No DataWorks, é possível controlar as service-level Permissions e as Permissions for Console Entities com políticas do Resource Access Management (RAM) do Alibaba Cloud. Para conceder permissões, anexe uma política a um usuário ou função RAM. Este tópico descreve as permissões disponíveis e como uma conta do Alibaba Cloud pode conceder políticas de gerenciamento do DataWorks aos usuários.
Permissões no nível de serviço: políticas do sistema e personalizadas
Por padrão, apenas uma conta do Alibaba Cloud possui permissões de gerenciamento no nível de serviço para o DataWorks. Para delegar essas permissões, conceda as seguintes políticas do sistema a um usuário RAM. Isso garante ao usuário RAM as mesmas permissões operacionais da conta do Alibaba Cloud.
|
Tipo de permissão |
Escopo |
Nome da política |
Descrição |
Referências |
|
Ações permitidas (políticas do sistema) |
gerencie serviços do DataWorks |
AliyunDataWorksFullAccess |
Concede a um usuário RAM permissões para gerencie recursos internos do DataWorks. Esta política não concede permissões para comprar recursos. |
Para obter instruções, consulte Grant permissions to a RAM user. |
|
Compre recursos |
AliyunBSSOrderAccess |
Permite que um usuário RAM visualize, pague e cancele pedidos no Billing Management. Com esta política, o usuário RAM pode comprar recursos e renovar serviços no console do DataWorks. |
||
|
Ações negadas (políticas personalizadas) |
Negue operações no DataWorks (granularidade fina) |
Personalizada |
Nega a um usuário o acesso ao console de gerenciamento, a entrada em módulos do DataWorks e a capacidade de chamar a OpenAPI. |
Primeiro, defina uma política consultando Service-level permission policies. Em seguida, anexe a política personalizada a um usuário RAM. Para obter instruções, consulte Create a custom policy (optional). |
|
Negue chamadas da OpenAPI (granularidade fina) |
Por padrão, um usuário com permissões em um módulo do DataWorks pode chamar as operações da OpenAPI desse módulo. Para negar todas as chamadas da OpenAPI, aplique esta política. |
|||
|
Negue acesso às páginas de módulos do DataWorks (granularidade fina) |
Por padrão, todos os usuários RAM sob uma conta do Alibaba Cloud são membros locatários do DataWorks. Isso permite o acesso a módulos globais e aos módulos dos espaços de trabalho aos quais ingressaram. É possível negar a um usuário específico o acesso a todas as páginas de módulos do DataWorks. |
Permissões de entidades do console: políticas personalizadas
O DataWorks oferece suporte ao controle de permissões de granularidade fina para as seguintes entidades do console:
|
Entidade |
Ações suportadas |
Referências |
|
Espaço de trabalho |
|
Para conceder permissões de console de granularidade fina, primeiro defina uma política personalizada consultando Console entity permission policies. Em seguida, anexe a política personalizada a um usuário RAM. Para obter instruções, consulte Grant permissions to a RAM user. |
|
Grupo de recursos |
|
|
|
Informações de alerta |
|
Conceda permissões a um usuário RAM
Use sua conta do Alibaba Cloud para fazer logon no RAM console.
No painel de navegação à esquerda, escolha .
-
Na página Users, encontre o usuário RAM de destino e clique em Attach Policy na coluna Actions para abrir o painel Grant Permission.
Conceda políticas do sistema e políticas personalizadas. Para conceder uma política personalizada, siga primeiro as instruções em create a custom policy antes de concedê-la a um usuário RAM aqui. Para as políticas do sistema e personalizadas disponíveis, consulte Service-level permissions: System and custom policies.
NotaPara obter detalhes sobre como configure os parâmetros, consulte Grant permissions to a RAM user.
Crie uma política personalizada (opcional)
Se precisar de controle de permissões do RAM de granularidade fina, crie uma política personalizada. Se as políticas do sistema integradas atenderem aos seus requisitos, ignore esta etapa.
Use a conta do Alibaba Cloud para crie uma política personalizada no Access Control. Para obter instruções, consulte Create a custom policy.
Para crie uma política de permissão personalizada no nível de serviço, defina o conteúdo da política conforme Service-level permission policies.
-
Para crie uma política de permissão personalizada para entidades do console, siga estas instruções: no painel de navegação à esquerda do console do RAM, escolha Permission Management > Policies, clique em Create Policy e selecione a guia Script Editor. O formato JSON da política é
{"Version":"1","Statement":[{"Effect":"Allow","Action":"dataworks:action_name","Resource":"acs:dataworks:$regionid:$accountid:resource_type/*"}]}. Os valores de Action e Resource correspondem às colunas Action e Resource na tabela de políticas de permissão.Campo da política
Descrição
Action
Defina o Action na política personalizada com base na coluna Action do item correspondente em Console entity permission policies.
Resource
Defina o Resource na política personalizada com base na coluna Resource do item correspondente em Console entity permission policies.
NotaObservações sobre o Resource:
Os valores da coluna Resource na tabela de políticas de permissão (no formato
acs:dataworks:$regionid:$accountid:resource_type/*) contêm dois tipos de conteúdo que você precisa substituir por valores reais:-
Placeholders que começam com
$: substitua-os por valores de ID reais. Por exemplo, substitua$regionidpelo ID da região real e$accountidpelo UID da conta do Alibaba Cloud. -
Curinga
: corresponde a todos os recursos nesse nível. Substitua-o por um valor específico para restringir o escopo da política. Por exemplo, substituaworkspace/porworkspace/specific_workspace_ID(por exemplo,workspace/12345) para aplicar a política apenas ao espaço de trabalho especificado.
-