MaxCompute が OSS および Tablestore にアクセスすることを許可する方法 - MaxCompute

MaxCompute は Resource Access Management (RAM) および Security Token Service (STS) と統合されており、外部データソースへの安全なアクセスを可能にします。このトピックでは、さまざまなシナリオで RAM と STS を使用する権限付与方法について説明します。

OSS/Tablestore：RAM ロールによる権限付与

MaxCompute の外部テーブルが Object Storage Service (OSS) または Tablestore のデータにアクセスできるようにするには、その所有者は、必要なデータアクセス権限を持つ RAM ロールを外部テーブルに関連付ける必要があります。ロールが関連付けられた後、所有者はこの外部テーブルにアクセスする必要があるユーザーに権限を付与できます。

ビジネス要件に基づいて権限付与方法を選択してください。より詳細な権限コントロールには、カスタム権限付与を使用します。

同一アカウントでの権限付与

MaxCompute と OSS/Tablestore が同じ Alibaba Cloud アカウントによって所有されている場合、MaxCompute はワンクリック認可とカスタム権限付与をサポートします。

ワンクリック認可：Alibaba Cloud アカウントにログインした後、ここをクリックしてワンクリック認可を完了します。この方法では、デフォルトで AliyunODPSDefaultRole という名前のロールが作成されます。このロールは広範な権限を持ち、テストに適しています。
カスタム権限付与：RAM コンソールで新しいロールを作成し、適切なアクセスポリシーと信頼ポリシーを構成します。この方法により、詳細な権限コントロールが可能になります。次の手順を実行します。
1. RAM ロールの作成
  RAM コンソールにログインし、RAM ロール (例：test-admin) を作成します。詳細については、「信頼できる Alibaba Cloud アカウントの RAM ロールの作成」をご参照ください。
2. RAM ロールの信頼ポリシーの変更
  1. RAM コンソールにログインします。
  2. 左側のナビゲーションバーで、アイデンティティ > ロールを選択します。
  3. ロール ページで、目的の ロール名 をクリックして、ロールの詳細ページに移動します。
  4. トラスト規則 タブで、編集トラスト規則 をクリックし、編集トラスト規則 ページで JSON タブを選択します。
    次のポリシーを構成します。
```
{
 "Statement": [
 {
 "Action": "sts:AssumeRole",
 "Effect": "Allow",
 "Principal": {
 "Service": [
 "odps.aliyuncs.com"
 ]
 }
 }
 ],
 "Version": "1"
}
```
  5. 完了したら、OK をクリックします。
3. アクセスポリシーの作成
  RAM コンソールのポリシーページで、カスタムアクセスポリシーを作成します。たとえば、AliyunODPSRolePolicy という名前を付けることができます。
  以下のポリシーは一般的な権限を提供します。必要に応じてカスタマイズできます。詳細については、「カスタムアクセスポリシーの作成」をご参照ください。
  OSS アクセスポリシー
```
{
"Version": "1",
"Statement": [
{
 "Action": [
        "oss:ListBuckets",
        "oss:GetObject",
        "oss:ListObjects",
        "oss:PutObject",
        "oss:DeleteObject",
        "oss:AbortMultipartUpload",
        "oss:ListParts",
        "oss:GetBucketInfo",
        "oss:PostDataLakeStorageFileOperation",
        "oss:PostDataLakeStorageAdminOperation"
 ],
 "Resource": "*",
 "Effect": "Allow"
}
]
}
```
  Tablestore アクセスポリシー
```
{
"Version": "1",
"Statement": [
{
 "Action": [
 "ots:ListTable",
 "ots:DescribeTable",
 "ots:GetRow",
 "ots:PutRow",
 "ots:UpdateRow",
 "ots:DeleteRow",
 "ots:GetRange",
 "ots:BatchGetRow",
 "ots:BatchWriteRow",
 "ots:ComputeSplitPointsBySize"
 ],
 "Resource": "*",
 "Effect": "Allow"
}
]
}
```
4. カスタムアクセスポリシーを新しい RAM ロールにアタッチ
  1. RAM コンソールにログインします。
  2. 左側のナビゲーションバーで、アイデンティティ > ロールを選択します。
  3. ロール ページで目的の ロール名 をクリックすると、ロール詳細ページに移動します。
  4. 権限管理 タブで、新規権限付与 をクリックします。表示される 権限付与の追加 パネルで、ロールに付与するポリシーを選択し、権限を付与 をクリックします。
    詳細については、「RAM ロールの権限の管理」をご参照ください。

