E-MapReduce:Execution roles

Procedimento

1. Crie uma política de acesso.

   1. Acesse a página de criação de políticas.

      1. Faça logon no console do RAM como administrador do RAM.

      2. No painel de navegação à esquerda, escolha Permissions > Policies.

      3. Na página Policies, clique em Create Policy.

   2. Na página Create Policy, clique na aba Json.

   3. Insira o conteúdo da política e clique em OK.

      {
        "Version": "1",
        "Statement": [
          {
            "Action": [
              "oss:ListBuckets",
              "oss:PutObject",
              "oss:ListObjectsV2",
              "oss:ListObjects",
              "oss:GetObject",
              "oss:CopyObject",
              "oss:DeleteObject",
              "oss:DeleteObjects",
              "oss:RestoreObject",
              "oss:CompleteMultipartUpload",
              "oss:ListMultipartUploads",
              "oss:AbortMultipartUpload",
              "oss:UploadPartCopy",
              "oss:UploadPart",
              "oss:GetBucketInfo",
              "oss:PostDataLakeStorageFileOperation",
              "oss:PostDataLakeStorageAdminOperation",
              "oss:GetBucketVersions",
              "oss:ListObjectVersions",
              "oss:DeleteObjectVersion"
            ],
            "Resource": [
              "acs:oss:*:*:serverless-spark-test-resources/*",
              "acs:oss:*:*:serverless-spark-test-resources"
            ],
            "Effect": "Allow"
          },
          {
            "Action": [
              "dlf:AlterDatabase",
              "dlf:AlterTable",
              "dlf:ListCatalogs",
              "dlf:ListDatabases",
              "dlf:ListFunctions",
              "dlf:ListFunctionNames",
              "dlf:ListTables",
              "dlf:ListTableNames",
              "dlf:ListIcebergNamespaceDetails",
              "dlf:ListIcebergTableDetails",
              "dlf:ListIcebergSnapshots",
              "dlf:CreateDatabase",
              "dlf:Get*",
              "dlf:DeleteDatabase",
              "dlf:DropDatabase",
              "dlf:DropTable",
              "dlf:CreateTable",
              "dlf:CommitTable",
              "dlf:UpdateTable",
              "dlf:DeleteTable",
              "dlf:ListPartitions",
              "dlf:ListPartitionNames",
              "dlf:CreatePartition",
              "dlf:BatchCreatePartitions",
              "dlf:UpdateTableColumnStatistics",
              "dlf:DeleteTableColumnStatistics",
              "dlf:UpdatePartitionColumnStatistics",
              "dlf:DeletePartitionColumnStatistics",
              "dlf:UpdateDatabase",
              "dlf:BatchCreateTables",
              "dlf:BatchDeleteTables",
              "dlf:BatchUpdateTables",
              "dlf:BatchGetTables",
              "dlf:BatchUpdatePartitions",
              "dlf:BatchDeletePartitions",
              "dlf:BatchGetPartitions",
              "dlf:DeletePartition",
              "dlf:CreateFunction",
              "dlf:DeleteFunction",
              "dlf:UpdateFunction",
              "dlf:ListPartitionsByFilter",
              "dlf:DeltaGetPermissions",
              "dlf:UpdateCatalogSettings",
              "dlf:CreateLock",
              "dlf:UnLock",
              "dlf:AbortLock",
              "dlf:RefreshLock",
              "dlf:ListTableVersions",
              "dlf:CheckPermissions",
              "dlf:RenameTable",
              "dlf:RollbackTable"
            ],
            "Resource": "*",
            "Effect": "Allow"
          },
          {
            "Action": [
              "dlf-dss:CreateDatabase",
              "dlf-dss:CreateFunction",
              "dlf-dss:CreateTable",
              "dlf-dss:DropDatabase",
              "dlf-dss:DropFunction",
              "dlf-dss:DropTable",
              "dlf-dss:DescribeCatalog",
              "dlf-dss:DescribeDatabase",
              "dlf-dss:DescribeFunction",
              "dlf-dss:DescribeTable",
              "dlf-dss:AlterDatabase",
              "dlf-dss:AlterFunction",
              "dlf-dss:AlterTable",
              "dlf-dss:ListCatalogs",
              "dlf-dss:ListDatabases",
              "dlf-dss:ListTables",
              "dlf-dss:ListFunctions",
              "dlf-dss:CheckPermissions"
            ],
            "Resource": "*",
            "Effect": "Allow"
          },
          {
            "Effect": "Allow",
            "Action": "dlf-auth:ActOnBehalfOfAnotherUser",
            "Resource": "*"
          }
        ]
      }

   4. Insira um Name, como test-serverless-spark, e Remarks e clique em OK.

      Esta política contém os seguintes elementos:

      • Action: especifica a operação em um recurso específico. Este exemplo concede permissões para ler dados e consultar diretórios no OSS e DLF.

      • Resource: define os objetos autorizados. Este exemplo concede acesso a todos os objetos do DLF e a todo o conteúdo do bucket do OSS chamado serverless-spark-test-resources. Substitua serverless-spark-test-resources pelo nome do seu bucket do OSS.

      Para mais informações sobre os elementos básicos de uma política de acesso, consulte Basic elements of an access policy.

2. Crie uma função do RAM.

   1. No painel de navegação à esquerda, escolha Identities > Role.

   2. Na página Role, clique em Create Role.

   3. Configure a função do RAM.

      1. No painel Create Role, configure os parâmetros a seguir e clique em OK.

         Parameter	Description
         Select Trusted Entity	Selecione Alibaba Cloud Service.
         Trusted Service	spark.emr-serverless.aliyuncs.com

      2. Insira um Role Name, como test-serverless-spark-jobrun, e clique em OK.

3. Conceda permissões à função do RAM.

   1. Na página Role, clique em Add Authorization na coluna Actions da função criada.

   2. No painel Add Authorization, selecione Custom policy e adicione a política de acesso criada na etapa anterior.

   3. Clique em OK.

   4. Clique em Close.

4. Crie um workspace e acesse recursos externos.

   1. Faça logon no console do E-MapReduce.

   2. No painel de navegação à esquerda, escolha EMR Serverless > Spark.

   3. Clique em Create Workspace e configure os parâmetros a seguir. Para mais informações sobre outros parâmetros, consulte Create a workspace.

      • Workspace Directory: selecione um caminho do OSS para o qual a função do RAM criada tenha permissões de leitura e gravação.

      • Execution Role: selecione a função do RAM criada, como test-serverless-spark-jobrun.

   4. Após a criação do workspace, execute um job em lote conforme descrito em Quick start for JAR development para verificar as permissões.

      • Se você enviar um arquivo para o bucket do OSS autorizado, o job será executado conforme esperado.

      • Se você enviar um arquivo para um bucket do OSS não autorizado, o job falhará com um erro de acesso negado ao caminho do OSS.

Acesso a dados do MaxCompute

Adicione a seguinte política de acesso à função de execução.

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "odps:ActOnBehalfOfAnotherUser",
      "Resource": [
        "acs:odps:*:*:users/default/aliyun/*",
        "acs:odps:*:*:users/default/ramuser/*",
        "acs:odps:*:*:users/default/ramrole/*"
      ]
    }
  ]
}

Acesso ao OSS criptografado com KMS

Adicione a seguinte política de acesso à função de execução.

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "kms:List*",
        "kms:DescribeKey",
        "kms:GenerateDataKey",
        "kms:Decrypt"
      ],
      "Resource": "*"
    }
  ]
}