はありません。 セキュリティセンターで必要な権限を要求する必要があります。	訪問者ロールを持つユーザーには、データを表示する権限がありますが、ワークフローまたはコードを変更する権限はありません。
  Security Manager	Role_Project_Security	デフォルトでは権限はありません。	デフォルトでは権限はありません。 セキュリティセンターで必要な権限を要求する必要があります。	Security ManagerロールはData Security Guardでのみ使用でき、data Security Guardで機密データ識別ルールを設定し、データリスクを監査する権限があります。
  データアナリスト	Role_Project_Data_Analyst	デフォルトでは権限はありません。	デフォルトでは権限はありません。 セキュリティセンターで必要な権限を要求する必要があります。	このロールには、DataAnalysisに対する権限のみがあります。
  モデルデザイナー	Pole_Project_Erd	デフォルトでは権限はありません。	デフォルトでは権限はありません。 セキュリティセンターで必要な権限を要求する必要があります。	このロールには、Data Warehouse Planning、Data Standard、Dimensional Modeling、およびData Metricでパラメーター設定を変更する権限があります。 このロールには、モデルを公開する権限がありません。
  データガバナンス管理者	Role_Project_Data_Governance	デフォルトでは権限はありません。	デフォルトでは権限はありません。 セキュリティセンターで必要な権限を要求する必要があります。	このロールには、データガバナンスセンターに対する権限のみがあります。 このロールは、検出されたデータガバナンスの問題の表示と管理、データガバナンス計画の構成、およびチェック項目の有効化に使用できます。 このロールには、データ開発やO&Mなどの操作に対する権限がありません。
  ワークスペースの所有者 (Alibaba Cloudアカウント)	プロジェクト所有者	このIDはプロジェクトの所有者であり、プロジェクトに対するすべての権限を持ちます。	開発環境と同じ権限。	なし。
  なし	Super_Administrator	このロールは、プロジェクトのスーパー管理者であり、プロジェクトに対する管理権限と、プロジェクト内のすべてのタイプのリソースに対するすべての権限を持ちます。	開発環境と同じ権限。	なし。
  なし	管理者	プロジェクトを作成すると、システムはこのプロジェクトの管理者ロールを作成し、プロジェクト内のすべてのオブジェクトへのアクセス、ユーザーまたはロールの管理、およびユーザーまたはロールへのアクセス許可をロールに付与します。 プロジェクト所有者ロールと比較して、管理者ロールには次の操作を実行する権限がありません。管理者ロールをユーザーに割り当て、プロジェクトのセキュリティポリシーを設定し、プロジェクトの認証モデルを変更し、管理者ロールの権限を変更します。 プロジェクト所有者ロールは、管理者ロールをユーザーに割り当て、セキュリティ構成を管理する権限をユーザーに付与できます。	開発環境と同じ権限。	なし。
  なし	Role_Project_Scheduler	デフォルトでは権限はありません。	MaxCompute: このロールには、プロジェクトとプロジェクト内のテーブル、関数、リソース、インスタンス、ジョブに対するすべての権限があり、プロジェクト内のパッケージに対する読み取り権限があります。 DataWorks: このロールは、スケジューリングのために運用環境にタスクをコミットするIDとして使用されます。 説明 MaxComputeプロジェクトを本番環境のワークスペースにデータソースとして追加するときに、RAMユーザーまたはRAMロールをデフォルトのアクセスIDとして指定した場合、RAMユーザーまたはRAMロールには、MaxComputeプロジェクトのRole_Project_Schedulerロールと同じ権限が付与されます。 デフォルトのアクセスIDを指定する方法については、MaxComputeの新しいデータソースの追加のMaxCompute データソースの追加セクションをご参照ください。	このIDは、本番環境でMaxComputeタスクをスケジュールおよび実行するために使用されます。

• ユーザーとその権限

  • DataWorksワークスペースでは、ワークスペース所有者はAlibaba Cloudアカウントである必要があり、ワークスペースメンバーはワークスペースが属するAlibaba CloudアカウントのRAMユーザーである必要があります。 DataWorksが提供するワークスペース管理機能を使用して、ユーザーを追加し、ユーザーにロールを割り当てることができます。

  • MaxComputeプロジェクトでは、Alibaba Cloudアカウントはプロジェクトの所有者またはメンバーになります。 Alibaba CloudアカウントのRAMユーザーをプロジェクトメンバーにすることもできます。 add user xxx; コマンドを実行してユーザーを追加し、add role xxx; およびgrant role xxx to user xxx; コマンドを順番に実行して、ロールを追加し、そのロールをユーザーに割り当てることができます。

  次の図は、さまざまなワークスペースモードのユーザーとアクセス許可とサポートされている訪問者IDの関係を示しています。

  

  説明

  DataWorksロールの場合、MaxComputeオブジェクトに対する権限は固定されています。 DataWorksロールを割り当ててMaxComputeオブジェクトに対する権限をユーザーに付与し、コマンドラインインターフェイス (CLI) を使用して他のMaxCompute権限をユーザーに付与すると、MaxComputeオブジェクトに対するユーザー権限がDataWorksコンソールから照会されるユーザー権限と異なる場合があります。