クロスアカウントでの権限付与

MaxCompute と OSS/Tablestore が異なる Alibaba Cloud アカウントによって所有されている場合、カスタム権限付与のみがサポートされます。

OSS または Tablestore を所有する Alibaba Cloud アカウントの所有者は、RAM コンソールでロールを作成し、そのアクセスおよび信頼ポリシーを次のように構成する必要があります。

RAM ロールの作成
RAM コンソールにログインし、RAM ロールを作成します。たとえば、test-admin という名前のロールです。ロールの作成方法の詳細については、「信頼できる Alibaba Cloud アカウントの RAM ロールの作成」をご参照ください。
RAM ロールの信頼ポリシーの変更
1. RAM コンソールにログインします。
2. 左側のナビゲーションバーで、アイデンティティ > ロールを選択します。
3. ロール ページで、対象の ロール名 をクリックしてロール詳細ページに移動します。
4. トラスト規則 タブで、編集トラスト規則 をクリックし、編集トラスト規則 ページで JSON タブを選択します。
  次のポリシーを構成します。<MaxCompute_owner_account_ID> を、MaxCompute プロジェクトを所有する Alibaba Cloud アカウントの ID に置き換えます。
```
{
"Statement": [
{
 "Action": "sts:AssumeRole",
 "Effect": "Allow",
 "Principal": {
 "Service": [
 "<MaxCompute_owner_account_ID>@odps.aliyuncs.com"
 ]
 }
}
],
"Version": "1"
}
```
5. 完了したら、OK をクリックします。

RAM コンソールのポリシーページで、カスタムアクセスポリシーを作成します。たとえば、AliyunODPSRolePolicy という名前を付けることができます。

以下のポリシーは一般的な権限を提供します。必要に応じてカスタマイズできます。詳細については、「カスタムアクセスポリシーの作成」をご参照ください。

OSS アクセスポリシー

{
"Version": "1",
"Statement": [
{
 "Action": [
        "oss:ListBuckets",
        "oss:GetObject",
        "oss:ListObjects",
        "oss:PutObject",
        "oss:DeleteObject",
        "oss:AbortMultipartUpload",
        "oss:ListParts",
        "oss:GetBucketInfo",
        "oss:PostDataLakeStorageFileOperation",
        "oss:PostDataLakeStorageAdminOperation"
 ],
 "Resource": "*",
 "Effect": "Allow"
}
]
}

Tablestore アクセスポリシー

{
"Version": "1",
"Statement": [
{
 "Action": [
 "ots:ListTable",
 "ots:DescribeTable",
 "ots:GetRow",
 "ots:PutRow",
 "ots:UpdateRow",
 "ots:DeleteRow",
 "ots:GetRange",
 "ots:BatchGetRow",
 "ots:BatchWriteRow",
 "ots:ComputeSplitPointsBySize"
 ],
 "Resource": "*",
 "Effect": "Allow"
}
]
}

カスタムアクセスポリシーを新しい RAM ロールにアタッチ
1. RAM コンソールにログインします。
2. 左側のナビゲーションバーで、アイデンティティ > ロールを選択します。
3. ロール ページで、対象の ロール名 をクリックしてロール詳細ページに移動します。
4. 権限管理 タブで、新規権限付与 をクリックします。表示される 権限付与の追加 パネルで、ロールに付与するポリシーを選択し、権限を付与 をクリックします。
  詳細については、「RAM ロールの権限の管理」をご参照ください。

