MaxCompute:ロールのプランニング

ロールの種類

組み込みロール

MaxCompute は、プロジェクトレベルで 2 つ、テナントレベルで 2 つの組み込み管理者ロール (Super_Administrator と Admin) を提供します。

プロジェクトレベルでは、プロジェクト所有者がプロジェクトに対するすべての権限を持ちます。他のユーザーは、プロジェクト所有者による認可がない限り、プロジェクト内のオブジェクトにアクセスできません。

カスタムロール

MaxCompute では、ビジネス要件に基づいてユーザーを分類して管理できるように、カスタムの管理者ロールとリソースロールを作成できます。

ロール管理の操作

次の表に、MaxCompute でサポートされているロール管理の操作をまとめます。

プロジェクトレベルの管理者ロールの権限

プロジェクトレベルのロールの作成

MaxCompute プロジェクトに新しいロールを作成できます。

• コマンド構文

  create role <role_name> [privilegeproperties("type"="admin|resource")];

• パラメーター

  パラメーター	必須	説明
  role_name	はい	新しいロールの名前。名前はプロジェクト内で一意である必要があり、次の要件を満たす必要があります： 英字で始まる。 英字と数字のみを含む。 長さが 64 文字以内である。 MaxCompute クライアントで list roles; コマンドを実行すると、作成されたロールを表示できます。
  privilegeproperties	いいえ	ロールタイプを定義します。 "type"="admin": ポリシーを使用してのみ権限を付与できる管理者ロールを作成します。 "type"="resource" は、リソースタイプのロールを作成します。これは、タイプが指定されていない場合のデフォルトタイプです。このロールタイプは、ACL とポリシーによる認可をサポートします。

• 例

  • Create a resource role named Worker.

    create role Worker;

  • sale_admin という名前の管理者ロールを作成します。

    create role sale_admin privilegeproperties("type"="admin");

プロジェクトレベルのロールの一覧表示

MaxCompute プロジェクト内のロール一覧を表示できます。

• コマンド構文：

  list roles;

• 例：

  MaxCompute プロジェクト内のロールを表示します。

  list roles;

  次の出力が返されます：

  admin
  Super_Administrator
  worker

プロジェクトレベルのロールの削除

MaxCompute プロジェクトから既存のロールを削除できます。

• コマンド構文

  drop role <role_name>;

• 使用上の注意

  ロールを削除する際、MaxCompute はそのロールがいずれかのユーザーに割り当てられているかどうかを確認します。割り当てられている場合、操作は失敗します。ロールを削除する前に、すべてのユーザーからロールを取り消す必要があります。ユーザーからロールを取り消す方法については、「ユーザーからロールを取り消す」をご参照ください。

• パラメーター

  パラメーター	必須	説明
  role_name	はい	削除するロールの名前です。 list roles; コマンドを MaxCompute クライアントで実行すると、作成済みのロールのリストを取得できます。

• 例

  Worker ロールを削除します。

  drop role Worker;

権限情報のパージ

MaxCompute プロジェクトからロールを削除しても、アクセス制御リスト (ACL)、ポリシー、ラベルなど、ロールに関連付けられた権限データはプロジェクト内に残ります。後で同じ名前の新しいロールを作成すると、新しいロールは削除されたロールの権限を継承します。これを防ぐには、削除されたロールの権限をパージできます。削除されたロールに権限情報が残っている場合、プロジェクトオーナー、または Admin ロールか Super_Administrator ロールを持つユーザーは、次のコマンドを実行して情報をパージできます。

• コマンド構文

  purge privs from role <role_name>;

• パラメーター

  パラメーター	必須	説明
  role_name	はい	削除されたロールの名前です。 MaxCompute クライアントで list roles; コマンドを実行すると、作成されたロールを表示できます。

  説明

  ロールの権限をパージする前に、そのロールが削除されていることを確認してください。既存のロールに対してこのコマンドを実行すると、エラーメッセージ "Principal <role_name> still exist in the project" が返されます。

次のステップ

• ロールの計画が完了したら、ビジネス要件に基づいて権限を付与できます。詳細については、「プロジェクトレベルのロールの権限付与」をご参照ください。

• ロールを作成した後、ユーザーに割り当てる必要があります。そうすることで、ユーザーにロールに関連付けられた権限が付与されます。詳細については、「ユーザーにロールを割り当てる」をご参照ください。