Este tópico descreve como configurar políticas de aprovação personalizadas para MaxCompute e Hologres, além de explicar como visualizar as políticas de aprovação de permissões do DLF 1.0.
Limitações
Somente administradores de workspace e usuários RAM com a política
AliyunDataWorksFullAccesspodem criar e gerenciar políticas de aprovação.As políticas de aprovação do mecanismo de computação estão disponíveis apenas no DataWorks Enterprise Edition.
Criar uma política
-
Faça login no console do DataWorks. Na região de destino, clique em no painel de navegação à esquerda. Selecione um workspace na lista suspensa e clique em Go to Data Development.
-
No painel de navegação à esquerda, escolha Requests & Approvals > Approval Policies. Utilize a lista suspensa Approval Type na parte superior da página para filtrar por MaxCompute ou Hologres e abrir a página de gerenciamento de políticas de aprovação do mecanismo de computação.
Na página de gerenciamento de políticas de aprovação do mecanismo de computação, é possível visualizar as políticas existentes, bem como editá-las, excluí-las ou reordená-las.
-
Clique em Create Policy no canto superior direito para configurar a política de aprovação na página Create Approval Policy.
NotaO filtro de tipo de aprovação na página de lista exibe até 8 tipos. No entanto, a lista suspensa Approval Type no assistente Create Policy suporta apenas 4 tipos: MaxCompute, Hologres, Data Service e Extension. Os outros 4 tipos (DLF-Legacy, DLF, Lindorm e Data Asset Governance) são integrados ao sistema; seus botões de criação ficam desativados e não podem ser criados manualmente.
Inserir informações básicas
Insira um Policy Name e uma Purpose com base no cenário de negócios abrangido por esta política.
Especificar o intervalo de dados
É necessário definir o intervalo de dados que esta política de aprovação abrange. Após a criação da política, as solicitações de permissão para dados dentro desse intervalo serão direcionadas pela cadeia de aprovação definida nela.
A configuração de escopo difere entre MaxCompute e Hologres: o MaxCompute permite definir o escopo por projeto ou por categoria de dados e nível de sensibilidade; já o Hologres suporta apenas a definição de escopo por instância Hologres. Consulte a subseção correspondente ao seu tipo de aprovação.
Escopo do MaxCompute
Ao configurar o escopo para o mecanismo de computação MaxCompute, observe os seguintes pontos:
Selecione o projeto aplicável na lista suspensa MaxCompute Project. Todas as solicitações de permissão subsequentes para tabelas no projeto selecionado seguirão a cadeia de aprovação definida nesta política.
Cada projeto MaxCompute pode ser associado a apenas uma política de aprovação do MaxCompute. A associação de uma segunda política gera um erro de conflito.
-
A lista suspensa exibe apenas projetos MaxCompute nos quais sua conta atual possui a função Admin ou Super_Administrator. Caso não encontre o projeto desejado, alterne para uma conta com a função apropriada.
NotaUm administrador de workspace do DataWorks recebe a função role_project_admin, e não a função Admin ou Super_Administrator do MaxCompute.
Para verificar sua função, execute
whoamina página do DataStudio para obter as informações da sua conta e, em seguida, executeshow grants for <your_account>para confirmar se você possui a função Admin ou Super_Administrator.
Escopo do Hologres
Para o mecanismo de computação Hologres, o escopo é configurado de uma única forma: por instância Hologres.
No item de configuração Hologres Instance, selecione as instâncias aplicáveis na lista suspensa (seleção múltipla suportada, até 50). Todas as solicitações de permissão subsequentes para tabelas nas instâncias selecionadas seguirão a cadeia de aprovação definida nesta política.
Cada instância Hologres pode pertencer a apenas uma política de aprovação do Hologres. Instâncias já ocupadas por outra política aparecem acinzentadas e não selecionáveis. Passe o mouse sobre uma instância acinzentada para visualizar o nome da política conflitante.
Caso não encontre a instância desejada na lista suspensa, verifique se: (1) a instância pertence ao tenant do workspace atual do DataWorks; (2) sua conta atual tem permissão de visibilidade para essa instância.
As políticas de aprovação do Hologres não suportam definição de escopo por categoria e nível de sensibilidade do Data Security Guard. Essa capacidade está disponível atualmente apenas para o MaxCompute.
