DataWorks:Gerenciar permissões de acesso a dados do MaxCompute

Contexto

Para acessar tabelas, recursos e funções de uma fonte de dados MaxCompute no ambiente de produção de um workspace do DataWorks em modo padrão, solicite as permissões correspondentes.

Essa exigência aplica-se sempre que for necessário acessar tabelas, recursos ou funções de uma fonte de dados MaxCompute em ambiente de produção.

Pré-requisitos

• Um recurso de computação MaxCompute está bound to your workspace.

• Você conhece os details of data access control for MaxCompute.

• Você compreende as differences between basic mode and standard mode dos workspaces do DataWorks.

Fluxo de trabalho de controle de acesso a dados

Fluxo de trabalho de solicitação de permissão

O controle de acesso a dados suporta operações de Permission Application, Permission Application Processing e Permission Audit, além de Permission Application Records e Permission Application Processing Record. Caso um usuário RAM não tenha as permissões necessárias para uma tabela, envie uma solicitação na página Permission Application. As permissões são concedidas após um aprovador (administrador do workspace ou proprietário da tabela) aprovar a solicitação na página Permission Application Processing.

Nota

O Security Center do DataWorks fornece um fluxo de trabalho padrão para aprovação de solicitações de permissão. Também é possível personalizar esse fluxo no Approval Center. Ao solicitar permissões no nível de coluna em tabelas MaxCompute, o DataWorks identifica o tipo de fluxo de aprovação com base nas colunas solicitadas.

Nota

Solicitações de permissão para recursos e funções não suportam fluxos de aprovação personalizados nem gerenciamento de auditoria de permissões.

• Solicitante de permissão: Solicite permissões em tabelas MaxCompute na página data access control. Após a aprovação, visualize o resultado e confirme que as permissões entraram em vigor na página My Applications.

• Aprovador de permissão: Ao receber uma solicitação, visualize os detalhes na página My Approval Tasks e decida se aprova ou rejeita o pedido. Para solicitações já processadas, os resultados de aprovação de tabelas, recursos e funções da conta Alibaba Cloud atual estão disponíveis na página My Approval Tasks.

• Permission Audit: O proprietário da conta Alibaba Cloud ou o administrador do workspace pode acessar a página Permission Audit para gerenciar e auditar as permissões de tabela concedidas aos membros do workspace. É possível revogar permissões de membros específicos.

Solicitação de permissão

Na página de controle de acesso a dados, configure as seções Application Content e Application information.

1. Faça login no console do DataWorks, mude para a região desejada e clique em Data Governance > Security Center no painel de navegação à esquerda. Na página exibida, clique em Go to Security Center.

2. No painel de navegação à esquerda do Security Center, acesse Data Platform Security > Data Access Control.

3. Na página Data Access Control, clique na aba de solicitação de permissão para solicitar permissões em tabelas, recursos ou funções do MaxCompute.

   Solicitação de permissão de tabela

   Ao solicitar permissões de tabela, após adicionar as tabelas desejadas, solicite permissões de Table-level permissions ou Selected Columns conforme necessário.

   Item de configuração		Descrição
   Application Content	Data Source Type	Selecione o tipo MaxCompute.
   	Application Type	Table
   	Workspace	Selecione o workspace onde a Table desejada está localizada.
   	MaxCompute Project	Projeto MaxCompute associado ao workspace onde a Table está localizada.
   	Schema	Schema onde a tabela está localizada.
   Tables to Be Added	Solicitar permissões no nível da tabela	É possível solicitar permissões de Select, Update, Download, Describe, Alter, e Drop no nível da tabela.
   	Solicitar permissões no nível da coluna	É possível solicitar permissões de Select, Update, e Download no nível da coluna.
   	Solicitar permissões no nível da linha	Opcional. Insira uma condição de linha na coluna Row filter de uma tabela selecionada para limitar as linhas de dados que o solicitante pode consultar e baixar. Para mais informações, consulte a descrição sobre permissões no nível de linha abaixo da tabela.