Hologres：RAM ロールによる権限付与

MaxCompute の外部テーブルが Hologres のデータに直接アクセスできるようにするには、テーブルの所有者は、必要な Hologres データアクセス権限を持つ RAM ロールを外部テーブルに関連付ける必要があります。ロールが関連付けられた後、所有者はこの外部テーブルにアクセスする必要があるユーザーに権限を付与できます。ビジネス要件に基づいて権限付与方法を選択できます。

同一アカウントでの権限付与

MaxCompute と Hologres が同じ Alibaba Cloud アカウントによって所有されている場合、次のように権限を付与します。

RAM ロールの作成
RAM ロールを作成して、その Alibaba Cloud リソースネーム (ARN) を取得します。外部テーブルを作成する際の STS 認証には ARN が必要です。ビジネス要件に基づいて信頼できるエンティティタイプを選択します。この例では、信頼できるエンティティタイプは Alibaba Cloud アカウントです。
- Alibaba Cloud アカウント
  Alibaba Cloud アカウントの RAM ユーザーは、RAM ロールを偽装してクラウドリソースにアクセスできます。詳細については、「信頼できる Alibaba Cloud アカウントの RAM ロールの作成」をご参照ください。
- ID プロバイダー
  シングルサインオン (SSO) を構成して、企業の ID システムのユーザーが Alibaba Cloud コンソールにログインできるようにすることができます。これにより、統一されたユーザーログインと認証の要件を満たすことができます。詳細については、「信頼できる ID プロバイダーの RAM ロールの作成」をご参照ください。
次の手順を実行します。
1. RAM コンソールにログインします。
2. 左側のナビゲーションバーで、アイデンティティ > ロールを選択します。
3. ロール ページで、ロールの作成 をクリックします。
信頼ポリシーの変更
1. ロール ページで、目的の ロール名 をクリックすると、ロール詳細ページに移動します。
2. トラスト規則 タブで、編集トラスト規則 をクリックし、編集トラスト規則 ページで、JSON タブを選択します。
3. 次の例に示すように、信頼ポリシーを変更します。
  信頼ポリシーの構成内容は、選択された信頼できるエンティティタイプによって異なります。ポリシーでは、<UID> は Alibaba Cloud アカウント ID です。ID は [ユーザー情報ページ] から取得できます。
  信頼できるエンティティ：Alibaba Cloud アカウント
```
{
 "Statement": [
 {
 "Action": "sts:AssumeRole",
 "Effect": "Allow",
 "Principal": {
 "RAM": [
 "acs:ram::<UID>:root"
 ]
 }
 },
 {
 "Action": "sts:AssumeRole",
 "Effect": "Allow",
 "Principal": {
 "Service": [
 "<UID>@odps.aliyuncs.com"
 ]
 }
 }
 ],
 "Version": "1"
}
```
  信頼できるエンティティ：ID プロバイダー
```
{
 "Statement": [
 {
 "Action": "sts:AssumeRole",
 "Condition": {
 "StringEquals": {
 "saml:recipient": "https://signin.alibabacloud.com/saml-role/sso"
 }
 },
 "Effect": "Allow",
 "Principal": {
 "Federated": [
 "acs:ram::<UID>:saml-provider/IDP"
 ]
 }
 },
 {
 "Action": "sts:AssumeRole",
 "Effect": "Allow",
 "Principal": {
 "Service": [
 "<UID>@odps.aliyuncs.com"
 ]
 }
 }
 ],
 "Version": "1"
}
```
RAM ロールを Hologres インスタンスに追加して権限を付与
RAM ロールには、その権限付与スコープ内のリソースにアクセスするために、Hologres インスタンスに対する開発者権限が必要です。
デフォルトでは、RAM ロールは Hologres 管理コンソールでインスタンスを表示または管理できません。続行する前に、Alibaba Cloud アカウントの所有者が必要な権限を付与する必要があります。
RAM ロールを Hologres インスタンスに追加
Hologres 管理コンソール
1. Hologres 管理コンソールにログインします。左上隅で、リージョンを選択します。
2. 左側のナビゲーションウィンドウで、インスタンス一覧 をクリックします。
3. インスタンス一覧 ページで、ターゲットインスタンスの名前をクリックします。
4. インスタンスの詳細ページで、左側のナビゲーションウィンドウで、アカウント管理をクリックします。
5. ユーザー管理 ページで、ユーザーの追加 をクリックします。
6. ユーザーの追加 ダイアログボックスで、設定を構成し、確認をクリックします。
  - ロールには、ステップ 1 で作成した RAM ロールを選択します。
  - メンバーロールには、通常ユーザーを選択します。
7. ユーザー管理 ページで、左側のナビゲーションウィンドウで DB 権限付与 をクリックします。
8. DB 権限付与ページで、[データベース作成]をクリックします。
9. [データベースの作成] ダイアログボックスで、設定を構成し、確認をクリックします。
  ポリシー には、SPM を選択します。
10. DB の権限付与 ページで、対象のデータベースを探し、操作列にある ユーザー権限付与 をクリックします。
11. 右上隅で、新規権限付与をクリックします。権限付与の追加ダイアログボックスで、ユーザーとユーザーグループを設定します。
  - ユーザー 設定対象の RAM ユーザーを選択します。
  - グループ には、デベロッパーを選択します。
RAM コンソール
AliyunODPSRolePolicy アクセスポリシーを新しい RAM ロールにアタッチします。
1. RAM コンソールにログインします。
2. 左側のナビゲーションバーで、アイデンティティ > ユーザーを選択します。
3. ユーザー ページで、対象の ユーザーログイン名/表示名 をクリックしてユーザー詳細ページに移動します。
4. ユーザー詳細ページで、権限管理 タブをクリックします。
5. 権限管理 タブで、ユーザー権限 を選択し、権限の付与 をクリックします。
6. 権限の付与 パネルで、ユーザーに付与するポリシーを選択し、権限を付与 をクリックします。
  アクセスポリシーには、AliyunRAMReadOnlyAccess を選択します。
  詳細については、「RAM ユーザーへの権限付与」をご参照ください。
SQL
必要な SQL 文については、「権限モデル」をご参照ください。
説明
Hologres は、サービスリンクロールを使用した権限付与もサポートしています。詳細については、「Hologres のサービスリンクロールによる権限付与 (ID パススルー)」をご参照ください。

