Controle de acesso a recursos de tenant no nível do projeto - : Central de Documentação do Alibaba Cloud

Este tópico explica o recurso de controle de acesso a recursos de tenant no nível do projeto, que permite configurar permissões de acesso no nível do projeto granulares para recursos de nível de tenant no MaxCompute.

Contexto

Os objetos de recurso do MaxCompute incluem objetos de tenant e objetos no nível do projeto.

Objetos de tenant: Incluem fontes de dados externas, conexões de rede, imagens personalizadas e grupos de cota. Um administrador de tenant utiliza uma política do RAM para controlar as permissões desses recursos.
Objetos no nível do projeto: Objetos pertencentes a um projeto, como schemas, tabelas, funções, instâncias, recursos, funções e visualizações. Um administrador de projeto controla as permissões desses objetos por meio dos modelos de autorização do MaxCompute.

É possível utilizar objetos de tenant em vários projetos. Por padrão, o MaxCompute não verifica se um projeto tem autorização para usar um objeto de tenant. Caso o proprietário de um objeto de tenant não queira que um projeto específico o utilize, ele pode ativar o controle de acesso a recursos de tenant no nível do projeto para vincular explicitamente o recurso a projetos específicos. Trata-se de um modelo opcional e aprimorado de controle de acesso.

Uso

O MaxCompute oferece dois modelos de segurança para controlar o acesso a objetos de tenant no nível do projeto.

Importante

A chave de controle de acesso a recursos de tenant no nível do projeto aplica-se a todos os objetos de tenant. Ao ativar essa chave, você habilita verificações de permissão para todos os recursos de tenant.
Este recurso está atualmente em preview e não pode ser ativado diretamente. Se precisar utilizá-lo, envie um ticket.

Modo 1: Ativar o controle de acesso a recursos de tenant no nível do projeto

O criador de um recurso de tenant pode especificar quais projetos podem usar o recurso configurando uma relação de montagem entre o recurso e os projetos.
Em seguida, o administrador do projeto concede aos usuários dentro do projeto permissões para usar o recurso por meio de um modelo de autorização.

Ao ativar o controle de acesso a recursos de tenant no nível do projeto, você controla quais projetos têm permissão para usar objetos de tenant específicos. Atualmente, não existe uma chave para que um administrador de tenant imponha esse recurso a todos os projetos.

Modo 2: Sem controle de acesso a recursos de tenant no nível do projeto

Qualquer usuário com permissão para executar tarefas em um projeto pode usar os recursos de tenant necessários para essas tarefas.

Mesmo que o criador de um recurso de tenant configure relações de montagem entre recursos e projetos, ou que um administrador de projeto conceda permissões de uso aos usuários por meio de uma política, essas configurações não terão efeito se o controle de acesso a recursos de tenant no nível do projeto estiver desativado. No entanto, as autorizações de política no nível de tenant permanecem válidas independentemente dessa configuração.

Ativar o controle de acesso a recursos de tenant no nível do projeto

Para ativar o controle de acesso a recursos de tenant no nível do projeto, execute as etapas a seguir:

Monte objetos de tenant em projetos:
1. Faça login no MaxCompute console e selecione uma região no canto superior esquerdo.
2. No painel de navegação à esquerda, acesse a página de configuração do objeto desejado: Manage Configurations > Quotas, Manage Configurations > Network Connection, Manage Configurations > External Data Source ou Manage Configurations > Images.
3. Na coluna Actions do objeto desejado, clique em Enhance Access Management, selecione os projetos a serem montados e conclua a configuração.
Visualize os objetos de tenant montados:
1. No painel de navegação à esquerda, escolha Manage Configurations > Projects. Na página Projects, clique em Manage na coluna Actions do projeto desejado para abrir sua página de configurações.
2. Na página Project Settings, selecione a aba Parameter Configuration. Na seção Permission Properties, clique em Edit. Em seguida, clique em View Tenant Resources Bound to Projects para ver o status de montagem entre o projeto e recursos como conexões de rede, fontes de dados externas, imagens personalizadas e grupos de cota.
Aplique uma política aos objetos de tenant montados no projeto:
1. No painel de navegação à esquerda, escolha Manage Configurations > Projects. Na página Projects, clique em Manage na coluna Actions do projeto desejado para abrir sua página de configurações.
2. Na página Project Settings, selecione a aba Role Permissions. Localize a função no nível do projeto desejada e clique em Edit Role na coluna Actions.
3. Na caixa de diálogo Edit Role, defina Authorization Method como Policy.
4. Na caixa de script Policy-based Access Control, modifique a política da função.
  
  Por exemplo, a política a seguir permite que o usuário a no projeto project_a use uma cota de 500 CU:
```
{
    "Statement":[
        {
            "Action":[
                "odps:Usage"
            ],
            "Effect":"Allow",
            "Resource":[
                "acs:odps:*:regions/*/quotas/500cu"
            ]
        }
    ],
    "Version":"1"
}
```
  Após conceder ao usuário a permissão para usar recursos de tenant dentro de project_a, você poderá controlar o acesso a recursos de tenant no nível de usuário ou função quando o controle de acesso a recursos de tenant no nível do projeto estiver ativado.
5. Para obter mais informações sobre configurações de política, consulte Policy-based access control.