MaxCompute:REVOKE

前提条件

制限事項

注意事項

• ACL に基づくアクセス制御方法を使用する前に、以下の項目にご注意ください。

  • オブジェクトを削除すると、MaxCompute は ACL に基づくアクセス制御方法を使用して付与されたオブジェクトに対するすべての権限を取り消します。

  • ユーザーが削除された後も、ユーザーに付与された権限は保持されます。ユーザーがプロジェクトに再度追加されると、ユーザーの過去のアクセス権限が再び有効になります。削除されたユーザーの残留権限情報をクリアする方法については、「削除されたユーザーの残留権限情報を完全にクリアする」をご参照ください。

• ポリシーに基づくアクセス制御方法を使用する前に、以下の項目にご注意ください。

  • ポリシーに基づくアクセス制御方法を使用して、存在しないオブジェクトに対する権限を付与できます。 権限が付与されている既存のオブジェクトを削除しても、そのオブジェクトに関連する権限情報は保持されます。 その結果、削除されたオブジェクトと同じ名前のオブジェクトを作成すると、セキュリティ上のリスクが生じる可能性があります。

  • ユーザーが削除された後も、ユーザーに付与された権限は保持されます。ユーザーがプロジェクトに再度追加されると、ユーザーの過去のアクセス権限が再び有効になります。削除されたユーザーの残留権限情報をクリアする方法については、「削除されたユーザーの残留権限情報を完全にクリアする」をご参照ください。

構文

• ACL に基づくアクセス制御の無効化

  revoke <actions> on <object_type> <object_name> 
  [(<column_list>)] from <subject_type> <subject_name>;

• ポリシーに基づくアクセス制御の無効化

  revoke <actions> on <object_type> <object_name> 
  from ROLE <role_name> 
  privilegeproperties ("policy" = "true", "allow"="{true|false}");

パラメーター

環境

例

ユーザーまたはロールからパッケージへのアクセス権限を取り消す

パッケージがインストールされている MaxCompute プロジェクトのユーザーまたはロールから、パッケージに対するアクセス権限を取り消します。

• 構文

  revoke <actions> on package <project_name>.<package_name> from {USER|ROLE} <name>;

• パラメーター

  パラメーター	必須 / 任意	説明
  actions	必須	パッケージ内のリソースに対する操作です。 この値は [Read] に設定します。
  project_name	必須	パッケージが属する MaxCompute プロジェクトの名前です。 MaxCompute console にログインします。上部のナビゲーションバーで、リージョンを選択します。[プロジェクト管理] タブで、MaxCompute プロジェクトの名前を取得します。
  package_name	必須	パッケージの名前です。 MaxComputeクライアントでshow packages; コマンドを実行して、作成したパッケージに関する情報を取得できます。
  name	必須	パッケージに対するアクセス権限を取り消すユーザーアカウントまたはロールの名前です。 1 つの文に指定できるユーザーアカウントまたはロールは 1 つだけです。 MaxCompute クライアントで list users; または list roles; コマンドを実行して、ユーザーアカウントまたはロールの名前を取得できます。

• 例

  Bella から指定されたパッケージに対するアクセス権限を取り消します。 文のサンプル：

  -- Revoke the access permissions on the specified package from Bella. 
  revoke Read on package test_project_a.datashare from user RAM$Amy@aliyun.com:Bella;

明示的な権限付与を使用して付与されたラベルに基づく権限を取り消す

プロジェクト所有者または管理者ロールを割り当てられたユーザーが、明示的な権限付与を使用して付与されたラベルベースの権限を取り消します。

• 構文

  revoke Label on table <table_name> [(<column_list>)] from {USER|ROLE} <name>;

