MaxCompute:Melhores práticas de autorização

Caso de uso:

Conceder a um grupo de membros do projeto permissões para criar tabelas, fazer upload de resources, criar funções e executar tarefas. O acesso deve ser restrito a somente leitura para tabelas cujos nomes começam com o prefixo t_app_.

Caso de uso: Algumas tabelas são críticas para o negócio e devem ser protegidas contra exclusão acidental. É necessário impedir que usuários específicos excluam qualquer tabela cujo nome comece com o prefixo tb_.

Procedimento:

Caso de uso:

Um analista de negócios precisa visualizar dados em tabelas de produção sem ver o código das tarefas de produção, exigindo acesso a um subconjunto específico de tabelas de vários projetos de produção.

Solução:

Como o analista não deve ver as tarefas de produção, crie um projeto separado para análise. Em cada projeto de produção, crie um package contendo as tabelas a serem compartilhadas e permita que o projeto de análise o instale. Após a instalação, conceda permissões ao analista. Essa abordagem elimina a necessidade de adicionar o analista a todos os projetos de produção e garante que ele possa visualizar apenas as tabelas de produção compartilhadas dentro do projeto de análise.

Neste exemplo, um package chamado Package_test é criado em um projeto de produção (Project_a). Uma table de produção (table_a) é adicionada a este package. O package é então instalado em um projeto de análise (Project_analyze), e um usuário (A*@aliyunid.com) recebe permissão para consultar a tabela através do package.

Procedimento:

1. No projeto de produção, crie um package.

   USE Project_a;
   CREATE PACKAGE Package_test;

2. No projeto de produção, adicione o recurso a ser compartilhado ao package.

   ADD table table_a TO PACKAGE Package_test;

3. No projeto de produção, permita que o projeto de análise instale o package.

   ALLOW PROJECT Project_analyze TO INSTALL PACKAGE Package_test;

4. No projeto de análise, instale o package.

   USE Project_analyze;
   INSTALL PACKAGE Project_a.Package_test;

5. Conceda ao analista permissão de leitura no package.

   GRANT read on package Package_test TO USER ALIYUN$A*****@aliyunid.com;

6. O analista agora pode consultar dados da tabela.

   select * from Project_a.table_a;

Procedimento:

1. No Project_a, use a Conta Alibaba Cloud A para criar um package chamado a_to_b_pkg e adicione as tabelas t1, t2 e t3 ao package.

   USE Project_a;
   CREATE PACKAGE a_to_b_pkg; 
   ADD table t1 TO PACKAGE a_to_b_pkg;
   ADD table t2 TO PACKAGE a_to_b_pkg;
   ADD table t3 TO PACKAGE a_to_b_pkg;

2. Permita que o projeto Project_b (de propriedade da Conta B) instale o package a_to_b_pkg.

   ALLOW PROJECT Project_b TO INSTALL PACKAGE a_to_b_pkg;

3. No projeto Project_b, use a Conta Alibaba Cloud B para instalar o package a_to_b_pkg.

   INSTALL PACKAGE Project_a.a_to_b_pkg;

4. Conceda aos usuários RAM da Conta B permissões nas tabelas do package.

   add user ram$B:b_user1; 
   add user ram$B:b_user2; 
   GRANT Describe , Select ON TABLE t1 TO USER ram$B:b_user1 PRIVILEGEPROPERTIES ("refobject" = "true", "refproject"="project_a", "package"="project_a.a_to_b_pkg");--Grant read permissions on table t1 to b_user1
   GRANT Describe , Select ON TABLE t2 TO USER ram$B:b_user1 PRIVILEGEPROPERTIES ("refobject" = "true", "refproject"="project_a", "package"="project_a.a_to_b_pkg");--Grant read permissions on table t2 to b_user1
   GRANT Describe , Select ON TABLE t3 TO USER ram$B:b_user2 PRIVILEGEPROPERTIES ("refobject" = "true", "refproject"="project_a", "package"="project_a.a_to_b_pkg");--Grant read permissions on table t3 to b_user2

Caso de uso:

Uma tabela chamada table_order no projeto ProjectA contém informações de pedidos de todos os comerciantes. Essa tabela deve ser compartilhada com os comerciantes, mas cada um deles deve conseguir ver apenas os pedidos correspondentes à sua própria loja.

Solução:

A tabela table_order contém uma coluna de ID do comerciante que pode ser usada para filtrar dados. Embora o MaxCompute não ofereça suporte direto ao controle de acesso no nível de linha, é possível alcançá-lo criando uma view separada para cada comerciante com base na tabela table_order e, em seguida, concedendo a cada comerciante permissões para sua view correspondente por meio de um package.

Procedimento:

1. No ProjectA, crie uma view dedicada para cada comerciante.

   CREATE VIEW <viewname> as select * from table_order WHERE sellerid='xxxx';

   <viewname> é o nome da view a ser criada.

2. No ProjectA, crie um package e compartilhe a view com o comerciante.

   create package <packagename>;
   add table <viewname> to package <packagename>;
   allow project <Projectname_seller> to install package <packagename>;

   <packagename> é o nome do package. <Projectname_seller> é o nome do projeto do MaxCompute do comerciante.

3. O comerciante instala o package em seu projeto e consulta a view.

   USE <Projectname_seller>;
   install package <ProjectA>.<packagename>;
   grant read on package <ProjectA>.<packagename> to user <username>;
   select * from <ProjectA>.<viewname>;

   <username> é o usuário no projeto do comerciante que precisa consultar a view.