Permissões do portal de gerenciamento - Realtime Compute for Apache Flink: Central de Documentação do Alibaba Cloud

Para acessar o console do Realtime Compute for Apache Flink e executar operações como visualizar, comprar ou excluir workspaces, usuários RAM e funções RAM precisam das permissões necessárias. O administrador da conta Alibaba Cloud proprietário do workspace Flink concede acesso anexando políticas no console RAM.

Quem deve ler este tópico

O uso do Resource Access Management (RAM) depende da sua função:

Usuário RAM — Caso encontre um erro de permissão ao acessar o console Flink ou executar uma operação, entre em contato com o administrador da sua conta Alibaba Cloud e solicite a concessão da política relevante. Consulte Authorization scenarios para identificar a permissão necessária.
Administrador de conta Alibaba Cloud — Determine o nível de acesso necessário para seus usuários e siga as instruções em Authorization procedure para anexar as políticas adequadas.
Autor de políticas — Crie políticas personalizadas combinando ações descritas em Realtime Compute for Apache Flink permission policies e Permission operations for related products.

Cenários de autorização

Cenário	Descrição
Impossibilidade de acessar o console do Realtime Compute for Apache Flink	Nenhuma informação de workspace fica visível e o sistema exibe o erro Current account lacks permissions. A mensagem indica o descritor de ação necessário `stream:ListRegionWithClusterQuantity` e o descritor de recurso `acs:stream::<AccountID>:vvpinstance/`, com código de erro 903065. Isso significa que você não tem permissão para acessar o console Flink. Entre em contato com o administrador da conta Alibaba Cloud que adquiriu o workspace e solicite a concessão de pelo menos permissões de somente leitura (`AliyunStreamReadOnlyAccess`) para sua conta. Consulte Authorization procedure. Após a autorização, acesse novamente ou atualize a página.
Impossibilidade de executar uma operação específica	O console exibe a caixa de diálogo Current account lacks permissions, mostrando o descritor de ação ausente (como `stream:ModifyVvpInstanceSpec`) e o descritor de recurso, com código de erro 401. Expanda Error Details para visualizar o ID da solicitação. Esse cenário indica que a conta atual não possui permissão para a operação. Solicite ao administrador da conta Alibaba Cloud que ajuste a política personalizada conforme suas necessidades. Consulte Authorization procedure. Por exemplo, se for necessário alocar recursos para um workspace por assinatura, sua conta deve receber a permissão correspondente de alocação de recursos.

Tipos de política

Uma política de acesso define um conjunto de permissões usando sintaxe e estrutura específicas. Ela especifica os recursos autorizados, as operações permitidas e as condições de autorização. O console RAM oferece suporte a dois tipos de políticas de acesso:

System policies: Criadas e mantidas pela Alibaba Cloud. Você pode utilizá-las, mas não modificá-las. A tabela a seguir lista as políticas de sistema compatíveis com o Flink.

Política de acesso	Nome	Descrição
Acesso total ao Realtime Compute for Apache Flink	AliyunStreamFullAccess	Inclui todas as permissões listadas em Custom policies.
Acesso somente leitura ao Realtime Compute for Apache Flink	AliyunStreamReadOnlyAccess	Abrange a permissão `HasStreamDefaultRole` e todas as permissões iniciadas com `Describe`, `Query`, `Check`, `List`, `Get` e `Search` descritas em Realtime Compute for Apache Flink permission policies.
Visualizar e pagar pedidos no User Center (BSS)	AliyunBSSOrderAccess	Concede permissões para visualizar e pagar pedidos no User Center.
Cancelar assinaturas de pedidos no User Center (BSS)	AliyunBSSRefundAccess	Concede permissão para cancelar assinaturas de pedidos no User Center.

Custom policies: Criadas, atualizadas e excluídas por você. Para obter mais informações sobre as políticas personalizadas compatíveis com o Flink e como criá-las, consulte Realtime Compute for Apache Flink permission policies e (Optional) Step 1: Create a custom policy.

Pré-requisitos

Antes de começar, certifique-se de ter:

Revisado o conteúdo em authorization instructions

Procedimento de autorização

(Opcional) Etapa 1: Criar uma política personalizada

Ignore esta etapa se planeja usar a política de sistema AliyunStreamFullAccess.

Comece com o conjunto de permissões de somente leitura para o Realtime Compute for Apache Flink e adicione pontos de controle de acesso mais granulares conforme necessário. Isso inclui as custom policies e permission operations for related products compatíveis com o Realtime Compute for Apache Flink.

A política a seguir concede permissões de somente leitura para o Realtime Compute for Apache Flink, equivalentes à política de sistema AliyunStreamReadOnlyAccess.

