DataWorks:Controle de permissões de dados do MaxCompute

Por padrão, as funções nativas do DataWorks concedem acesso ao ambiente de desenvolvimento, mas não ao ambiente de produção.

Para proteger os dados de produção em um workspace no modo padrão, o DataWorks controla o acesso dos usuários RAM às tabelas do MaxCompute.

• Obtenção de permissões no projeto de desenvolvimento (automática):

  • Ao receber uma função nativa, o membro do workspace obtém automaticamente permissões no projeto do mecanismo. Para mais informações, consulte Scenario 1: Authorization process for built-in workspace roles.

  • Ao receber uma função personalizada, o membro do workspace também obtém permissões no projeto do mecanismo. Para mais informações, consulte Scenario 2: Authorization process for custom workspace roles.

• Obtenção de permissões no projeto de produção (solicitação manual obrigatória): Solicite permissões no Security Center. A tabela a seguir descreve os casos de uso. Para mais informações sobre como usar o Security Center, consulte Control access to MaxCompute data.

  Cenário	Descrição
  Um usuário no ambiente de desenvolvimento precisa acessar uma tabela no ambiente de produção dentro do mesmo workspace.	Por padrão, se um usuário RAM não estiver configurado como identidade de acesso para o mecanismo de produção, ele não poderá operar em tabelas de produção pelo DataStudio. Para obter acesso, envie uma solicitação no Security Center. Após a aprovação, o usuário poderá executar as operações necessárias nas tabelas pelo DataStudio.
  Um usuário precisa acessar uma tabela no ambiente de desenvolvimento ou produção de outro workspace.	Por padrão, um usuário RAM não pode acessar tabelas nos ambientes de desenvolvimento ou produção de outros projetos pelo DataStudio. Para ativar o acesso entre projetos, envie uma solicitação no Security Center. Após a aprovação, o usuário poderá executar as operações necessárias nas tabelas pelo DataStudio.

Usuários RAM que precisam acessar dados de produção devem seguir um processo de aprovação, permitindo que os administradores gerenciem as permissões no ambiente de produção.

1. O Security Center fornece um fluxo de trabalho de aprovação nativo para permissões em tabelas de produção.

2. O Approval Center suporta fluxos de trabalho de aprovação personalizados.

Execute os seguintes comandos em uma tarefa SQL do MaxCompute para consultar suas permissões.

• show grants: Visualize suas próprias permissões de acesso.

• show grants for <username>: Visualize as permissões de acesso de um usuário específico. Apenas administradores do workspace podem executar este comando.

Após a adição, o usuário RAM tem as seguintes permissões no DataWorks e no mecanismo MaxCompute.

• Permissões do DataWorks: Com a função Development, o usuário RAM pode desenvolver e submeter código no DataWorks, mas não pode implantá-lo no ambiente de produção. A implantação na produção requer permissões de O&M, detidas por funções como Project Owner, Administrator e O&M.

• Permissões do mecanismo MaxCompute: Quando o usuário RAM recebe a função Development, ele também recebe a função Role_Project_Dev no mecanismo MaxCompute. Essa função concede permissões sobre objetos, como tabelas, no projeto de desenvolvimento do MaxCompute.

  Nota

  • Se você conceder a função nativa Workspace Manager a um usuário RAM, ele receberá permissões amplas nos recursos do DataWorks, mas ainda não poderá acessar diretamente as tabelas de produção.

  • O usuário RAM mencionado aqui refere-se a um usuário não designado como identidade de acesso do mecanismo de agendamento para o projeto de produção.

Exemplo: Um usuário com a função Workspace Manager adiciona um usuário RAM como membro do workspace e lhe concede uma função personalizada do workspace do DataWorks. Ao criar uma função personalizada em um workspace do DataWorks, é possível mapeá-la para uma função do mecanismo MaxCompute. Após a atribuição da função a um membro, o usuário RAM obtém as permissões correspondentes tanto no DataWorks quanto no mecanismo MaxCompute. Veja os detalhes a seguir.

• Permissões do DataWorks: Quando um usuário RAM recebe uma função personalizada no DataWorks, ele pode acessar apenas os módulos permitidos por essa função.

• Permissões do mecanismo MaxCompute:

  • Se a função personalizada do DataWorks não estiver mapeada para uma função do mecanismo, o usuário RAM não terá permissões no mecanismo MaxCompute e não poderá executar comandos para consultá-lo.

  • Se a função personalizada do DataWorks estiver mapeada para uma função do mecanismo, o usuário RAM herdará as permissões da função correspondente do mecanismo MaxCompute.