Create custom tenant-level roles for global-level services - DataWorks: Central de Documentação do Alibaba Cloud

O DataWorks permite conceder diferentes permissões em serviços de nível global aos membros de um tenant mediante a atribuição de funções distintas no nível do tenant. O DataWorks oferece funções internas no nível do tenant e também possibilita a criação de funções personalizadas nesse mesmo nível. Este tópico descreve as funções de nível de tenant disponíveis para gerenciar permissões em serviços de nível global e as operações básicas para administrar as permissões dos membros do tenant nesses serviços.

Contexto

No DataWorks, um serviço é considerado de nível global quando sua página não exibe o nome de um workspace na barra de navegação superior. Um exemplo é o Data Map.

O DataWorks fornece identidades como membros e funções no nível do tenant. Para acessar um serviço de nível global como usuário RAM, atribua a função de nível de tenant adequada a esse usuário.

O DataWorks disponibiliza funções internas no nível do tenant. Por exemplo, existe uma função interna que define permissões de visualização e gerenciamento de categorias no Data Map. Ao atribuir essa função a um membro, você controla se ele terá ou não as permissões correspondentes.
Caso as funções internas de nível de tenant não atendam às suas necessidades de negócio, crie uma função personalizada nesse nível e atribua-a a um usuário RAM. Dessa forma, você controla as permissões desse usuário em um serviço de nível global específico.

Por exemplo, crie uma função personalizada de nível de tenant que negue acesso ao Data Map e atribua-a a um usuário RAM. Assim, o usuário RAM não conseguirá acessar o Data Map. Para mais informações, consulte Funções de nível de tenant para gerenciar permissões em serviços de nível global.

O gerenciamento de permissões em serviços de nível global no DataWorks segue o modelo de controle de acesso baseado em funções (RBAC). Após atribuir uma função de nível de tenant a um usuário RAM, esse usuário recebe as permissões da função no serviço correspondente do DataWorks. Para mais informações, consulte Visão geral do sistema de gerenciamento de permissões do DataWorks.

Limites

Apenas workspaces da DataWorks Enterprise Edition suportam funções personalizadas no nível do tenant. Para mais informações, consulte DataWorks: Recursos por edição. Se o seu workspace não for da DataWorks Enterprise Edition, faça upgrade do DataWorks para essa edição. Para mais informações, consulte Edições e faturamento.
Gerencie as funções de nível de tenant usando uma conta Alibaba Cloud, a função Tenant Administrator ou um usuário RAM ao qual a política AliyunDataWorksFullAccess ou AdministratorAccess esteja anexada.

Funções de nível de tenant para gerenciar permissões em serviços de nível global

Por padrão, os usuários RAM são membros de um tenant do DataWorks. Os membros do tenant podem acessar a maioria dos serviços de nível de tenant, mas não executam operações de gerenciamento desses serviços. Utilize uma função interna ou personalizada de nível de tenant para controlar se um usuário possui permissões de gerenciamento em um serviço desse nível. Também é possível usar uma função personalizada de nível de tenant para definir se um usuário tem permissões de leitura e escrita em um serviço de nível global específico.

Funções internas de nível de tenant

A tabela a seguir descreve as funções internas de nível de tenant fornecidas pelo DataWorks e as permissões de cada uma.