{
  "Version": "1",
  "Statement": [
    {
      "Action": [
        "stream:Describe*",
        "stream:Query*",
        "stream:Check*",
        "stream:List*",
        "stream:Get*",
        "stream:Search*",
        "stream:HasStreamDefaultRole"
      ],
      "Resource": "acs:stream:{#regionId}:{#accountId}:vvpinstance/{#instanceId}/vvpnamespace/{#namespace}",
      "Effect": "Allow"
    }
  ]
}

Substitua os espaços reservados pelos valores reais:

Espaço reservado	Descrição
`{#regionId}`	Região onde o workspace Flink de destino está localizado
`{#accountId}`	UID da conta Alibaba Cloud
`{#instanceId}`	ID da instância de pedido do Realtime Compute for Apache Flink de destino
`{#namespace}`	Nome do projeto de destino

Em uma política de acesso, Action define a operação, Resource especifica o objeto alvo e Effect determina se a operação é permitida ou negada. Para mais detalhes sobre a sintaxe de políticas, consulte Policy elements e Policy structure and syntax.

Para instruções detalhadas e exemplos, consulte Create a custom policy e Custom policy examples.

Etapa 2: Anexar a política a um membro

Anexe uma política de acesso a um usuário RAM ou função RAM para conceder as permissões especificadas. As etapas a seguir mostram como conceder permissões a um usuário RAM. O procedimento para uma função RAM é semelhante. Para mais informações, consulte Manage RAM roles.

Faça login no RAM console como administrador RAM.
No painel de navegação à esquerda, escolha Identities > Users.
Na página Users, localize o usuário RAM desejado e clique em Add Permissions na coluna Actions. Para conceder as mesmas permissões a vários usuários RAM simultaneamente, selecione-os e clique em Add Permissions na parte inferior da página.

No painel Add Permissions, configure os seguintes parâmetros.

Parâmetro	Descrição
Scope	Selecione o escopo de aplicação: Alibaba Cloud Account (permissões válidas na conta atual) ou Specific Resource Group (permissões válidas no grupo de recursos especificado).
Principal	Usuário RAM a ser autorizado. O sistema pré-seleciona o usuário RAM atual. Adicione outros usuários RAM conforme necessário.
Access Policy	Selecione uma política de sistema ou uma política personalizada criada por você.

Clique em Confirm New Authorization.
Clique em Close.

Etapa 3: Fazer login no console após a autorização

Após concluir a autorização, o usuário RAM ou função RAM pode fazer login no console do Realtime Compute for Apache Flink ou atualizar a página atual.

Tipo de login	Método de login	Referência
Usuário RAM da Alibaba Cloud	Login como usuário RAM	Log in to the Alibaba Cloud Management Console as a RAM user
Função RAM da Alibaba Cloud	Um usuário RAM da conta A assume uma função da conta A	Assuming a RAM role
Função RAM da Alibaba Cloud	Um usuário RAM da conta B assume uma função da conta A	Accessing resources across Alibaba Cloud accounts
Membro do diretório de recursos	Um usuário RAM da conta de gerenciamento assume uma função RAM de um membro	Log on to the Alibaba Cloud console by assuming a RAM role
Membro do diretório de recursos	Login como usuário RAM de um membro	Sign in to the Alibaba Cloud Management Console as a RAM user
Usuário raiz (não recomendado)	Login com uma conta Alibaba Cloud	Log in to the Alibaba Cloud Management Console as the root user
Usuário CloudSSO	Login assumindo uma função RAM	Use CloudSSO to centrally manage identities and permissions across multiple enterprise accounts
Usuário CloudSSO	Login como usuário RAM	—

Exemplos de políticas personalizadas

Todos os exemplos abaixo seguem o mesmo padrão: começam com permissões de somente leitura para o Realtime Compute for Apache Flink e adicionam as ações específicas necessárias para a tarefa.

Exemplo 1: Um usuário RAM ativa um workspace por assinatura

Para permitir que um usuário RAM ative um workspace por assinatura do Realtime Compute for Apache Flink com armazenamento totalmente gerenciado e monitoramento gratuito, inclua as seguintes permissões em uma política personalizada:

Permissões de somente leitura para o Realtime Compute for Apache Flink: stream:Describe*, stream:Query*, stream:Check*, stream:List*, stream:Get*, stream:Search* e stream:HasStreamDefaultRole
Permissão para comprar um workspace: stream:CreateVvpInstance
Permissão para consultar VPCs existentes: vpc:DescribeVpcs
Permissão para consultar vSwitches existentes: vpc:DescribeVSwitches
Permissões para visualizar e pagar pedidos no User Center: bss:DescribeOrderList, bss:DescribeOrderDetail, bss:PayOrder e bss:CancelOrder

