Adicione uma configuração do Ranger - DataWorks: Central de Documentação do Alibaba Cloud

configure o Ranger no Security Center do DataWorks para ative a solicitação e a aprovação de permissões para as source de dados StarRocks, Hive e Lindorm. Após a configuração, os usuários podem solicitar permissões de acesso a um banco de dados ou tabela no DataWorks. Quando um administrador de segurança aprova a solicitação, o Ranger gera automaticamente uma política correspondente.

Visão geral

O Ranger permite que os administradores de segurança gerencie proativamente as permissões de acesso dos usuários aos recursos de database/table do StarRocks, Hive e Lindorm. Depois de configure o Ranger e associar um service no Security Center do DataWorks, os usuários podem envie solicitações de permissão no DataWorks. Quando um administrador de segurança aprova uma solicitação, o Ranger gera uma política correspondente para aplicar o controle de acesso aos dados.

O fluxo de trabalho completo de gerenciamento de permissões do Ranger é o seguinte:

Adicionar uma configuração do Ranger: configure os detalhes de conexão de uma instância do Ranger no Security Center.
Adicionar uma associação de service: adicione um service do StarRocks, Hive ou Lindorm à instância do Ranger.
Configurar uma credencial de identidade: mapeie um usuário ou função do RAM para uma conta com acesso à source de dados. Para mais informações, consulte Identity credentials.
Solicitar permissões: os usuários envie solicitações de permissão na página Data Access Control > Permission Application. Depois que um administrador de segurança aprova a solicitação, o Ranger gera uma política automaticamente.

Nota
O tipo de source de dados correspondente aparece na página Data Access Control > Permission Application somente depois de adicionar uma associação de service.

Notas de uso

Você deve ser um Tenant Administrator ou administrador de segurança do tenant para acesse a página Manage Ranger e configure.
O cluster EMR/Lindorm e o grupo de recursos do DataWorks devem estar na mesma vpc.
O cluster EMR/Lindorm deve estar vinculado a um workspace do DataWorks, e seu grupo de recursos deve estar inicializado. Para mais informações, consulte Legacy Data Studio: Bind an EMR compute resource.
O DataWorks suporta apenas grupos de recursos serverless para esse recurso. Para mais informações, consulte Use a serverless resource group.

acesse a página Manage Ranger

Faça login no console do DataWorks. Na região de destino, clique em Data Governance > Security Center no painel de navegação à esquerda. Na página exibida, clique em Go to Security Center.
No painel de navegação à esquerda, clique em Manage Ranger para acesse a página Manage Ranger.

Etapa 1: Adicionar uma configuração do Ranger

Na página Manage Ranger, clique em New para adicionar uma configuração do Ranger. A tabela a seguir descreve os parâmetros:

Parâmetro	Description
Cluster Type	selecione um tipo de cluster. Valores válidos: EMR e Lindorm. selecione EMR: use esta opção para gerencie permissões de dados do Hive ou StarRocks por meio do service do Ranger de um cluster EMR. selecione Lindorm: use esta opção para gerencie permissões de dados do mecanismo de tabela ampla do Lindorm por meio do service do Ranger de um cluster Lindorm.
EMR cluster ID / Lindorm Instance ID	selecione o cluster ou a instância com base no tipo de cluster escolhido. Se o tipo de cluster for EMR, selecione o cluster EMR ao qual o service do Ranger pertence. Se o tipo de cluster for Lindorm, selecione a instância do Lindorm à qual o service do Ranger pertence. Nota Sua conta deve ter a permissão `AliyunEMRReadOnlyAccess` ou `AliyunLindormReadOnlyAccess` para recuperar a lista de clusters EMR.
Resource Group	Especifique o grupo de recursos que o DataWorks usa para acessar o service do Ranger. Nota Há suporte apenas para grupos de recursos serverless.
RangerAdmin address	A URL do service de administração do Ranger. O DataWorks se comunica com o Ranger por meio desta URL para configure políticas. Nota Use a URL de acesso interno da vpc do RangerAdmin.
Ranger administrator account	A conta de administrador para o service de administração do Ranger.
Ranger administrator password	A senha da conta de administrador do Ranger.
Availability Validation	clique em botão de teste de conectividade e verifique a disponibilidade. A configuração só pode ser salve após a verificação ser bem-sucedida.

Depois de concluir a configuração, clique em Confirm para salve a configuração do Ranger.

Etapa 2: Adicionar um service

Depois de adicionar uma configuração do Ranger, configure um service. O tipo de source de dados correspondente fica disponível na página Data Access Control > Permission Application somente depois de associar um service do Ranger.

Na página Manage Ranger, localize o service do Ranger de destino e clique em Management Service na coluna Actions para acesse a página Management Service.

clique em Add Association e configure o service com base no tipo de source de dados.

Adicionar um service do StarRocks

Este tipo de service é usado para gerencie permissões de bancos de dados e tabelas para instâncias do StarRocks por meio do Ranger.

Parâmetro	Description
Ranger Service Type	selecione `StarRocks`. Nota Se houver catálogos externos na instância do StarRocks, associe primeiro o catálogo interno e, em seguida, os catálogos externos.
Ranger Service Name	Insira o nome do service configurado no Ranger. É possível personalizar o nome.
The ID of the StarRocks instance.	selecione a instância do StarRocks que corresponde ao nome do service do Ranger. Nota Sua conta deve ter a permissão `AliyunEMRReadOnlyAccess` para recuperar a lista de clusters EMR.
Catalog	selecione um catálogo na instância do StarRocks. Depois de adicionar o catálogo, os usuários podem solicitar permissões para bancos de dados e tabelas nesse catálogo.

Adicionar um service do Hive

Este tipo de service é usado para gerencie permissões de bancos de dados e tabelas do Hive em um cluster EMR por meio do Ranger.

Parâmetro	Description
Ranger Service Type	selecione `Hive`.
Ranger Service Name	Insira o nome do service configurado no Ranger. É possível personalizar o nome. O valor padrão é `emr-hive`.
EMR cluster ID	selecione o cluster EMR que corresponde ao nome do service do Ranger. Nota Sua conta deve ter a permissão `AliyunEMRReadOnlyAccess` para recuperar a lista de clusters EMR.

Adicionar um service do Lindorm

Este tipo de service é usado para gerencie permissões no nível da tabela para o mecanismo de tabela ampla do Lindorm por meio do Ranger.

Parâmetro	Description
Ranger Service Type	selecione `Lindorm`.
Ranger Service Name	Insira o nome do service configurado no Ranger. É possível personalizar o nome.
Lindorm Instance	selecione a instância do Lindorm que corresponde ao nome do service do Ranger. Nota Sua conta deve ter a permissão `AliyunLindormReadOnlyAccess` para recuperar a lista de instâncias do Lindorm.

Depois de concluir a configuração, clique em Confirm para salve a configuração do service.

Próxima etapa

Depois de concluir as configurações do Ranger e do service, configure credenciais de identidade para usuários e funções do RAM a fim de mapear contas da cloud para contas de acesso à source de dados. Para mais informações, consulte Identity credentials.