   Nota

   Permissões no nível da tabela ou da coluna podem ser solicitadas para projetos MaxCompute. A herança automática de permissões de nível de tabela por novas colunas depende da ativação do labelsecurity no projeto:

   • Caso o labelsecurity não esteja ativado no projeto MaxCompute: Após solicitar com sucesso as permissões Select e Update no nível da tabela, as novas colunas adicionadas herdam automaticamente as permissões Select e Update.

   • Caso o labelsecurity esteja ativado no projeto MaxCompute: As permissões de nível de tabela não são herdadas automaticamente pelas novas colunas. Mesmo após obter as permissões Select e Update no nível da tabela, será necessário solicitar permissões específicas no nível da coluna para acessar as novas colunas adicionadas.

   Permissões no nível da linha

   As permissões no nível da linha limitam as linhas de dados acessíveis pelo solicitante. Ao especificar uma condição de linha para uma tabela e ter a solicitação aprovada, o DataWorks cria uma política de acesso a linhas no MaxCompute para o solicitante. Assim, o solicitante só poderá consultar e baixar dados que atendam à condição definida. Para mais informações sobre políticas de acesso a linhas do MaxCompute, consulte Row-level access control.

   • Como especificar: Na coluna Row filter, insira uma expressão de condição SQL WHERE sem a palavra-chave WHERE, como region = 'cn-hangzhou' AND ds >= '20260101'. Uma condição de linha pode conter até 2.000 caracteres. Apenas uma condição de linha é permitida por tabela. Se estiver solicitando permissões para várias tabelas, especifique a condição de linha separadamente para cada uma.

   • Escopo: A condição de linha limita apenas o intervalo de dados das operações Select e Download. Outras permissões solicitadas simultaneamente, como Update, Describe, Alter e Drop, são concedidas como permissões regulares e não sofrem restrição pela condição de linha. Portanto, ao definir uma condição de linha, selecione também Select ou Download no nível da tabela ou da coluna.

   • Uso com permissões no nível da coluna: Suportado. As permissões de Select e Download no nível da coluna também são limitadas pela condição de linha.

   • Validação: Ao enviar a solicitação, o DataWorks utiliza o MaxCompute para validar a sintaxe e os campos da condição de linha. Em caso de falha na validação, a caixa de diálogo Row Condition Validation Failed será exibida com o motivo do erro. A solicitação não será enviada e seus dados preenchidos serão mantidos. Corrija a condição de linha e envie a solicitação novamente. Se a mensagem Row Condition Validation Is Temporarily Unavailable for exibida, tente novamente mais tarde.

   • Objetos aplicáveis: Apenas tabelas são suportadas. Recursos e funções não são compatíveis. Permissões no nível da linha também podem ser configuradas ao conceder permissões em tabelas MaxCompute na aba Proactive authorization.

   Solicitação de permissão de recurso

   Item de configuração		Descrição
   Application Content	Data Source Type	Selecione o tipo MaxCompute.
   	Application Type	Resource
   	Workspace	Selecione o workspace onde o recurso desejado está localizado.
   	Project	Projeto MaxCompute associado ao workspace onde o recurso está localizado.
   	Resource Name	Nome do recurso para o qual você deseja solicitar permissões.

   Solicitação de permissão de função

   Item de configuração		Descrição
   Application Content	Data Source Type	Selecione o tipo MaxCompute.
   	Application Type	Function
   	Workspace	Selecione o workspace onde a função desejada está localizada.
   	Project	Projeto MaxCompute associado ao workspace onde a função está localizada.
   	Function Name	Nome da função para a qual você deseja solicitar permissões.