Função	Descrição das permissões
Tenant Owner	Esta função possui as permissões mais elevadas no DataWorks. Por padrão, o proprietário do tenant é uma conta Alibaba Cloud e só pode ser uma conta Alibaba Cloud. Concede as permissões máximas no DataWorks e permite atribuir outras funções aos membros do tenant. Inclui permissões para visualizar, ler, gravar e gerenciar dados em todos os serviços de nível global do DataWorks.
Tenant Administrator	Oferece as permissões mais altas nos serviços de nível de tenant e possibilita a atribuição de outras funções aos membros do tenant. Abrange permissões para visualizar, ler, gravar e gerenciar dados em todos os serviços de nível global do DataWorks. Nota Esta função não inclui permissões para executar operações de controle e gerenciamento no console do DataWorks. Para obter detalhes sobre as permissões de controle e gerenciamento no console do DataWorks, consulte Políticas de RAM para permissões de serviço e console.
Tenant Member	Por padrão, todos os usuários e funções RAM da conta Alibaba Cloud usada para fazer login no console do DataWorks recebem esta função, atuando como membros do tenant atual do DataWorks. Permite visualizar, ler e gravar dados nos serviços de nível de tenant. Não concede, por padrão, permissões para executar operações de gerenciamento de serviços.
Security Administrator	Todas as permissões no Security Center, incluindo visualização, leitura, gravação e gerenciamento. Permissões para configurar políticas de aprovação personalizadas no Approval Center. Todas as permissões no Data Security Guard, incluindo visualização, leitura, gravação e gerenciamento.
Compliance Administrator	Permissões para detectar riscos de transmissão transfronteiriça de dados. Permissões para revisar solicitações de autoavaliação para transmissão transfronteiriça de dados.
Open Platform Administrator	Esta função concede permissões de leitura e escrita no backend do desenvolvedor.
Data Governance Administrator	Esta função concede permissões de leitura e escrita no Data Governance Center. Ela também permite visualizar relatórios de avaliação de governança, problemas de governança de dados detectados e eventos de verificação, além de executar operações relacionadas de correção. Nota Algumas operações no Data Governance Center exigem as funções e permissões dos serviços relacionados. Para mais informações, consulte Visão geral do Data Governance Center.
Função Personalizada de Nível de Tenant	Utilize uma função personalizada de nível de tenant para controlar se um usuário possui permissões de gerenciamento em um serviço específico desse nível.

Funções personalizadas de nível de tenant

O DataWorks permite criar funções personalizadas de nível de tenant e definir se essas funções terão permissões em serviços de nível global específicos. A tabela a seguir lista os serviços de nível global que aceitam o uso de funções personalizadas de nível de tenant para controle de permissões.

Serviço de nível global	Configuração de permissão
Data Security Guard	Sem Permissões: Nega acesso ao Data Security Guard. Disponível: Todas as permissões somente leitura e todas as permissões de gerenciamento.
Data Map	Sem Permissões: Nega acesso ao Data Map. Disponível: Permissões regulares. Nota Para saber como gerenciar permissões de acesso a metadados — como proibir a exibição de metadados de um projeto ou de uma tabela, ou impedir que usuários fora do workspace acessem tabelas de um projeto —, consulte Gerenciamento de permissões do Data Map.
Data Governance Center	Sem Permissões: Nega acesso ao Data Governance Center. Disponível: Permissões regulares e permissões de governança de dados.
Data Analysis	Sem Permissões: Nega acesso ao Data Analysis. Disponível: Permissões regulares.
Approval Center	Sem Permissões: Nega acesso ao Approval Center. Disponível: Permissões regulares e permissões para gerenciar processos de aprovação.
Security Center	Sem Permissões: Nega acesso ao Security Center. Disponível: Permissões regulares.

Gerenciar funções de nível de tenant

Por padrão, todos os usuários RAM da conta Alibaba Cloud usada para fazer login no console do DataWorks são membros do tenant atual e têm permissão para acessar todos os serviços de nível global. Atribua funções de nível de tenant aos usuários RAM para controlar o acesso deles a serviços de nível global específicos e conceder permissões de gerenciamento nesses serviços.

Etapa 1: Acessar a página Tenant Members and Roles

Acesse o Management Center.
No painel de navegação à esquerda da página Management Center, clique em Tenant Members and Roles.

Etapa 2: (Opcional) Criar uma função personalizada de nível de tenant

Não é possível alterar as permissões das funções internas de nível de tenant. Se as funções internas não atenderem aos seus requisitos de gerenciamento de permissões, crie funções personalizadas de nível de tenant e configure as permissões delas em serviços de nível global específicos na aba Tenant Roles da página Tenant Members and Roles.

Clique em Create Custom Role na aba Tenant Roles da página Tenant Members and Roles.
Na caixa de diálogo Create Custom Role, especifique um nome para a função e configure as definições de permissão nos serviços de nível global para essa função.
Clique em Create.

Nota
Se a mensagem Created aparecer, a função personalizada de nível de tenant foi criada com sucesso. Nas próximas etapas, atribua essa função a um membro.

Etapa 3: Atribuir funções de nível de tenant a um membro ou gerenciar as funções já atribuídas

Clique na aba Tenant Members.
Na coluna Role de um membro, atribua funções de nível de tenant ou remova as funções já atribuídas.