As credenciais de identidade mapeiam usuários ou funções do RAM do Alibaba Cloud para contas de acesso a fontes de dados. Após o administrador configurar as credenciais de identidade, os usuários podem solicitar permissões de acesso a dados para StarRocks, Hive e Lindorm no DataWorks, com o Ranger aplicando o controle de acesso.
Visão geral
Quando os usuários acessam fontes de dados como StarRocks, Hive ou Lindorm por meio do DataWorks, esses motores de dados não têm suporte nativo para autenticação com usuários ou funções do RAM do Alibaba Cloud. Em vez disso, exigem as contas da própria fonte de dados, como nome de usuário e senha. O recurso de credenciais de identidade mapeia centralmente usuários ou funções do RAM para contas de acesso à fonte de dados. Isso mitiga riscos como vazamento de credenciais, adulteração maliciosa e abuso de privilégios.
As credenciais de identidade se integram ao fluxo de trabalho de controle de acesso do Ranger da seguinte forma:
Adicione uma configuração do Ranger: Configure as informações de conexão da instância do Ranger no Security Center. Para mais informações, consulte Add a Ranger configuration.
Adicione uma associação de service: Adicione um service do tipo StarRocks, Hive ou Lindorm à instância do Ranger. Para mais informações, consulte Add a service.
Configure as credenciais de identidade: Mapeie usuários ou funções do RAM para suas respectivas contas de fonte de dados.
Solicite permissões: Envie solicitações de permissão em . Depois que o administrador de segurança aprovar a solicitação, o Ranger gera automaticamente uma política.
Pré-requisitos
Conclua a configuração do Ranger e a associação de service. Para mais informações, consulte Add a Ranger configuration.
Você deve ser um Tenant Administrator para acessar a página de credenciais de identidade e fazer as configurações.
Acesse a página de credenciais de identidade
Acesse o console do DataWorks. Na região de destino, clique em no painel de navegação à esquerda. Na página exibida, clique em Go to Security Center.
No painel de navegação à esquerda, clique em Identity Credentials.
Adicione uma credencial de identidade
Na página Identity Credentials, clique em New no canto superior esquerdo. Na caixa de diálogo New Access Identity, configure os seguintes parâmetros.
|
Parâmetro |
Description |
|
Alibaba Cloud RAM user/Role |
Selecione o usuário do RAM ou a função do RAM que usará esta credencial de identidade para acessar a fonte de dados. |
|
Data Source Type |
Selecione o tipo de fonte de dados. Tipos com suporte: StarRocks, Hive e Lindorm. Nota
O tipo de fonte de dados selecionado deve corresponder ao tipo de service do Ranger configurado. Por exemplo, para solicitar permissões para o Lindorm, configure um service do tipo Lindorm no Ranger. |
|
Cluster/Instance |
De acordo com o tipo de fonte de dados selecionado, selecione o cluster ou a instância correspondente:
Importante
Você deve ter a permissão |
|
Account Type |
Selecione o tipo de conta. O tipo de conta determina se o usuário tem permissão de aprovação:
|
|
Account Name |
Nome da conta que o usuário do RAM do Alibaba Cloud ou a função do RAM usa para acessar a fonte de dados. Importante
Este nome de conta deve corresponder ao nome de usuário configurado no Ranger. Caso contrário, o Ranger não conseguirá associar corretamente as políticas de permissão. |
|
Account password |
Senha que o usuário do RAM do Alibaba Cloud ou a função do RAM usa para acessar a fonte de dados. |
Próximos passos
Depois de configurar uma credencial de identidade, os usuários podem acessar . Selecione os bancos de dados ou as tabelas que precisam acessar e envie uma solicitação de permissão. Para mais informações, consulte data access control.