クロスアカウントでの権限付与

MaxCompute と Hologres が異なる Alibaba Cloud アカウントによって所有されている場合、次のように権限を付与します。

RAM ロールの作成
RAM ロールを作成して、その ARN を取得します。外部テーブルを作成する際の STS 認証には ARN が必要です。ビジネス要件に基づいて信頼できるエンティティタイプを選択します。この例では、信頼できるエンティティタイプは Alibaba Cloud アカウントです。
- Alibaba Cloud アカウント
  Alibaba Cloud アカウントの RAM ユーザーは、RAM ロールを偽装してクラウドリソースにアクセスできます。詳細については、「信頼できる Alibaba Cloud アカウントの RAM ロールの作成」をご参照ください。
- ID プロバイダー
  SSO を構成して、企業の ID システムのユーザーが Alibaba Cloud コンソールにログインできるようにすることができます。これにより、統一されたユーザーログインと認証の要件を満たすことができます。詳細については、「信頼できる ID プロバイダーの RAM ロールの作成」をご参照ください。
次の手順を実行します。
1. RAM コンソールにログインします。
2. 左側のナビゲーションバーで、アイデンティティ > ロール を選択します。
3. ロールページで、ロールの作成をクリックします。

信頼ポリシーの変更

ロール ページで、対象の ロール名 をクリックしてロール詳細ページに移動します。
トラスト規則 タブで、編集トラスト規則 をクリックし、編集トラスト規則 ページで、JSON タブを選択します。

次の例に示すように、信頼ポリシーを変更します。

信頼ポリシーの構成内容は、選択した信頼できるエンティティのタイプによって異なります。このポリシーでは、<UID> は、[基本情報] ページで確認できる Alibaba Cloud アカウント ID を表します。

