O que são permissões de dados e quais permissões estão disponíveis? - Data Lake Formation: Central de Documentação do Alibaba Cloud

Gerenciamento de permissões

Configurações de permissão

Ative ou desative permissões para um catálogo de dados. Para mais informações, consulte Permission settings.

Informações básicas

Para configurar permissões, especifique os três elementos a seguir.

Elemento	Descrição
Principal	Usuário ou função que recebe as permissões. O usuário deve ser um usuário RAM ou uma função RAM. A função deve ser criada no data lake com o recurso role management. Especifique um principal em um dos seguintes formatos: Conta Alibaba Cloud: acs:ram::<ID da conta Alibaba Cloud>:root, por exemplo, `acs:ram::123456:root`. Usuário RAM: acs:ram::<ID da conta Alibaba Cloud>:user/<nome do usuário RAM>, por exemplo, `acs:ram::123456:user/user_a`. Função RAM: acs:ram::<ID da conta Alibaba Cloud>:role/<nome da função RAM>, por exemplo, `acs:ram::123456:role/role_a`.
Recurso	Os recursos gerenciados no data lake incluem: Catálogo de dados: contêiner de nível superior para metadados em um data lake. Um catálogo de dados pode conter vários bancos de dados. Banco de dados: banco de dados gerenciado nos metadados do data lake. Tabela: tabela gerenciada nos metadados do data lake. Coluna: coluna gerenciada nos metadados do data lake. Função: função gerenciada nos metadados do data lake.
Ação	As ações disponíveis dependem do tipo de recurso. Por exemplo, um banco de dados oferece suporte às permissões CreateTable e List; uma tabela, às permissões Select e Update; e uma coluna, apenas à permissão Select.

Visão geral de permissões

A tabela a seguir descreve as permissões compatíveis com o Data Lake Formation.

Recurso	Ação	Descrição
catálogo de dados	Alter	Permite que um principal modifique um catálogo de dados. Exemplo: execução do comando `alter catalog <catalog_name> set ...`.
	Drop	Permite que um principal exclua um catálogo de dados. Exemplo: execução do comando `drop catalog <catalog_name>`.
	Grant	Permite que um principal conceda permissões em um catálogo de dados. Exemplo: execução do comando `grant drop on catalog <catalog_name> to ...`.
	Create Database	Permite que um principal crie um banco de dados em um catálogo de dados. Exemplo: execução do comando `create database <catalog_name>.<database_name> ...`.
banco de dados	Describe	Permite que um principal visualize os metadados de um banco de dados ou alterne para ele. Exemplo: execução de comandos como `desc database <database_name>` e `use <database_name>`.
	Alter	Permite que um principal modifique um banco de dados. Exemplo: execução do comando `alter database <database_name> set location '<path>'`.
	Drop	Permite que um principal exclua um banco de dados. Exemplo: execução do comando `drop database <database>`.
	Create Table	Permite que um principal crie uma tabela em um banco de dados. Exemplo: execução do comando `create table <database_name>.<table_name> ...`.
	List	Permite que um principal visualize a lista de recursos em um banco de dados. Exemplo: execução do comando `show tables`. Importante O mecanismo E-MapReduce Spark não oferece suporte à verificação de permissões para a ação List. A lista de recursos não é filtrada pelas permissões do usuário e exibe todos os recursos.
tabela	Describe	Permite que um principal visualize os metadados de uma tabela. Exemplo: execução do comando `desc formatted <table_name>`.
	Alter	Permite que um principal modifique uma tabela. Exemplo: execução de comandos como `alter table <table_name> add columns ...` e `alter table <table_name> drop partition ...`.
	Drop	Permite que um principal exclua uma tabela. Exemplo: execução do comando `drop table <table_name>`.
	Select	Permite que um principal leia dados de uma tabela. Exemplo: execução do comando `select * from <table_name>`.
	Update	Permite que um principal atualize dados em uma tabela. Exemplo: execução de comandos como `insert into table <table_name>` e `delete from <table_name> where ...`.
coluna	Select	Permite que um principal leia dados de uma coluna. Exemplo: execução do comando `select <column_name1>, <column_name2> from <table_name>`.
função	Describe	Permite que um principal visualize os metadados de uma função.
	Alter	Permite que um principal modifique uma função.
	Drop	Permite que um principal exclua uma função.
	Execute	Permite que um principal use ou execute uma função.