{
  "Version": "1",
  "Statement": [
    {
      "Action": [
        "stream:Describe*",
        "stream:Query*",
        "stream:Check*",
        "stream:List*",
        "stream:Get*",
        "stream:Search*",
        "stream:HasStreamDefaultRole",
        "stream:CreateVvpInstance",
        "vpc:DescribeVpcs",
        "vpc:DescribeVSwitches",
        "bss:DescribeOrderList",
        "bss:DescribeOrderDetail",
        "bss:PayOrder",
        "bss:CancelOrder"
      ],
      "Resource": "*",
      "Effect": "Allow"
    }
  ]
}

Exemplo 2: Um usuário RAM ativa um workspace por assinatura (com AliyunStreamFullAccess já anexada)

Se um usuário RAM já possui a política de sistema AliyunStreamFullAccess, adicione uma política personalizada com as seguintes permissões para permitir que o usuário ative um workspace por assinatura com armazenamento totalmente gerenciado e monitoramento gratuito:

Permissão para consultar VPCs existentes: vpc:DescribeVpcs
Permissão para consultar vSwitches existentes: vpc:DescribeVSwitches
Permissões para visualizar e pagar pedidos no User Center: bss:DescribeOrderList, bss:DescribeOrderDetail, bss:PayOrder e bss:CancelOrder

{
  "Version": "1",
  "Statement": [
    {
      "Action": [
        "vpc:DescribeVpcs",
        "vpc:DescribeVSwitches",
        "bss:DescribeOrderList",
        "bss:DescribeOrderDetail",
        "bss:PayOrder",
        "bss:CancelOrder"
      ],
      "Resource": "*",
      "Effect": "Allow"
    }
  ]
}

Exemplo 3: Um usuário RAM desativa um workspace por assinatura

Para permitir que um usuário RAM desative um workspace Flink por assinatura, inclua as seguintes permissões:

Permissões de somente leitura para o Realtime Compute for Apache Flink: stream:Describe*, stream:Query*, stream:Check*, stream:List*, stream:Get*, stream:Search* e stream:HasStreamDefaultRole
Permissão para cancelar assinaturas de pedidos no User Center: bss:Describe* e bss:Refund*

{
  "Version": "1",
  "Statement": [
    {
      "Action": [
        "stream:Describe*",
        "stream:Query*",
        "stream:Check*",
        "stream:List*",
        "stream:Get*",
        "stream:Search*",
        "stream:HasStreamDefaultRole",
        "bss:Describe*",
        "bss:Refund*"
      ],
      "Resource": "*",
      "Effect": "Allow"
    }
  ]
}

Exemplo 4: Um usuário RAM desativa um workspace de pagamento conforme o uso

Para permitir que um usuário RAM desative um workspace Flink de pagamento conforme o uso, inclua as seguintes permissões:

Permissões de somente leitura para o Realtime Compute for Apache Flink: stream:Describe*, stream:Query*, stream:Check*, stream:List*, stream:Get*, stream:Search* e stream:HasStreamDefaultRole
Permissão para desativar um workspace: stream:DeleteVvpInstance

{
  "Version": "1",
  "Statement": [
    {
      "Action": [
        "stream:Describe*",
        "stream:Query*",
        "stream:Check*",
        "stream:List*",
        "stream:Get*",
        "stream:Search*",
        "stream:HasStreamDefaultRole",
        "stream:DeleteVvpInstance"
      ],
      "Resource": "*",
      "Effect": "Allow"
    }
  ]
}

Exemplo 5: Um usuário RAM aloca recursos para um projeto

Para permitir que um usuário RAM aloque recursos para um projeto do Realtime Compute for Apache Flink por assinatura, inclua as seguintes permissões:

Permissões de somente leitura para o Realtime Compute for Apache Flink: stream:Describe*, stream:Query*, stream:Check*, stream:List*, stream:Get*, stream:Search* e stream:HasStreamDefaultRole
Permissão para alterar os recursos de um projeto por assinatura: stream:ModifyVvpNamespaceSpec

{
  "Version": "1",
  "Statement": [
    {
      "Action": [
        "stream:Describe*",
        "stream:Query*",
        "stream:Check*",
        "stream:List*",
        "stream:Get*",
        "stream:Search*",
        "stream:HasStreamDefaultRole",
        "stream:ModifyVvpNamespaceSpec"
      ],
      "Resource": "*",
      "Effect": "Allow"
    }
  ]
}

Políticas personalizadas

Políticas de permissão do Realtime Compute for Apache Flink

Importante

Antes de configurar permissões para um projeto, configure primeiro a permissão DescribeVvpInstances. Sem ela, ocorre um erro de permissão quando os usuários tentam visualizar workspaces.

