DataWorks:Controle de acesso a dados

Visão geral

O controle de acesso a dados é um recurso do Security Center do DataWorks. Ele fornece um portal centralizado e de ciclo fechado para solicitação, aprovação e auditoria de permissões em diversos mecanismos. O recurso atende a três perfis: solicitantes, aprovadores e auditores, e oferece suporte ao controle de permissões de ativos em sete mecanismos: MaxCompute, Hologres, Data Lake Formation (DLF), Data Lake Formation (DLF) (Legacy), Hive (EMR), Lindorm e StarRocks.

Caminho: DataWorks console > Data Governance > Security Center > Data Platform Security > Data Access Control.

Estrutura da página

A página Data Access Control contém as seis abas a seguir. A visibilidade de algumas abas pode variar dependendo dos mecanismos e recursos ativados.

Diferenças entre mecanismos

Recursos como granularidade de solicitação, concessão direta, validade de permissão, renovação e auditoria de permissões variam de acordo com o mecanismo. A tabela a seguir fornece uma comparação rápida. Os mecanismos visíveis na interface dependem de quais estão ativados no seu workspace e das suas permissões de backend.

Pré-requisitos para renovação e cancelamento: a renovação entra em vigor apenas para solicitações aprovadas, e o cancelamento entra em vigor apenas para solicitações com aprovação pendente. As diferenças entre os mecanismos são determinadas pelas políticas de backend. Os recursos reais estão sujeitos ao que está visível na página.

Concessão direta

A aba Direct Grant é independente da Permission Application. Ela permite que os administradores (geralmente administradores do workspace ou usuários RAM com permissões de concessão) concedam diretamente um conjunto de permissões de recursos a um usuário RAM ou função RAM especificada, sem passar pelo processo de aprovação. As permissões concedidas entram em vigor imediatamente.

• Entrada: Na página Data Access Control, clique em Direct Grant.

• Destino da concessão: Há suporte para usuários RAM ou funções RAM. A possibilidade de conceder permissões a uma função RAM depende do tipo de recurso: alguns mecanismos ou tipos de recurso suportam apenas usuários RAM. Nesse caso, a opção de função RAM fica acinzentada com a mensagem "This resource type supports only RAM users." Por exemplo, o recurso de concessão direta para o mecanismo Hologres suporta apenas usuários RAM.

• Itens de configuração: Os mesmos da Permission Application. Primeiro, selecione o conteúdo da solicitação (tipo de fonte de dados, workspace, projeto MaxCompute, tabela, etc.) e, em seguida, configure as informações da concessão:

  • Tipo de destino da concessão: Usuário RAM ou função RAM.

  • Destino da concessão: Selecione um usuário RAM ou função RAM específica com base no tipo selecionado.

  • Validade da permissão: Igual ao período de validade das solicitações de permissão. Para o mecanismo Hologres, este campo fica oculto e a validade é sempre permanente.

  • Motivo da concessão: Obrigatório.

• Envie: Clique em Confirm Grant para aplicar as permissões imediatamente. O formulário é limpo automaticamente após o envio bem-sucedido. A página não redireciona.

• Diferenças em relação à solicitação de permissão: A concessão direta não passa por um processo de aprovação, portanto, o sistema não gera nenhum registro em My Applications. A opção "Application account type" não aparece.

• Atribuição da operação: Os registros de concessão relacionados nos logs de auditoria e de backend são atribuídos à conta atualmente conectada. Certifique-se de usar uma conta apropriada para executar operações de concessão.

Guias específicos do mecanismo

Os processos de solicitação, aprovação e configuração de permissões variam de acordo com o mecanismo. Para obter instruções detalhadas, consulte a documentação do mecanismo correspondente:

• MaxCompute data access control

• Hologres data access control

• DLF data access control

• Hive data access control

• Lindorm data access control

• StarRocks data access control