Permissões de proprietário

Proprietário

O criador de um recurso é seu proprietário. Visualize o proprietário de um banco de dados ou tabela nas informações básicas dele.

Se um usuário RAM criar um banco de dados ou tabela no Data Lake Formation, esse usuário RAM será o proprietário do recurso. O proprietário é identificado pelo formato de principal do usuário.
Se um usuário Linux ou LDAP criar um recurso em um mecanismo E-MapReduce por meio de um comando SQL, esse usuário se tornará o proprietário do recurso.
O mecanismo Databricks não oferece suporte a proprietários de recursos.

Importante

Para integração com sistemas de big data open-source, o Data Lake Formation trata um usuário RAM e um usuário Linux ou LDAP com o mesmo nome de usuário como proprietários equivalentes. Por exemplo, um proprietário especificado como acs:ram::<Alibaba Cloud account ID>:user/user_a equivale a um proprietário especificado como user_a.
Quando uma conta Alibaba Cloud é proprietária de um recurso, ela não possui um usuário Linux ou LDAP equivalente. Note que um proprietário especificado como acs:ram::<Alibaba Cloud account ID>:root não equivale a um proprietário especificado como root.
No console do Data Lake Formation, visualize o nome de usuário de um usuário RAM em Data permissions > User. Ao usar um mecanismo E-MapReduce, adicione um usuário Linux ou LDAP com o mesmo nome do usuário RAM usando user management.

Permissões

O proprietário de um recurso possui todas as permissões sobre ele. Por exemplo, se o proprietário de um banco de dados for o usuário RAM user_a, o user_a poderá executar operações como Alter Database e Drop Database.

Importante

As permissões de proprietário sobre um recurso não se estendem aos seus recursos filhos. Por exemplo, o proprietário de um banco de dados tem permissões de proprietário apenas no próprio banco de dados, e não nas tabelas dentro desse banco de dados.

Verificação

Ao fazer login no console do Data Lake Formation como um usuário RAM, você terá permissões de proprietário para os recursos pertencentes a esse usuário RAM ou à sua identidade equivalente.
Ao usar um mecanismo E-MapReduce para acessar recursos de metadados do data lake, você é identificado como um usuário Linux ou LDAP e possui permissões de proprietário para os recursos pertencentes a esse usuário ou à sua identidade equivalente.
O mecanismo Databricks não oferece suporte à verificação de permissões de proprietário.

Mecanismos de computação compatíveis

O Data Lake Formation oferece suporte ao E-MapReduce. A tabela a seguir descreve os detalhes do suporte.

Versão principal do EMR		Hive	Spark	Presto	Impala
EMR 3.x	EMR-3.39.0 e anteriores	Não compatível	Não compatível	Não compatível	Não compatível
	EMR-3.40.0	Compatível	Compatível	Compatível	Não compatível
	EMR-3.41.0 a EMR-3.43.1	Compatível	Compatível	Não compatível	Não compatível
	EMR-3.44.0 e posteriores (planejado)	Compatível	Compatível	Compatível	Compatível
EMR 5.x	EMR-5.5.0 e anteriores	Não compatível	Não compatível	Não compatível	Não compatível
	EMR-5.6.0	Compatível	Compatível	Compatível	Não compatível
	EMR-5.7.0 a EMR-5.9.1	Compatível	Compatível	Não compatível	Não compatível
	EMR-5.10.0 e posteriores (planejado)	Compatível	Compatível	Compatível	Compatível