Workspaces Flink

{
  "Version": "1",
  "Statement": [
    {
      "Action": [
        "stream:CreateVvpInstance",
        "stream:DescribeVvpInstances",
        "stream:DeleteVvpInstance",
        "stream:RenewVvpInstance",
        "stream:ModifyVvpPrepayInstanceSpec",
        "stream:ModifyVvpInstanceSpec",
        "stream:ConvertVvpInstance",
        "stream:QueryCreateVvpInstance",
        "stream:QueryRenewVvpInstance",
        "stream:QueryModifyVvpPrepayInstanceSpec",
        "stream:QueryConvertVvpInstance"
      ],
      "Resource": "acs:stream:{#regionId}:{#accountId}:vvpinstance/{#InstanceId}",
      "Effect": "Allow"
    }
  ]
}

Ação	Descrição
`CreateVvpInstance`	Comprar um workspace do Realtime Compute for Apache Flink.
`DescribeVvpInstances`	Visualizar workspaces.
`DeleteVvpInstance`	Desativar um workspace Flink.
`RenewVvpInstance`	Renovar um workspace por assinatura.
`ModifyVvpPrepayInstanceSpec`	Dimensionar um workspace por assinatura.
`ModifyVvpInstanceSpec`	Ajustar a cota de um workspace de pagamento conforme o uso.
`ConvertVvpInstance`	Alterar o método de faturamento de um workspace.
`QueryCreateVvpInstance`	Consultar o preço para criação de um workspace.
`QueryRenewVvpInstance`	Consultar o preço para renovação de um workspace.
`QueryModifyVvpPrepayInstanceSpec`	Consultar o preço para dimensionamento de um workspace.
`QueryConvertVvpInstance`	Consultar o preço para alteração do método de faturamento de pagamento conforme o uso para assinatura.

Para comprar e visualizar workspaces, altere "Resource": "acs:stream:{#regionId}:{#accountId}:vvpinstance/{#instanceId}" para "Resource": "acs:stream:{#regionId}:{#accountId}:vvpinstance/*" .

Projetos Flink

{
  "Version": "1",
  "Statement": [
    {
      "Action": [
        "stream:CreateVvpNamespace",
        "stream:DeleteVvpNamespace",
        "stream:ModifyVvpPrepayNamespaceSpec",
        "stream:ModifyVvpNamespaceSpec",
        "stream:DescribeVvpNamespaces"
      ],
      "Resource": "acs:stream:{#regionId}:{#accountId}:vvpinstance/{#instanceId}/vvpnamespace/{#namespace}",
      "Effect": "Allow"
    }
  ]
}

Ação	Descrição
`CreateVvpNamespace`	Criar um projeto.
`DeleteVvpNamespace`	Excluir um projeto.
`ModifyVvpPrepayNamespaceSpec`	Alterar os recursos de um projeto por assinatura.
`ModifyVvpNamespaceSpec`	Alterar os recursos de um projeto de pagamento conforme o uso.
`DescribeVvpNamespaces`	Visualizar uma lista de projetos. Após configurar esta política, clique no ícone de expansão à esquerda do ID do workspace de destino para ver a lista de projetos nesse workspace. Para acessar o console de desenvolvimento de um projeto específico, você também precisa ter permissões para desenvolver jobs nesse projeto. Para mais informações, consulte Development console authorization.

Para criar e visualizar projetos, altere "Resource": "acs:stream:{#regionId}:{#accountId}:vvpinstance/{#instanceId}/vvpnamespace/{#namespace}" para "Resource": "acs:stream:{#regionId}:{#accountId}:vvpinstance/{#instanceId}/vvpnamespace/*" .

Operações de permissão para produtos relacionados

ECS

Para acessar o console de desenvolvimento pela internet, é necessário ativar um Elastic IP Address (EIP). Para conectar-se a recursos em uma Virtual Private Cloud (VPC), o Flink cria interfaces de rede elásticas (ENIs) na sua VPC e as adiciona a um grupo de segurança dedicado para Flink serverless. O Flink requer as seguintes permissões ECS para gerenciar esses recursos.