• 注意事項

  • テーブルに対して明示的に設定されたラベルに基づく権限を取り消すと、テーブル内の列に対して明示的に設定されたラベルに基づく権限も取り消されます。

  • 明示的に設定されたラベルに基づく権限を取り消しても、ユーザーまたはロールに対して設定されているアクセスレベルのラベルは影響を受けません。 例えば、ラベルに基づくアクセス制御により、アクセスレベルが 2 のユーザーは、機密レベルが 3 以下のテーブルデータにアクセスすることができます。 ラベルに基づくアクセス制御を無効化した場合、ユーザーは機密レベルが 2 以下のテーブルデータにアクセスできます。

• パラメーター

  パラメーター	必須 / 任意	説明
  table_name	必須	テーブルまたはビューの名前です。 MaxCompute クライアントで show tables; コマンドを実行して、テーブルまたはビューの名前を取得できます。
  column_list	任意	このパラメーターは、テーブルまたはビューの指定した列の機密データに対するアクセス権限を取り消す場合に必要です。 複数の列名を指定できます。 その場合はコンマ (,) で区切ります。
  name	必須	ユーザーまたはロールの名前です。 MaxCompute クライアントで list users; または list roles; コマンドを実行して、ユーザーアカウントまたはロールの名前を取得できます。

• 例

  以下の例では、test_project_a プロジェクトに shop_name、customer_id、および total_price 列を含む sale_detail という名前のテーブルが格納されています。 Bob@aliyun.com は、test_project_a プロジェクトの所有者です。 Allen は、Alibaba Cloud アカウント Bob@aliyun.com に属し、test_project_a プロジェクトに追加されている RAM ユーザーです。

  Allen から機密レベルの高いデータにアクセスする権限を取り消します。 文のサンプル：

  -- Revoke the permissions to access data whose sensitivity level is lower than or equal to 3 in the shop_name, customer_id, and total_price columns of the sale_detail table from Allen. 
  revoke Label on table sale_detail(shop_name, customer_id, total_price) from USER RAM$Bob@aliyun.com:Allen;
  -- View the permissions that are granted to Allen. 
  show label grants on table sale_detail for USER RAM$Bob@aliyun.com:Allen;
  -- The following result is returned: 
  User Label: 1
  +-------------+--------------+--------------------------+
  | Column      | GrantedLabel | Expires                  |
  +-------------+--------------+--------------------------+
  | total_price | 3            | 2021-12-31T19:56:18+0800 |
  +-------------+--------------+--------------------------+
  -- Revoke the permissions to access sensitive data in the sale_detail table from Allen. 
  revoke Label on table sale_detail from USER RAM$Bob@aliyun.com:Allen; 
  -- View the permissions that are granted to Allen. 
  show label grants on table sale_detail for USER RAM$Bob@aliyun.com:Allen;
  -- The following result is returned: 
  User Label: 1

ロールからユーザーを取り消す

特定のロールからユーザーを取り消します。

• 構文

  revoke <role_name> from <user_name>;

• パラメーター

  • role_name：必須パラメーターです。 ユーザーを取り消すロールの名前です。

  • user_name：必須パラメーターです。 取り消す Alibaba Cloud アカウントまたは RAM ユーザーの名前です。 Alibaba Cloud アカウントの形式は、ALIYUN$****@aliyun.com; です。 RAM ユーザーの形式は、RAM$**** です。

• 例

  -- Revoke the Alibaba Cloud account alice@aliyun.com from the player role. 
  revoke player from ALIYUN$alice@aliyun.com;

関連する文

• CREATE PACKAGE：パッケージを作成します。

• CREATE ROLE：MaxCompute プロジェクトにロールを作成します。

• SET LABEL：MaxCompute では、ラベルに基づくアクセス制御方法を使用できます。 この方法を使用すると、プロジェクトレベルで、ユーザーまたはロールに対するアクセスレベルのラベルと、テーブルデータまたは列データに対する機密レベルのラベルを設定できます。

• GRANT：MaxCompute では、ACL に基づくアクセス制御方法を使用できます。 この方法を使用すると、オブジェクトに対する権限をユーザーまたはロールに付与し、オブジェクトに対して 1 つ以上の指定された操作を許可できます。