信頼できるエンティティ：Alibaba Cloud アカウント

{
 "Statement": [
 {
 "Action": "sts:AssumeRole",
 "Effect": "Allow",
 "Principal": {
 "RAM": [
 "acs:ram::<MaxCompute_owner_account_ID>:root"
 ]
 }
 },
 {
 "Action": "sts:AssumeRole",
 "Effect": "Allow",
 "Principal": {
 "Service": [
 "<MaxCompute_owner_account_ID>@odps.aliyuncs.com"
 ]
 }
 }
 ],
 "Version": "1"
}

信頼できるエンティティ：ID プロバイダー

{
 "Statement": [
 {
 "Action": "sts:AssumeRole",
 "Condition": {
 "StringEquals": {
 "saml:recipient": "https://signin.alibabacloud.com/saml-role/sso"
 }
 },
 "Effect": "Allow",
 "Principal": {
 "Federated": [
 "acs:ram::<MaxCompute_owner_account_ID>:saml-provider/IDP"
 ]
 }
 },
 {
 "Action": "sts:AssumeRole",
 "Effect": "Allow",
 "Principal": {
 "Service": [
 "<MaxCompute_owner_account_ID>@odps.aliyuncs.com"
 ]
 }
 }
 ],
 "Version": "1"
}

RAM ロールを Hologres インスタンスに追加して権限を付与
RAM ロールには、その権限付与スコープ内のリソースにアクセスするために、Hologres インスタンスに対する開発者権限が必要です。
デフォルトでは、RAM ロールは Hologres 管理コンソールでインスタンスを表示または管理できません。続行する前に、Alibaba Cloud アカウントの所有者が必要な権限を付与する必要があります。
RAM ロールを Hologres インスタンスに追加
Hologres 管理コンソール
1. Hologres 管理コンソールにログインします。左上隅で、リージョンを選択します。
2. 左側のナビゲーションウィンドウで、インスタンス一覧 をクリックします。
3. インスタンス一覧 ページで、ターゲットインスタンスの名前をクリックします。
4. インスタンス詳細ページで、左側のナビゲーションウィンドウのアカウント管理をクリックします。
5. ユーザー管理 ページで、ユーザーの追加 をクリックします。
6. ユーザーの追加 ダイアログボックスで、設定を構成し、確認をクリックします。
  - ロールには、ステップ 1 で作成した RAM ロールを選択します。
  - メンバーロールには、通常ユーザーを選択します。
7. ユーザー管理 ページで、左側のナビゲーションウィンドウで DB 権限付与 をクリックします。
8. DB 権限付与 ページで、[データベースの作成] をクリックします。
9. [データベースの作成] ダイアログボックスで、設定を構成し、確認をクリックします。
  ポリシー には、SPM を選択します。
10. DB の権限付与 ページで、対象のデータベースを探し、操作列の ユーザー権限付与 をクリックします。
11. 右上隅で、新規権限付与 をクリックします。権限付与の追加 ダイアログボックスで、ユーザー と ユーザーグループ を設定します。
  - ユーザー: 設定する RAM ユーザーを選択します。
  - グループ には、デベロッパーを選択します。
RAM コンソール
AliyunODPSRolePolicy アクセスポリシーを新しい RAM ロールにアタッチします。
1. RAM コンソールにログインします。
2. 左側のナビゲーションバーで、アイデンティティ > ユーザーを選択します。
3. ユーザー ページで、対象の ユーザーログイン名/表示名 をクリックしてユーザー詳細ページに移動します。
4. ユーザー詳細ページで、権限管理 タブをクリックします。
5. 権限管理 タブで、ユーザー権限 を選択し、権限の付与 をクリックします。
6. 権限の付与 パネルで、ユーザーに付与するポリシーを選択し、権限を付与 をクリックします。
  アクセスポリシーには、AliyunRAMReadOnlyAccess を選択します。
  詳細については、「RAM ユーザーへの権限付与」をご参照ください。
SQL
必要な SQL 文については、「権限モデル」をご参照ください。
説明
Hologres はデュアル署名認証もサポートしています。詳細については、「Hologres 外部テーブル」をご参照ください。