Ação	Descrição
`ecs:AssociateEipAddress`	Solicitar um endereço EIP para acessar o service Flink pela rede pública.
`ecs:AttachNetworkInterface`	Anexar sua ENI a um pool de recursos Flink.
`ecs:AuthorizeSecurityGroup`	Adicionar uma regra de entrada ao grupo de segurança criado pelo Flink.
`ecs:AuthorizeSecurityGroupEgress`	Adicionar uma regra de saída ao grupo de segurança criado pelo Flink.
`ecs:CreateNetworkInterface`	Criar uma ENI na sua VPC para suportar a conexão do Flink à sua VPC.
`ecs:CreateNetworkInterfacePermission`	Conceder permissões em ENIs ao service Flink.
`ecs:CreateSecurityGroup`	Criar o grupo de segurança utilizado pelo Flink.
`ecs:DeleteNetworkInterface`	Excluir ENIs de recursos relacionados após a conclusão de uma tarefa Flink.
`ecs:DeleteNetworkInterfacePermission`	Permitir que o service Flink desanexe sua ENI.
`ecs:DeleteSecurityGroup`	Excluir o grupo de segurança criado pelo Flink.
`ecs:DescribeNetworkInterfacePermissions`	Permitir que sua ENI seja desanexada de um pool de recursos Flink serverless.
`ecs:DescribeNetworkInterfaces`	Consultar ENIs.
`ecs:DescribeSecurityGroupAttribute`	Consultar as regras de um grupo de segurança.
`ecs:DescribeSecurityGroupReferences`	Consultar grupos de segurança e comportamentos de autorização no nível do grupo de segurança.
`ecs:DescribeSecurityGroups`	Consultar informações básicas sobre grupos de segurança criados.
`ecs:DetachNetworkInterface`	Desanexar sua ENI de um pool de recursos Flink.
`ecs:JoinSecurityGroup`	Adicionar uma ENI a um grupo de segurança especificado.
`ecs:LeaveSecurityGroup`	Remover uma ENI de um grupo de segurança especificado.
`ecs:ModifyNetworkInterfaceAttribute`	Modificar o nome, a descrição e o grupo de segurança de uma ENI.
`ecs:ModifySecurityGroupAttribute`	Modificar o nome ou a descrição de um grupo de segurança.
`ecs:ModifySecurityGroupPolicy`	Modificar a política de conectividade em um grupo de segurança.
`ecs:ModifySecurityGroupRule`	Modificar a descrição de uma regra de entrada de grupo de segurança.
`ecs:RevokeSecurityGroup`	Excluir uma regra de entrada de grupo de segurança.
`ecs:RevokeSecurityGroupEgress`	Excluir uma regra de saída de grupo de segurança.
`ecs:UnassociateEipAddress`	Liberar um EIP.

OSS

Para visualizar a lista de buckets OSS, conceda as seguintes permissões OSS.

Ação	Descrição
`oss:ListBuckets`	Visualizar a lista de buckets OSS.
`oss:GetBucketInfo`	Obter informações sobre um bucket.
`oss:GetObjectMetadata`	Obter metadados de um arquivo.
`oss:GetObject`	Obter um arquivo.
`oss:ListObjects`	Listar todos os objetos em um bucket.
`oss:PutObject`	Carregar um arquivo.
`oss:CopyObject`	Copiar arquivos (objetos) dentro e entre buckets na mesma região.
`oss:CompleteMultipartUpload`	Concluir o upload multipartido de um arquivo após o envio de todas as partes.
`oss:AbortMultipartUpload`	Cancelar um evento de upload multipartido e excluir os dados das partes correspondentes.
`oss:InitiateMultipartUpload`	Inicializar um evento de upload multipartido antes da transmissão de dados.
`oss:UploadPartCopy`	Copiar dados de um objeto existente para carregar uma parte.
`oss:UploadPart`	Carregar dados por parte com base no nome do objeto e no ID de upload especificados.
`oss:DeleteObject`	Excluir um arquivo (objeto).
`oss:PutBucketcors`	Definir regras de compartilhamento de recursos de origem cruzada (CORS) para um bucket especificado.
`oss:GetBucketCors`	Obter as regras CORS atuais de um bucket especificado.
`oss:PutBucket`	Criar um bucket.

Se você utilizar o recurso de criptografia do Key Management Service (KMS) do OSS, adicione políticas de acesso relacionadas ao KMS à função AliyunStreamAsiDefaultRole . Para mais informações, consulte Upload a file to a bucket for which default encryption is configured .

Application Real-Time Monitoring Service (ARMS)

As métricas do Flink são armazenadas no Application Real-Time Monitoring Service (ARMS), ativado automaticamente ao usar o Flink.

