MaxCompute:REVOKE

構文

ACL ベース：

revoke <actions> on <object_type> <object_name>
[(<column_list>)] from <subject_type> <subject_name>;

ポリシーベース：

revoke <actions> on <object_type> <object_name>
from ROLE <role_name>
privilegeproperties ("policy" = "true", "allow"="{true|false}");

パラメーター

実行環境

• これらの文は MaxCompute クライアント 上で実行します。

実行例

以下の例では、Alibaba Cloud アカウント Bob@aliyun.com が所有するプロジェクト test_project_a を使用します。Allen、Alice、および Tom は、Bob@aliyun.com 配下の RAM ユーザーです。すべての文は MaxCompute クライアントで実行されます。

例 1：ユーザーからの列レベル権限の取り消し

次の例では、sale_detail の 2つの列に対する Describe 権限および Select 権限を Allen から取り消し、それらの列に対するすべての権限を Alice から取り消します。

-- test_project_a プロジェクトに切り替えます。
use test_project_a;
-- Allen から shop_name および customer_id に対する Describe および Select 権限を取り消します。
revoke Describe, Select on table sale_detail (shop_name, customer_id) from USER RAM$Bob@aliyun.com:Allen;
-- Alice から shop_name および customer_id に対するすべての権限を取り消します。
revoke All on table sale_detail (shop_name, customer_id) from USER RAM$Bob@aliyun.com:Alice;
-- 確認: Allen には Describe および Select 権限がなくなりました。
show grants for RAM$Bob@aliyun.com:Allen;
-- 確認: Alice にはこれらの列に対する権限がなくなりました。
show grants for RAM$Bob@aliyun.com:Alice;

例 2：複数のユーザーからロールの割り当てを解除

次の例では、Worker ロールを Alice、Tom、および Lily@aliyun.com から削除します。各ユーザーには、個別の文が必要です。

-- test_project_a プロジェクトに切り替えます。
use test_project_a;
-- Alice から Worker ロールを取り消します。
revoke Worker from RAM$Bob@aliyun.com:Alice;
-- Tom から Worker ロールを取り消します。
revoke Worker from RAM$Bob@aliyun.com:Tom;
-- Lily@aliyun.com から Worker ロールを取り消します。
revoke Worker from ALIYUN$Lily@aliyun.com;
-- 確認: Lily@aliyun.com は Worker ロールの権限を持っていません。
show grants for ALIYUN$Lily@aliyun.com;

構文

revoke <actions> on package <project_name>.<package_name> from {USER|ROLE} <name>;

パラメーター

実行例

次の例では、Bella の datashare パッケージへの読み取りアクセスを取り消します。

revoke Read on package test_project_a.datashare from user RAM$Amy@aliyun.com:Bella;

構文

revoke Label on table <table_name> [(<column_list>)] from {USER|ROLE} <name>;

注意事項

• テーブルに対するラベルベースの権限を取り消すと、そのテーブル内のすべての列レベルラベル権限も同時に取り消されます。

• 明示的なラベル権限を取り消しても、ユーザーまたはロールのアクセスレベルラベルは変更されません。たとえば、ユーザーのアクセスレベルが 2 であり、感度レベル 3 までのデータアクセスを許可する明示的なラベル権限を取り消した場合でも、ユーザーは依然として感度レベル 2 以下のデータにアクセスできます。

パラメーター

実行例

次の例では、Allen が sale_detail の機密データに対して明示的に付与されたアクセス権限を取り消します。このテーブルには、shop_name、customer_id、および total_price の各列があります。Allen は Bob@aliyun.com の下の RAM ユーザーです。

-- 特定の列に対するラベル権限を取り消します。
revoke Label on table sale_detail(shop_name, customer_id, total_price) from USER RAM$Bob@aliyun.com:Allen;
-- Allen の現在のラベル付与を表示します。
show label grants on table sale_detail for USER RAM$Bob@aliyun.com:Allen;
-- 出力: Allen のアクセスレベルは 1 です。total_price には依然としてレベル 3 の明示的な付与があります。
-- ユーザー ラベル: 1
-- +-------------+--------------+--------------------------+
-- | Column      | GrantedLabel | Expires                  |
-- +-------------+--------------+--------------------------+
-- | total_price | 3            | 2021-12-31T19:56:18+0800 |
-- +-------------+--------------+--------------------------+

-- テーブルレベルのすべてのラベル権限を取り消します。
revoke Label on table sale_detail from USER RAM$Bob@aliyun.com:Allen;
-- Allen の付与を再度表示します。
show label grants on table sale_detail for USER RAM$Bob@aliyun.com:Allen;
-- 出力: ユーザー ラベル: 1

構文

revoke <role_name> from <user_name>;

パラメーター

• role_name：ユーザーを削除する対象のロール名。

• user_name：削除対象の Alibaba Cloud アカウントまたは RAM ユーザー。Alibaba Cloud アカウントの形式は ALIYUN$<account>@aliyun.com、RAM ユーザーの形式は RAM$<account> です。

実行例

次の例では、alice@aliyun.com を プレーヤー ロールから削除します。

revoke player from ALIYUN$alice@aliyun.com;