MaxCompute:ロールプランニング

ロールの種類

組み込みロール

MaxComputeは、プロジェクトレベルとテナントレベルで、2つの管理者ロールSuper_AdministratorとAdminを提供します。

プロジェクトの所有者は、自分で作成したプロジェクトに対するすべての権限を持ちます。 プロジェクトの所有者だけが、プロジェクト内のオブジェクトにアクセスする権限を持っています。 他のユーザーは、プロジェクト所有者から必要な権限が付与されていない限り、プロジェクト内のオブジェクトにアクセスできません。

カスタムロール

MaxComputeでは、ビジネス要件に基づいて管理者ロールとリソースロールをカスタマイズし、ロールに基づいてユーザーを分類および管理できます。

ロール管理操作

次の表に、MaxComputeでサポートされているロール管理操作を示します。

プロジェクトレベルの管理者ロールの権限

プロジェクトレベルの役割を作成する

MaxComputeプロジェクトでロールを作成できます。

• 構文

  create role <role_name> [privilegeproperties("type"="admin|resource")];

• パラメーター

  パラメーター	必須	説明
  role_name	必須	作成するロールの名前。 名前はプロジェクト内で一意である必要があります。 ロールの名前を指定するときは、次の項目に注意してください。 先頭は英字とする必要があります。 名前には、文字と数字のみを使用できます。 名前の長さは 1 ~ 64 文字です。 MaxComputeクライアントでlist roles; コマンドを実行して、プロジェクト内の既存のロールを照会できます。
  privilegeproperties	選択可能	作成するロールのタイプ。 "type"="admin": 管理者ロールが作成されました。 このタイプのロールに権限を付与するには、ポリシーを使用します。 "type"="resource": リソースロールが作成されました。 このパラメーターを指定しない場合、デフォルトでリソースロールが作成されます。 ACLまたはポリシーを使用して、リソースロールに権限を付与できます。

• 例

  • Workerという名前のリソースロールを作成します。 例：

    create role Worker;

  • sale_adminという名前の管理者ロールを作成します。 例：

     create role sale_admin privilegeproperties("type"="admin");

プロジェクトレベルの役割の照会

MaxComputeプロジェクトの既存のロールを照会できます。

• 構文

  list roles;

• 例

  MaxComputeプロジェクトの既存のロールを照会します。 例：

  list roles;

  次の応答が返されます。

  admin
  super_administrator
  worker

プロジェクトレベルの役割を削除する

MaxComputeプロジェクトからロールを削除できます。

• 構文

  drop role <role_name>;

• 注意事項

  ロールを削除すると、MaxComputeはそのロールがユーザーに割り当てられているかどうかを確認します。 ロールがユーザーに割り当てられている場合、ロールを削除することはできません。 ロールが割り当てられているすべてのユーザーからロールを取り消した後にのみ、ロールを削除できます。 ユーザーからロールを取り消す方法の詳細については、「ユーザーからロールを取り消す」をご参照ください。

• パラメーター

  パラメーター	必須	説明
  role_name	必須	削除するロールの名前。 MaxComputeクライアントでlist roles; コマンドを実行して、プロジェクト内の既存のロールを照会できます。

• 例

  Workerロールを削除します。

  drop role Worker;

ロールの権限を削除する

MaxComputeプロジェクトからロールが削除された後、ACLベースのアクセス制御、ポリシーベースのアクセス制御、ラベルベースのアクセス制御に関連する権限など、ロールの権限はプロジェクトから削除されません。 削除されたロールと同じ名前のロールがプロジェクトに作成された場合、そのロールは削除されたロールの権限を継承します。 この問題を解決するために、MaxComputeではロールの権限を削除できます。 ACLベースのアクセス制御、ポリシーベースのアクセス制御、ラベルベースのアクセス制御に関連する権限など、ドロップされたロールの特定の権限がプロジェクトにまだ存在する場合、プロジェクト所有者または管理者ロールまたはスーパー管理者ロールが割り当てられているユーザーは、ロールの権限を削除できます。 サンプルコマンド:

• 構文

  purge privs from role <role_name>;

• パラメーター

  パラメーター	必須	説明
  role_name	必須	削除するロールの名前。 MaxComputeクライアントでlist roles; コマンドを実行して、プロジェクト内の既存のロールを照会できます。

  説明

  ロールの権限を削除するときは、ロールが削除されていることを確認してください。 ロールが削除されていない場合は、パージprivs from role <role_name>; コマンドを実行すると、"Principal <role_name> still exist in the project" というエラーメッセージが表示されます。

次のステップ

• ロールを計画および作成した後、ビジネス要件に基づいてロールに必要な権限を付与できます。 詳細については、「プロジェクトレベルの役割に基づくアクセス制御の実行」をご参照ください。

• ロールを作成した後、権限を付与するユーザーにロールを割り当てる必要があります。 次に、ユーザーはロールの権限を持ちます。 詳細については、「ユーザーへのロールの割り当て」をご参照ください。