Ação	Descrição
`arms:ListDashboards`	Visualizar informações do painel ARMS.
`arms:CreateContact`	Criar um contato.
`arms:DeleteContact`	Excluir um contato.
`arms:SearchContact`	Pesquisar um contato.
`arms:UpdateContact`	Atualizar um contato.
`arms:CreateContactGroup`	Criar um grupo de contatos.
`arms:DeleteContactGroup`	Excluir um grupo de contatos.
`arms:SearchContactGroup`	Pesquisar um grupo de contatos.
`arms:UpdateContactGroup`	Atualizar um grupo de contatos.
`arms:SearchAlertRules`	Pesquisar regras de alerta.
`arms:CreateAlertRules`	Criar regras de alerta.
`arms:UpdateAlertRules`	Atualizar regras de alerta.
`arms:DeleteAlertRules`	Excluir regras de alerta.
`arms:StartAlertRule`	Iniciar uma regra de alerta.
`arms:StopAlertRule`	Pausar uma regra de alerta.
`arms:SearchAlarmHistories`	Visualizar informações históricas de alertas.
`arms:OpenArmsService`	Ativar o service ARMS.
`arms:CreateWebhook`	Criar um webhook.
`arms:UpdateWebhook`	Atualizar um webhook.
`arms:CreateDispatchRule`	Criar uma regra de agendamento.
`arms:ListDispatchRule`	Visualizar a lista de regras de despacho.
`arms:DeleteDispatchRule`	Excluir uma regra de agendamento.
`arms:UpdateDispatchRule`	Atualizar uma regra de agendamento.
`arms:DescribeDispatchRule`	Visualizar os detalhes de uma regra de agendamento.
`arms:GetAlarmHistories`	Obter histórico de envio de alertas.
`arms:SaveAlert`	Salvar uma regra de alerta.
`arms:DeleteAlert`	Excluir uma regra de alerta.
`arms:GetAlert`	Obter uma regra de alerta.
`arms:CheckServiceStatus`	Verificar o status de ativação do service.
`arms:InstallManagedPrometheus`	Criar uma instância gerenciada do Prometheus.
`arms:UninstallManagedPrometheus`	Desinstalar uma instância gerenciada do Prometheus.
`arms:GetManagedPrometheusStatus`	Obter o status de instalação de uma instância gerenciada do Prometheus.

VPC

As seguintes permissões VPC são necessárias durante a ativação do workspace para consultar e criar recursos VPC.

Ação	Descrição
`vpc:DescribeVpcAttribute`	Consultar a configuração de uma VPC especificada.
`vpc:DescribeVpcs`	Consultar VPCs criadas.
`vpc:DescribeVSwitchAttributes`	Consultar informações sobre um vSwitch especificado.
`vpc:DescribeVSwitches`	Consultar vSwitches criados.
`vpc:DescribeRouteTableList`	Consultar uma lista de tabelas de rotas.
`vpc:DescribeRouteTables`	Consultar uma tabela de rotas especificada.
`vpc:DescribeRouteEntryList`	Consultar uma lista de entradas de rota.
`vpc:DescribeRouterInterfaceAttribute`	Consultar configurações de interface de roteador.
`vpc:DescribeRouterInterfaces`	Consultar interfaces de roteador.
`vpc:DescribeVRouters`	Consultar uma lista de vRouters em uma região especificada.
`vpc:CreateVpc`	Criar uma VPC.
`vpc:CreateVSwitch`	Criar um vSwitch.

RAM

A seguinte permissão RAM é necessária durante a ativação do workspace para configuração de recursos.

Ação	Descrição
`ram:*`	Adicionar, excluir, modificar e consultar recursos RAM de domínio e aplicação.

TAG

Ação	Descrição
`tag:ListTagResources`	Consultar uma lista de tags de recursos.
`tag:ListTagKeys`	Consultar uma lista de chaves de tag.
`tag:ListTagValues`	Consultar os valores de tag correspondentes a uma chave de tag especificada.

Data Lake Formation (DLF)

As seguintes permissões do Data Lake Formation (DLF) são necessárias para acessar catálogos relacionados ao DLF durante a ativação do workspace.

