AnalyticDB:Account authorization

Como funciona

1. Crie uma função do RAM com Trusted Entity Type definido como Alibaba Cloud Service e Select Trusted Service definido como Cloud-native Data Warehouse AnalyticDB For MySQL.

2. Anexe apenas as políticas necessárias aos seus jobs do Spark.

3. Referencie o ARN da função no parâmetro spark.adb.roleArn ao enviar um job.

Como funciona

1. A conta B cria uma função do RAM e configura sua política de confiança para permitir que o serviço Spark da conta A a assuma.

2. A conta A cria um usuário do RAM e concede a ele a permissão ram:PassRole.

3. Ao enviar um job do Spark, referencie o ARN da função da conta B em spark.adb.roleArn.

Etapa 1: Criar uma função do RAM para a conta B e conceder permissões

Execute as etapas a seguir usando a conta B ou um administrador do RAM da conta B.

1. Crie uma função do RAM e permita que a conta A a assuma.

   1. Faça login no console do RAM usando a conta B da Alibaba Cloud ou um administrador do RAM da conta B.

   2. No painel de navegação à esquerda, escolha Identity Management > Roles.

   3. Na página Roles, clique em Create Role.

   4. Na página Create Role, defina Trusted Entity Type como Alibaba Cloud Account, especifique a conta e clique em OK.

   5. Configure a função:

      • Role Name: Insira um nome, como admin-oss.

      • Note (opcional): Insira uma descrição.

      • Other Alibaba Cloud Account: Selecione Other Alibaba Cloud Account e insira o UID da conta A (testAccountIDA).

   6. Clique em Finish.

   Ignore esta etapa se já existir uma função do RAM que permita à conta A assumi-la. Anote o ARN da função, pois será necessário na Etapa 2.

   Importante

   Anote o ARN da função exibido na página de detalhes da função. O formato é acs:ram::<testAccountIDB>:role/<role-name>. Referencie esse valor no parâmetro spark.adb.roleArn.

2. Conceda permissões à função do RAM.

   1. Clique em Precise Authorization.

   2. No painel Precise Authorization, defina o tipo de política como System Policy ou Custom Policy e insira o nome da política.

      Acessar o OSS

      • AliyunOSSReadOnlyAccess: Concede permissões somente leitura no OSS.

      • AliyunOSSFullAccess: Concede controle total sobre o OSS. Conceda essa permissão à função do RAM para executar operações de atualização de dados, como INSERT, em tabelas externas do OSS.

      Acessar recursos da VPC

      Para acessar recursos em uma VPC específica, crie uma política personalizada. No parâmetro Resource da política, especifique o grupo de segurança e o vSwitch aos quais os recursos pertencem. Para mais informações, consulte Criar uma política de permissão personalizada.

      Este exemplo concede permissões para acessar apenas uma instância do ApsaraDB RDS for MySQL em uma VPC específica. O nome da política personalizada é eni_policy. O código a seguir mostra o documento da política:

      Nota

      Adicione um grupo de segurança à instância do ApsaraDB RDS for MySQL. As regras de entrada e saída do grupo de segurança devem permitir acesso na porta da instância do ApsaraDB RDS for MySQL.

      {
          "Version": "1",
          "Statement": [
              {
                  "Effect": "Allow",
                  "Action": "ecs:*",
                  "Resource": "acs:ecs:*:*:securitygroup/<The ID of the security group to which the RDS instance belongs>"
              },
              {
                  "Effect": "Allow",
                  "Action": "vpc:*",
                  "Resource": "acs:vpc:*:*:vswitch/<The ID of the vSwitch to which the RDS instance belongs>"
              }
          ]
      }

   3. Clique em OK.

   4. Clique em Close.

3. Atualize a política de confiança para permitir que o serviço Spark da conta A assuma a função.

   1. No painel de navegação à esquerda, escolha Identity Management > Roles.

   2. Na página Roles, clique no nome da função criada.

   3. Na aba Trust Policy, clique em Edit Trust Policy.

   4. Substitua o documento da política pelo seguinte e clique em OK:

      {
          "Statement": [
              {
                  "Action": "sts:AssumeRole",
                  "Effect": "Allow",
                  "Principal": {
                      "RAM": [
                          "acs:ram::testAccountIDA:root"
                      ]
                  }
              },
              {
                  "Action": "sts:AssumeRole",
                  "Effect": "Allow",
                  "Principal": {
                      "Service": [
                          "testAccountIDA@ads.aliyuncs.com"
                      ]
                  }
              }
          ],
          "Version": "1"
      }

      Substitua testAccountIDA pelo UID real da conta A.

Etapa 2: Criar um usuário do RAM para a conta A e conceder permissões

Execute as etapas a seguir usando a conta A ou um administrador do RAM da conta A.

1. Crie um usuário do RAM.

   1. Na seção User Account Information, configure os seguintes parâmetros:

      Parâmetro	Descrição
      Logon Name	Até 64 caracteres. Caracteres permitidos: letras, dígitos, pontos (.), hifens (-) e sublinhados (_).
      Display Name	Até 128 caracteres.
      Tag (opcional)	Clique no ícone de edição e insira uma chave e um valor de tag para ajudar a gerenciar o usuário.

      Nota

      Clique em Add User para criar vários usuários do RAM simultaneamente.

   2. Na seção Access Mode, selecione Console Password Logon e configure a senha de login, a política de redefinição de senha e as configurações de autenticação multifator (MFA) conforme necessário. Para mais detalhes, consulte Acesso ao console.

   3. Clique em OK.

   

2. Crie uma política de permissão que permita ao usuário do RAM passar funções.

   1. No painel de navegação à esquerda, escolha Permission Management > Policies.

   2. Na página Policies, clique em Create Policy.

   3. Na página Create Policy, clique na aba Script Editor.

   4. Insira o seguinte documento de política e clique em OK:

      {
          "Version": "1",
          "Statement": [
              {
                  "Action": "ram:PassRole",
                  "Resource": "*",
                  "Effect": "Allow"
              }
          ]
      }

   5. Na caixa de diálogo Create Policy, insira um Policy Name e uma Note opcional e clique em OK.

3. Conceda a política ao usuário do RAM.

   1. No painel de navegação à esquerda, escolha Identity Management > Users.

   2. Na página Users, localize o usuário do RAM e clique em Add Permissions na coluna Actions.

   3. No painel Add Permissions, selecione a política criada na etapa anterior.

   4. Clique em OK e, em seguida, clique em Close.