4. Configure as Application information.

   Item de configuração		Descrição
   Application information	User	Selecione a conta para a qual deseja solicitar permissões no recurso alvo. Current login account: Solicita as permissões da tabela desejada para a conta Alibaba Cloud atualmente conectada ao workspace do DataWorks. Account Used for Scheduling: Solicita as permissões da tabela desejada para o usuário RAM configurado como identidade de acesso de agendamento. Apply on Behalf of Others: Solicita as permissões da tabela desejada para outra conta Alibaba Cloud usando a conta atualmente conectada ao workspace do DataWorks. Ao escolher esta opção, configure o parâmetro Username.
   	Application duration	Defina um período de validade personalizado para as permissões. Elas serão revogadas automaticamente após expirarem. Nota Antes de usar este recurso, certifique-se de que a autorização baseada em políticas esteja habilitada no projeto MaxCompute onde a tabela reside. Para mais informações, consulte {{XREF_13}}. Para detalhes sobre políticas do MaxCompute, consulte {{XREF_14}}.
   	Reason for Application	Descreva brevemente o motivo da solicitação de permissões para que o aprovador possa entender sua necessidade.

5. Clique em Apply for Permissions para enviar a solicitação.

   Visualize os detalhes e registros de aprovação da solicitação atual na aba Permission Application Records.

Aprovação de permissão

Após o solicitante de permissão enviar uma solicitação, o aprovador de permissão poderá processá-la na página My Approval Tasks.

1. No painel de navegação à esquerda, escolha Application & Approval > My Approval Tasks e clique na aba Data Access Control. Na lista Pending Approval, filtre por Application account number, Application Time, Workspace, Project name, Object name e outras condições para visualizar as solicitações pendentes da conta Alibaba Cloud atual.

   Nota

   Se uma única solicitação contiver pedidos de permissão para múltiplas tabelas, ela será dividida automaticamente em várias solicitações com base nos proprietários das tabelas.

2. Clique em Approval na coluna Operation da solicitação desejada. Na caixa de diálogo Approval details, visualize os Application Details, o Approval record e outros detalhes. Nesta caixa de diálogo, execute as seguintes operações:

   • Com base nos detalhes da solicitação e em seus requisitos, decida se aprova ou não o pedido. Preencha os Approval Comments e clique em Agree ou Reject para processar a solicitação.

   • Modifique o Application Content e o Expiration Time da solicitação.

   Nota

   • Pending steps: Exibe todos os aprovadores que possuem permissões de aprovação.

   • Processed steps: Exibe apenas o aprovador que processou a solicitação.

   Além de aprovar solicitações individuais na caixa de diálogo de detalhes, selecione todas as solicitações na página My Approval Tasks e clique em Batch Agree ou Batch Reject. Preencha os Approval Comments para processar as solicitações desejadas em lote.

Visualizar registros de solicitação de permissão

No painel de navegação à esquerda, escolha Application & Approval > My Applications e clique na aba Data Access Control. Filtre por Approval status, Application Time, Workspace e outras condições para visualizar os registros de solicitação da conta Alibaba Cloud atual.

Clique em View details na coluna Operation da solicitação desejada para ver informações detalhadas. Para solicitações com Approval status igual a Approving, prossiga com as operações de aprovação subsequentes.

Se uma solicitação incluir permissões no nível da linha, uma tag Row permission aparecerá na coluna Object name. Verifique a condição de linha de cada tabela nos detalhes da solicitação.

Visualizar registros de aprovação de permissão

No painel de navegação à esquerda, escolha Application & Approval > My Approval Tasks e clique na aba Data Access Control. Defina o status da tarefa como All. Filtre por Application account number, Approval Results, Workspace e outras condições para visualizar os registros de aprovação da conta Alibaba Cloud atual.

Clique em View details na coluna Operation da solicitação desejada para ver informações detalhadas.

Permission Audit

Na aba Permission Audit, filtre e localize os recursos desejados, visualize as Authorization Information e clique em Reclaim permission ou View permissions na coluna Operation.