Ação	Descrição
`dlf:BatchCreatePartitions`	Criar múltiplas partições simultaneamente.
`dlf:BatchCreateTables`	Criar múltiplas tabelas simultaneamente.
`dlf:BatchDeletePartitions`	Excluir múltiplas partições simultaneamente.
`dlf:BatchDeleteTables`	Excluir múltiplas tabelas simultaneamente.
`dlf:BatchGetPartitions`	Obter múltiplas partições simultaneamente.
`dlf:BatchGetTables`	Obter múltiplas tabelas simultaneamente.
`dlf:BatchUpdatePartitions`	Atualizar múltiplas partições simultaneamente.
`dlf:BatchUpdateTables`	Atualizar múltiplas tabelas simultaneamente.
`dlf:CreateCatalog`	Criar um catálogo de data lake.
`dlf:CreateDatabase`	Criar um banco de dados.
`dlf:CreateFunction`	Criar uma função.
`dlf:CreatePartition`	Criar uma partição.
`dlf:CreateTable`	Criar uma tabela.
`dlf:DeleteCatalog`	Excluir um catálogo de data lake.
`dlf:DeleteDatabase`	Excluir um banco de dados.
`dlf:DeleteFunction`	Excluir uma função.
`dlf:DeletePartition`	Excluir uma partição.
`dlf:DeleteTable`	Excluir uma tabela.
`dlf:GetAsyncTaskStatus`	Obter o status de uma tarefa assíncrona.
`dlf:GetCatalog`	Obter um catálogo de data lake.
`dlf:GetCatalogByInstanceId`	Obter um catálogo por ID de instância.
`dlf:GetCatalogSettings`	Obter as configurações de um data lake.
`dlf:GetDatabase`	Obter um banco de dados.
`dlf:GetFunction`	Obter uma função.
`dlf:GetPartition`	Obter uma partição.
`dlf:GetTable`	Obter uma tabela.
`dlf:ListCatalogs`	Obter uma lista de catálogos.
`dlf:ListDatabases`	Obter uma lista de bancos de dados.
`dlf:ListFunctionNames`	Obter uma lista de nomes de funções.
`dlf:ListFunctions`	Obter uma lista de funções.
`dlf:ListPartitionNames`	Obter uma lista de nomes de partições.
`dlf:ListPartitions`	Obter uma lista de partições.
`dlf:ListPartitionsByExpr`	Obter uma lista de partições por expressão.
`dlf:ListPartitionsByFilter`	Obter uma lista de partições por filtro.
`dlf:ListTableNames`	Obter uma lista de nomes de tabelas.
`dlf:ListTables`	Obter uma lista de tabelas.
`dlf:RenamePartition`	Renomear uma partição.
`dlf:RenameTable`	Renomear uma tabela.
`dlf:UpdateCatalog`	Atualizar um catálogo de data lake.
`dlf:UpdateDatabase`	Atualizar um banco de dados.
`dlf:UpdateFunction`	Atualizar uma função.
`dlf:UpdateTable`	Atualizar uma tabela.
`dlf:BatchGetPartitionColumnStatistics`	Obter estatísticas de partições de metadados simultaneamente.
`dlf:DeletePartitionColumnStatistics`	Excluir estatísticas de uma partição de tabela de metadados.
`dlf:DeleteTableColumnStatistics`	Excluir estatísticas de uma tabela de metadados.
`dlf:GetPartitionColumnStatistics`	Obter estatísticas de um campo de partição de metadados.
`dlf:GetTableColumnStatistics`	Obter estatísticas de um campo de tabela de metadados.
`dlf:UpdateTableColumnStatistics`	Atualizar estatísticas de uma tabela de metadados.
`dlf:UpdatePartitionColumnStatistics`	Atualizar estatísticas de uma partição de tabela de metadados.
`dlf:CreateLock`	Criar um bloqueio de metadados.
`dlf:UnLock`	Desbloquear um bloqueio de metadados especificado.
`dlf:AbortLock`	Abortar um bloqueio de metadados.
`dlf:RefreshLock`	Atualizar um bloqueio de metadados.
`dlf:GetLock`	Consultar um bloqueio de metadados.
`dlf:GetCatalogAccessInfo`	Usar um CatalogUuid para obter informações de armazenamento backend, como StorageName e StorageEndpoint.
`dlf:GetDataToken`	Usar um UUID para obter uma chave de dados no nível de catálogo ou tabela.
`dlf:GetDataTokenByName`	Usar CatalogUuid, DatabaseName e TableName para obter uma chave de dados no nível de catálogo ou tabela.
`dlf-auth:ActOnBehalfOfAnotherUser`	Transmitir uma identidade. Uma função vinculada a service (SLR) ou função de service (SR) acessa o DLF em nome de outro usuário.
`dlf:GrantPermissions`	Conceder permissões a um principal em recursos.
`dlf:RevokePermissions`	Revogar permissões em recursos de um principal.
`dlf:BatchGrantPermissions`	Conceder permissões em lote.
`dlf:BatchRevokePermissions`	Revogar permissões em lote.
`dlf:UpdatePermissions`	Atualizar as permissões de um principal em recursos.
`dlf:ListPermissions`	Obter informações de permissão de um recurso ou principal especificado.
`dlf:CreateRole`	Criar uma função.
`dlf:UpdateRole`	Atualizar uma função.
`dlf:DeleteRole`	Excluir uma função.
`dlf:GetRole`	Obter uma função.
`dlf:ListRoles`	Consultar uma lista de funções.
`dlf:GrantRolesToUser`	Conceder múltiplas permissões de função a um usuário especificado simultaneamente.
`dlf:RevokeRolesFromUser`	Revogar múltiplas permissões de função de um usuário especificado simultaneamente.
`dlf:GrantRoleToUsers`	Conceder uma permissão de função especificada a múltiplos usuários simultaneamente.