DLF と OSS：RAM ロールによる権限付与

MaxCompute、Data Lake Formation (DLF)、および OSS でレイクハウスアーキテクチャを構築する場合、DLF と OSS に必要なデータアクセス権限を持つ RAM ロールを外部データソースに関連付ける必要があります。その後、外部スキーマを作成し、ロールの権限を使用して DLF と OSS にアクセスできます。外部スキーマ内のテーブルに対する権限を他のユーザーに付与するには、「外部スキーマ内のフェデレーション外部テーブルに対する権限の付与」をご参照ください。以下の権限付与方法がサポートされています。

ワンクリック認可 (推奨)：MaxCompute プロジェクトの作成に使用する Alibaba Cloud アカウントが、DLF と OSS のデプロイに使用するアカウントと同じ場合、この方法を使用します。DLF と OSS の権限付与をクリックして、ワンクリックで権限付与を完了します。

カスタム権限付与：同一アカウントとクロスアカウントの両方のシナリオでこの方法を使用します。次の手順を実行します。

MaxCompute プロジェクトの RAM ユーザーが DLF のデプロイに使用されるアカウントと同じである場合は、信頼ポリシーを追加するときに service を odps.aliyuncs.com に設定する必要があります。
MaxCompute プロジェクトの RAM ユーザーと DLF のデプロイに使用されるアカウントが異なる場合は、信頼ポリシーを追加するときに service パラメーターを <MaxCompute プロジェクトを所有する Alibaba Cloud アカウントの ID>@odps.aliyuncs.com に設定する必要があります。MaxCompute プロジェクトを所有する Alibaba Cloud アカウントの ID は、アカウント概要ページで取得できます。

RAM コンソールにログインし、「信頼できる Alibaba Cloud アカウントの RAM ロールの作成」を行います。

RAM コンソールで、「RAM ロールの信頼ポリシーの変更」を行います。シナリオに応じて、次のいずれかのポリシーを使用します。

同一アカウント

{
"Statement": [
{
 "Action": "sts:AssumeRole",
 "Effect": "Allow",
 "Principal": {
 "Service": [
 "odps.aliyuncs.com"
 ]
 }
}
],
"Version": "1"
}

クロスアカウント

{
"Statement": [
{
 "Action": "sts:AssumeRole",
 "Effect": "Allow",
 "Principal": {
 "Service": [
 "<MaxCompute_project_owner_account_ID>@odps.aliyuncs.com" 
 ]
 }
}
],
"Version": "1"
}

RAM コンソールで、新しい RAM ロールのカスタムアクセスポリシーを作成します。詳細については、「カスタムアクセスポリシーの作成」をご参照ください。カスタムアクセスポリシーには、次の内容を使用します。

{
"Version": "1",
"Statement": [
{
 "Action": [
 "oss:ListBuckets",
 "oss:GetObject",
 "oss:ListObjects",
 "oss:PutObject",
 "oss:DeleteObject",
 "oss:AbortMultipartUpload",
 "oss:ListParts"
 ],
 "Resource": "*",
 "Effect": "Allow"
},
{
 "Action": [
 "dlf:CreateFunction",
"dlf:BatchGetPartitions",
"dlf:ListDatabases",
"dlf:CreateLock",
"dlf:UpdateFunction",
"dlf:BatchUpdateTables",
"dlf:DeleteTableVersion",
"dlf:UpdatePartitionColumnStatistics",
"dlf:ListPartitions",
"dlf:DeletePartitionColumnStatistics",
"dlf:BatchUpdatePartitions",
"dlf:GetPartition",
"dlf:BatchDeleteTableVersions",
"dlf:ListFunctions",
"dlf:DeleteTable",
"dlf:GetTableVersion",
"dlf:AbortLock",
"dlf:GetTable",
"dlf:BatchDeleteTables",
"dlf:RenameTable",
"dlf:RefreshLock",
"dlf:DeletePartition",
"dlf:UnLock",
"dlf:GetLock",
"dlf:GetDatabase",
"dlf:GetFunction",
"dlf:BatchCreatePartitions",
"dlf:ListPartitionNames",
"dlf:RenamePartition",
"dlf:CreateTable",
"dlf:BatchCreateTables",
"dlf:UpdateTableColumnStatistics",
"dlf:ListTableNames",
"dlf:UpdateDatabase",
"dlf:GetTableColumnStatistics",
"dlf:ListFunctionNames",
"dlf:ListPartitionsByFilter",
"dlf:GetPartitionColumnStatistics",
"dlf:CreatePartition",
"dlf:CreateDatabase",
"dlf:DeleteTableColumnStatistics",
"dlf:ListTableVersions",
"dlf:BatchDeletePartitions",
"dlf:ListCatalogs",
"dlf:UpdateTable",
"dlf:ListTables",
"dlf:DeleteDatabase",
"dlf:BatchGetTables",
"dlf:DeleteFunction"
 ],
 "Resource": "*",
 "Effect": "Allow"
}
]
}

