Todos os produtos
Search

Este produto

    MaxCompute:Autorizar o MaxCompute a acessar o DLF

    Central de documentação

    MaxCompute:Autorizar o MaxCompute a acessar o DLF

    Última atualização: Sep 24, 2026

    Por padrão, um usuário RAM de um projeto MaxCompute não tem acesso aos recursos do Data Lake Formation (DLF) nem do Object Storage Service (OSS). Para habilitar esse acesso, crie uma função RAM dedicada com uma política de confiança personalizada e uma política de acesso.

    Informações gerais

    • Se o usuário RAM do projeto MaxCompute for o mesmo que a conta utilizada para implantar o DLF, defina o parâmetro service como odps.aliyuncs.com ao adicionar uma política de confiança.

    • Se o usuário RAM do projeto MaxCompute e a conta que implantou o DLF forem diferentes, defina o parâmetro service como <the account ID of the MaxCompute project owner>@odps.aliyuncs.com ao adicionar uma política de confiança. O Account ID está disponível em Account Center.

    Procedimento

    1. Acesse o RAM console e crie uma função RAM para uma Alibaba Cloud account confiável.

      Para mais informações, consulte Create a RAM role for a trusted Alibaba Cloud account.

    2. No RAM console, modifique a política de confiança da nova função RAM.

      Para mais informações, consulte Modify the trust policy of a RAM role. Use uma das seguintes políticas de confiança:

      • Se o projeto MaxCompute e o DLF estiverem na mesma conta:

        {
"Statement": [
{
 "Action": "sts:AssumeRole",
 "Effect": "Allow",
 "Principal": {
   "Service": [
     "odps.aliyuncs.com"
   ]
 }
}
],
"Version": "1"
}

      • Se o projeto MaxCompute e o DLF estiverem em contas diferentes:

        {
"Statement": [
{
 "Action": "sts:AssumeRole",
 "Effect": "Allow",
 "Principal": {
   "Service": [
     "<ACCOUNT_ID>@odps.aliyuncs.com"  
   ]
 }
}
],
"Version": "1"
}

    3. No RAM console, crie uma política de acesso personalizada para a nova função RAM.

      Para mais informações, consulte Create a custom access policy. A política a seguir concede as permissões necessárias:

      {
"Version": "1",
"Statement": [
{
 "Action": [
   "oss:ListBuckets",
   "oss:GetObject",
   "oss:ListObjects",
   "oss:PutObject",
   "oss:DeleteObject",
   "oss:AbortMultipartUpload",
   "oss:ListParts"
 ],
 "Resource": "*",
 "Effect": "Allow"
},
{
 "Action": [
 "dlf:CreateFunction",
"dlf:BatchGetPartitions",
"dlf:ListDatabases",
"dlf:CreateLock",
"dlf:UpdateFunction",
"dlf:BatchUpdateTables",
"dlf:DeleteTableVersion",
"dlf:UpdatePartitionColumnStatistics",
"dlf:ListPartitions",
"dlf:DeletePartitionColumnStatistics",
"dlf:BatchUpdatePartitions",
"dlf:GetPartition",
"dlf:BatchDeleteTableVersions",
"dlf:ListFunctions",
"dlf:DeleteTable",
"dlf:GetTableVersion",
"dlf:AbortLock",
"dlf:GetTable",
"dlf:BatchDeleteTables",
"dlf:RenameTable",
"dlf:RefreshLock",
"dlf:DeletePartition",
"dlf:UnLock",
"dlf:GetLock",
"dlf:GetDatabase",
"dlf:GetFunction",
"dlf:BatchCreatePartitions",
"dlf:ListPartitionNames",
"dlf:RenamePartition",
"dlf:CreateTable",
"dlf:BatchCreateTables",
"dlf:UpdateTableColumnStatistics",
"dlf:ListTableNames",
"dlf:UpdateDatabase",
"dlf:GetTableColumnStatistics",
"dlf:ListFunctionNames",
"dlf:ListPartitionsByFilter",
"dlf:GetPartitionColumnStatistics",
"dlf:CreatePartition",
"dlf:CreateDatabase",
"dlf:DeleteTableColumnStatistics",
"dlf:ListTableVersions",
"dlf:BatchDeletePartitions",
"dlf:ListCatalogs",
"dlf:UpdateTable",
"dlf:ListTables",
"dlf:DeleteDatabase",
"dlf:BatchGetTables",
"dlf:DeleteFunction"
 ],
 "Resource": "*",
 "Effect": "Allow"
}
]
}

    4. Vincule a política de acesso personalizada à nova função RAM.

      Para mais informações, consulte Manage permissions for a RAM role.