Para executar tarefas do EMR no DataWorks, é necessário configurar a autenticação e a autorização tanto no EMR quanto no DataWorks, garantindo que suas tarefas sejam executadas conforme o esperado.
Informações básicas
No DataWorks, você obtém permissões do mecanismo EMR mapeando membros do workspace para contas do cluster EMR. Esse mapeamento gerencia a autenticação e a autorização de usuários no cluster. Assim, diferentes contas da Alibaba Cloud, proprietários de tarefas ou usuários RAM possuem permissões de dados distintas ao executar tarefas do EMR, o que permite o isolamento de permissões. Para obter mais informações sobre as permissões necessárias, consulte Configurações no lado do cluster EMR e Configurações no lado do DataWorks.
Limites
O DataWorks suporta apenas dois métodos para mapear membros do workspace para contas do cluster EMR: uso de contas LDAP ou contas de sistema. Ao configurar esse mapeamento de contas para um cluster registrado como instância de mecanismo de computação no DataWorks, aplicam-se os seguintes limites:
O mapeamento de contas no DataWorks é configurado no nível do cluster, sendo possível selecionar apenas um método de autenticação por cluster.
As credenciais da conta do cluster (nome de usuário e senha) mapeadas no DataWorks devem corresponder exatamente às credenciais reais do cluster.
As tarefas do EMR no DataWorks falham se a autenticação não estiver ativada no cluster ou se as credenciais da conta mapeadas no DataWorks não coincidirem com as credenciais reais do cluster.
|
Cenário |
Descrição |
|
Mapeamento para uma conta de sistema |
Se a conta do cluster mapeada no DataWorks não corresponder à conta real no cluster, as tarefas do EMR falharão. |
|
Mapeamento para uma conta LDAP |
As tarefas do EMR no DataWorks falham nos seguintes cenários:
|
Os métodos de autenticação suportados variam conforme o mecanismo EMR. Consulte a documentação do seu product para confirmar se o mecanismo desejado suporta autenticação LDAP.
Cluster EMR
-
Ativar um service de autenticação
Para utilizar uma conta que não seja de sistema na autenticação de identidade no cluster, ative primeiro o service de autenticação correspondente. Em seguida, adicione a esse service as contas usadas para o desenvolvimento de tarefas do EMR no DataWorks.
-
Ative o service de autenticação no cluster.
Para usar LDAP na autenticação de identidade, ative-o primeiramente no seu cluster. Para mais informações, consulte Ativar LDAP.
-
Planeje as contas que serão usadas para executar tarefas e adicione-as tanto ao service LDAP quanto ao workspace do DataWorks.
Recomendamos adicionar todos os usuários que precisam criar, testar, confirmar e publicar tarefas do EMR no DataStudio tanto ao service LDAP quanto ao workspace do DataWorks. Para mais informações, consulte Adicionar usuários a um workspace do DataWorks.
-
-
Controlar permissões de dados
Utilize componentes de gerenciamento de permissões no cluster EMR para isolar as permissões de dados dos usuários do DataWorks. Por exemplo, use o Ranger para gerenciar as permissões dos usuários do cluster que correspondem às contas da Alibaba Cloud.
DataWorks
-
Permissões do mecanismo EMR
Antes de executar tarefas do EMR no DataWorks, registre um cluster EMR como mecanismo de computação. A conta que realiza esse registro deve ter a política
AliyunEMRFullAccessanexada. Para obter mais informações sobre como conceder a políticaAliyunEMRFullAccessa um usuário, consulte Visão geral de usuários, funções e permissões. -
Permissões para usar recursos do DataWorks
Para executar tarefas do EMR no DataWorks, são necessárias permissões para recursos como DataStudio, Data Map, Data Quality e Operation Center, permitindo desenvolver tarefas e realizar operações de O&M e controle de qualidade. Para mais detalhes, consulte Permissões de recursos.
-
Configurar mapeamento de contas
Após configurar seu mecanismo EMR para execução em modo de segurança, acesse a página no DataWorks para mapear membros do workspace para contas do cluster. Isso concede aos membros as permissões das contas de cluster mapeadas, permitindo que os componentes relevantes apliquem o isolamento de permissões.
NotaPara obter mais informações sobre a configuração do mecanismo EMR e o mapeamento de contas, consulte Configurar o DataWorks.