`dlf:RevokeRoleFromUsers`	Revogar uma permissão de função especificada de múltiplos usuários simultaneamente.
`dlf:UpdateRoleUsers`	Atualizar os usuários em uma função.
`dlf:ListRoleUsers`	Consultar uma lista de usuários em uma função.
`dlf:ListUserRoles`	Consultar uma lista de funções de usuário.
`dlf:GrantRolesToPrincipal`	Conceder múltiplas permissões de função a um principal especificado simultaneamente.
`dlf:RevokeRolesFromPrincipal`	Revogar múltiplas permissões de função de um principal especificado simultaneamente.
`dlf:GrantRoleToPrincipals`	Conceder uma permissão de função especificada a múltiplos principais simultaneamente.
`dlf:RevokeRoleFromPrincipals`	Revogar uma permissão de função especificada de múltiplos principais simultaneamente.
`dlf:UpdateRolePrincipals`	Atualizar os principais em uma função.
`dlf:BatchDeleteRoles`	Excluir múltiplas funções simultaneamente.
`dlf:CheckPermissions`	Verificar permissões.
`dlf:GetCatalogStorageStatistics`	Obter estatísticas de armazenamento do catálogo.
`dlf:GetCatalogStorageIndicatorDetails`	Obter tendências de métricas do catálogo.
`dlf:GetCatalogStorageRank`	Obter classificações de estatísticas de armazenamento do catálogo.
`dlf:GetCatalogStorageAnalysis`	Obter dados de distribuição de armazenamento do catálogo.
`dlf:GetDatabaseProfile`	Obter perfis de dados do banco de dados.
`dlf:GetDatabaseStorageAnalysis`	Obter dados de distribuição de armazenamento do banco de dados.
`dlf:GetTableProfile`	Obter perfis de dados da tabela.
`dlf:GetTableStorageAnalysis`	Obter dados de distribuição de armazenamento da tabela.
`dlf:ListPartitionProfiles`	Obter uma lista de perfis de dados de partição.
`dlf:getLatestStorageStatisticsDate`	Obter a última hora de atualização dos dados gerais de armazenamento.
`dlf:SubscribeOptimize`	Enviar para otimização.
`dlf:GetOptimizeRegionStatus`	Obter o status da região de otimização.
`dlf:GetOptimizeWorkspaceAuthorization`	Obter a autenticação de um workspace de otimização.
`dlf:AddOptimizeWorkspace`	Adicionar um workspace de otimização.
`dlf:ListOptimizeWorkspaces`	Obter uma lista de workspaces de otimização.
`dlf:PreCheckOptimizeWorkspaceConnection`	Pré-verificar uma conexão de workspace de otimização.
`dlf:CheckOptimizeWorkspaceConnection`	Verificar uma conexão de workspace de otimização.
`dlf:DeleteOptimizeWorkspace`	Excluir um workspace de otimização.
`dlf:SetOptimizeEnable`	Definir a opção de otimização de armazenamento.
`dlf:SetOptimizePolicy`	Definir uma política de otimização de armazenamento.
`dlf:GetOptimizePolicy`	Obter uma política de otimização de armazenamento.
`dlf:SetOptimizeScheduleRule`	Adicionar uma regra de agendamento de otimização de armazenamento.
`dlf:ListOptimizeScheduleRules`	Obter uma lista de agendamentos de otimização.
`dlf:DeleteOptimizeScheduleRule`	Excluir uma regra de agendamento de otimização de armazenamento.
`dlf:RunOptimizeImmediately`	Executar imediatamente a otimização de gerenciamento de armazenamento.
`dlf:GetOptimizeInfo`	Obter informações de otimização.
`dlf:UpdateOptimizeTaskResult`	Atualizar o resultado de uma tarefa de otimização de armazenamento.
`dlf:BatchDeleteTableVersions`	Excluir versões especificadas de uma tabela Data Lake simultaneamente.
`dlf:DeleteTableVersion`	Excluir uma versão especificada de uma tabela Data Lake.
`dlf:GetTableVersion`	Obter uma versão especificada de uma tabela Data Lake.
`dlf:ListTableVersions`	Consultar uma lista paginada de versões especificadas de uma tabela Data Lake.
`dlf:Search`	Recuperar metadados.
`dlf:SearchAcrossCatalog`	Pesquisar conteúdos como bancos de dados, tabelas e campos entre catálogos.
`dlf:GetServiceStatus`	Obter o status de ativação do service Data Lake Formation para um usuário.
`dlf:GetRegionStatus`	Obter o status de ativação do service Data Lake Formation em uma região especificada.

Próximos passos

Para permitir que múltiplos usuários compartilhem um projeto Flink e executem operações como desenvolvimento de jobs e O&M no console de desenvolvimento do Realtime Compute for Apache Flink, autorize o projeto. Consulte Development console authorization.

Why am I unable to go to the RAM console after I click Authorize in RAM during service activation?
Why am I prompted with a message indicating that the current account does not have the required permissions when I log on to the Realtime Compute for Apache Flink console?
Why cannot a RAM user view jobs after the AliyunStreamFullAccess policy is attached?
What do I do if I accidentally delete a role or change an authorization policy and the Realtime Compute for Apache Flink service becomes unavailable?
What should I do if I do not have the permissions to perform an operation and need to contact the role administrator?