カスタムアクセスポリシーを新しい RAM ロールにアタッチします。詳細については、「RAM ロールの権限の管理」をご参照ください。

Hologres：サービスリンクロール (ID パススルー)

MaxCompute が外部データソースと外部プロジェクトを介して Hologres のデータにアクセスする場合、サービスリンクロールを使用して、必要なデータアクセス権限を Hologres に付与する必要があります。ロールを作成した後、このモードでは ID パススルーを使用して権限を付与します。ユーザーの ID を Hologres に渡して認証を行い、不正なアクセスを防ぎます。この機能を使用するには、ユーザーは MaxCompute 外部プロジェクトのメンバーであり、外部プロジェクトにマップされている Hologres データソースに対する権限を持っている必要があります。

RAM コンソールにログインします。
左側のナビゲーションバーで、アイデンティティ > ロールを選択します。
ロール ページで、ロールの作成 をクリックします。
ロールの作成 ページの右上隅で、サービスリンクロールを作成 をクリックします。
サービスリンクロールを作成 ページで、信頼するクラウドサービス で aliyunserviceroleformaxcomputeidentitymgmt を選択し、サービスリンクロールを作成 をクリックします。
ロールが既に存在することを示すメッセージが表示された場合、ロールは既に権限付与されています。メッセージは無視してかまいません。

Paimon と DLF：サービスリンクロール (ID パススルー)

MaxCompute が外部データソースと外部プロジェクトを介して DLF のデータにアクセスする場合、サービスリンクロールを使用して、必要なデータアクセス権限を DLF に付与する必要があります。ロールを作成した後、このモードでは ID パススルーを使用して権限を付与します。ユーザーの ID を DLF に渡して認証を行い、不正なアクセスを防ぎます。この機能を使用するには、ユーザーは MaxCompute 外部プロジェクトのメンバーであり、外部プロジェクトにマップされている DLF データソースに対する権限を持っている必要があります。

RAM コンソールにログインします。
左側のナビゲーションバーで、アイデンティティ > ロールを選択します。
ロール ページで、ロールの作成 をクリックします。
ロールの作成 ページの右上隅で、サービスリンクロールを作成 をクリックします。
サービスリンクロールを作成 ページで、信頼するクラウドサービス で AliyunServiceRoleForMaxComputeLakehouse を選択し、サービスリンクロールを作成 をクリックします。
ロールが既に存在することを示すメッセージが表示された場合、ロールは既に権限付与されています。メッセージは無視してかまいません。

OSS/Tablestore：RAM ロールによる権限付与

同一アカウントでの権限付与

OSS アクセスポリシー

Tablestore アクセスポリシー

クロスアカウントでの権限付与

OSS アクセスポリシー

Tablestore アクセスポリシー

Hologres：RAM ロールによる権限付与

同一アカウントでの権限付与

信頼できるエンティティ：Alibaba Cloud アカウント

信頼できるエンティティ：ID プロバイダー

Hologres 管理コンソール

RAM コンソール

SQL

クロスアカウントでの権限付与

信頼できるエンティティ：Alibaba Cloud アカウント

信頼できるエンティティ：ID プロバイダー

Hologres 管理コンソール

RAM コンソール

SQL

DLF と OSS：RAM ロールによる権限付与

同一アカウント

クロスアカウント

Hologres：サービスリンクロール (ID パススルー)

Paimon と DLF：サービスリンクロール (ID パススルー)