Configurar métodos de notificação
O DataWorks suporta métodos de notificação por mensagem de texto, e-mail, chatbot do DingTalk e webhook. Após configurar os métodos de notificação, os aprovadores serão notificados pelos canais selecionados quando uma solicitação de permissão for enviada.
Esta etapa define apenas os métodos de notificação. Os aprovadores reais são atribuídos na próxima etapa (Configurar a cadeia de aprovação).
Para garantir que os aprovadores recebam notificações por mensagem de texto e e-mail, adicione-os como contatos de alerta do DataWorks. Para mais detalhes, consulte View and configure alert contacts.
-
Para assegurar que os aprovadores recebam notificações do DingTalk, acesse as configurações de gerenciamento do chatbot do DingTalk, defina Security Settings como Custom Keywords, adicione a palavra-chave DataWorks e não selecione nenhuma outra configuração de segurança.
Se você não adicionar a palavra-chave DataWorks ou selecionar outras configurações de segurança, os aprovadores não receberão notificações do DingTalk.
Configurar a cadeia de aprovação
Na seção Configure Processing Links, defina o aprovador e a função para cada nó de aprovação. Observe os seguintes pontos:
Fluxo de aprovação: Após a configuração, o fluxo avança sequencialmente de cima para baixo. O próximo aprovador é notificado somente depois que o aprovador atual concede a aprovação.
-
Tipos de aprovador: Cada nó suporta diferentes tipos de aprovadores. Os tipos de aprovador do MaxCompute incluem: DataWorks Workspace Role, DataWorks Workspace Member, Table Owner, Alibaba Cloud Account e MaxCompute Role. Os tipos de aprovador do Hologres incluem: Table Owner, Alibaba Cloud Account e RAM User.
NotaQuando uma tarefa de aprovação está pendente, o DataWorks notifica todos os aprovadores usando os métodos configurados na etapa anterior. Para garantir que os aprovadores recebam notificações por mensagem de texto e e-mail, adicione-os como contatos de alerta do DataWorks. Para mais detalhes, consulte View and configure alert contacts.
Quando vários usuários compartilham a mesma função de aprovador em um nó, todos eles recebem a notificação. A aprovação de qualquer um deles é suficiente para avançar a solicitação para o próximo nó.
Definir prioridades da política
Se existirem tanto uma política baseada em projeto MaxCompute quanto uma política baseada no Data Security Guard, um único intervalo de dados pode ser abrangido por ambas. Nesse caso, defina prioridades na página de gerenciamento de políticas de aprovação do mecanismo de computação.
Na página de lista, arraste uma linha para ajustar a ordem de correspondência dentro do tipo de aprovação atual. O backend verifica as políticas em ordem crescente e para na primeira correspondência (número menor = prioridade maior). A coluna Matching Order exibe o número sequencial (1, 2, 3...) dentro do tipo atual, e não o valor interno de prioridade.
O tipo de aprovação Extension não exibe a coluna Matching Order e não suporta reordenação por arrastar e soltar nesta página. Sua prioridade deve ser configurada na página Security Center > Security Policies > Risk Identification Rules.
Configurar aprovação automática
Para políticas não sistêmicas do MaxCompute, ative o botão Auto-Pass no canto superior direito da página de criação/edição para configurar intervalos de dados que ignoram a cadeia de aprovação e são aprovados automaticamente.
A seção de configuração de aprovação automática fica visível apenas quando o tipo de aprovação é MaxCompute e a política não é uma política do sistema. Outros tipos de aprovação (Hologres, Data Service, Extension) e políticas do sistema do MaxCompute não renderizam este módulo.
O botão no canto superior direito do cartão de configuração de aprovação automática controla se esta seção está ativa. Desativar o botão limpa todos os intervalos de dados e níveis de sensibilidade configurados. Será necessário reconfigurá-los caso você o ative novamente.
A aprovação automática suporta os dois modos a seguir (seleção única; o padrão é Specify data range):
Specify data range: Selecione um projeto MaxCompute (seleção única) e, em seguida, selecione uma ou mais tabelas de dados (seleção múltipla).
Specify data sensitivity level: Selecione um ou mais níveis de segurança (seleção múltipla).
As solicitações de permissão que correspondem ao escopo de aprovação automática ignoram a cadeia de aprovação definida nesta política e são aprovadas automaticamente. A determinação final baseia-se na lógica do backend.