MaxCompute:Acesso a recursos entre projetos com base em packages

Informações básicas

A figura anterior mostra que o mecanismo de controle de acesso baseado em packages envolve duas entidades: criador do package e usuário do package. A tabela a seguir descreve as informações sobre essas entidades e as operações que elas podem executar.

Limites

Criar um package

O criador do package cria um package em um projeto MaxCompute.

• Sintaxe

  create package <package_name>;

• Parâmetros

  Parâmetro	Obrigatório	Descrição
  package_name	Sim	Nome do package, que deve ser único dentro do projeto. O nome deve ter entre 1 e 128 caracteres e pode conter letras, dígitos e sublinhados (_). Execute o comando show packages; na MaxCompute client para visualizar todos os packages criados.

• Exemplos

  Neste exemplo, a conta Alibaba Cloud Bob@aliyun.com é proprietária do projeto test_project_a e precisa autorizar outros projetos a acessar recursos específicos desse projeto. Crie um package. Comandos de exemplo:

  -- Switch to the test_project_a project.
  use test_project_a; 
  -- Create a package.
  create package datashare;

Adicionar recursos a um package

O criador do package adiciona ao package criado os recursos necessários aos usuários do package.

• Sintaxe

  add <object_type> <object_name> to package <package_name> [with privileges <privileges>];

• Limites

  Não é possível adicionar projetos a um package.

• Precauções

  Ao adicionar recursos a um package, eles não são empacotados como snapshots. Se os dados do recurso forem atualizados após a adição ao package, os usuários do package acessarão a versão mais recente dos dados.

• Parâmetros

  Parâmetro	Obrigatório	Descrição
  object_type	Sim	Tipo do objeto a ser adicionado ao package. Especifique apenas um tipo de objeto por vez. Para mais informações sobre tipos de objetos, consulte Permissions.
  object_name	Sim	Nome do objeto a ser removido do package. Obtenha o nome do objeto usando um dos seguintes métodos: Nome da tabela ou view: Execute o comando show tables; na MaxCompute client. Nome do arquivo de recurso: Execute o comando list resources; na MaxCompute client. Nome da função: Execute o comando list functions; na MaxCompute client. Nome da instância: Execute o comando show instances; na MaxCompute client. Nota É possível usar o caractere curinga asterisco () ao adicionar recursos. Por exemplo, add table to package package_name; adiciona todas as tabelas ao package. Ao adicionar recursos a um package, não especifique o nome do recurso no formato NomeDoProjeto.NomeDoRecurso. Por exemplo, para adicionar uma tabela chamada table do Projeto A a um package, não use A.table como nome do recurso. Especifique apenas table.
  package_name	Sim	Nome do package. Execute o comando show packages; na MaxCompute client para visualizar todos os packages criados.
  privileges	Não	Permissões de operação sobre os recursos no package. Se este parâmetro não for especificado, as permissões Read, Describe e Select serão adicionadas aos recursos por padrão. Os recursos e suas permissões de operação são inseparáveis e não podem ser atualizados após a adição ao package. Para modificar os recursos ou as permissões de operação associadas, remova-os do package e adicione novamente os recursos atualizados com as novas permissões. Para mais informações sobre permissões de operação, consulte Permissions.

• Exemplos

  Adicione o arquivo de recurso udtf.jar e as tabelas sale_detail e bank_data do projeto test_project_a ao package criado. Comandos de exemplo:

  -- Add resources to the package.
  add resource udtf.jar to package datashare;
  add table sale_detail to package datashare;

Remover recursos de um package

O criador do package remove recursos do package criado.

• Sintaxe

  remove <object_type> <object_name> from package <package_name>; 

• Parâmetros

  Parâmetro	Obrigatório	Descrição
  object_type	Sim	Tipo do objeto a ser removido do package. Remova apenas um objeto por vez. Para mais informações sobre tipos de objetos, consulte Permissions.
  object_name	Sim	Nome do objeto a ser removido do package. Obtenha o nome do objeto usando um dos seguintes métodos: Nome da tabela ou view: Execute o comando show tables; na MaxCompute client. Nome do arquivo de recurso: Execute o comando list resources; na MaxCompute client. Nome da função: Execute o comando list functions; na MaxCompute client. Nome da instância: Execute o comando show instances; na MaxCompute client.
  package_name	Sim	Nome do package. Execute o comando show packages; na MaxCompute client para visualizar todos os packages criados.

• Exemplos

  Remova a tabela sale_detail do package datashare. Comando de exemplo:

  --Remove a resource from a package.
  remove Table sale_detail from package datashare;

Autorizar um projeto a usar um package

O criador do package em um projeto autoriza outros projetos a usar o package criado.

• Sintaxe

  allow project <project_name> to install package <package_name> [using label <number>];

• Parâmetros

  Parâmetro	Obrigatório	Descrição
  project_name	Sim	Nome do projeto MaxCompute que você deseja autorizar a usar o package. Faça login no MaxCompute console, selecione uma região no canto superior esquerdo e localize o nome do projeto na aba Projects.
  package_name	Sim	Nome do package. Execute o comando show packages; na MaxCompute client para visualizar todos os packages criados.
  number	Não	Este parâmetro aplica uma política de controle de acesso baseada em rótulos. Ele define o nível de sensibilidade dos dados que o usuário do package pode acessar. O projeto MaxCompute autorizado terá acesso apenas aos dados do package cujo nível de sensibilidade seja igual ou inferior ao valor especificado em number. Se não especificado, o nível de sensibilidade padrão é 0. Para mais informações sobre controle de acesso baseado em rótulos, consulte Label-based access control.

• Exemplos

  Autorize o projeto test_project_b a instalar o package datashare criado no projeto test_project_a. Comando de exemplo:

  -- Allow the test_project_b project to install the package.
  allow project test_project_b to install package datashare;

Revogar permissões de acesso a um package de um projeto

O criador do package revoga as permissões de acesso a um package de um projeto.

• Sintaxe

  disallow project <project_name> to install package <package_name>;

• Parâmetros

  Parâmetro	Obrigatório	Descrição
  project_name	Sim	Nome do projeto MaxCompute do qual você deseja revogar as permissões de acesso ao package. Faça login no MaxCompute console, selecione uma região no canto superior esquerdo e localize o nome do projeto na aba Projects.
  package_name	Sim	Nome do package. Execute o comando show packages; na MaxCompute client para visualizar todos os packages criados.

• Exemplos

  Revogue as permissões de instalação do package datashare do projeto test_project_a para o projeto test_project_b. Comando de exemplo:

  -- Revoke the package authorization.
  disallow project test_project_b to install package datashare;

Excluir um package

O criador do package exclui um package.

• Sintaxe

  delete|drop package <package_name>;

• Precauções

  A exclusão de um package remove todas as informações sobre as permissões concedidas por meio dele.

• Parâmetros

  Parâmetro	Obrigatório	Descrição
  package_name	Sim	Nome do package a ser excluído. Execute o comando show packages; na MaxCompute client para visualizar todos os packages criados.

• Exemplos

  Exclua o package datashare criado no projeto test_project_a. Comando de exemplo:

  -- Drop the package.
  drop package datashare;

Visualizar packages

O criador do package visualiza os packages criados ou instalados em um projeto MaxCompute.

• Sintaxe

  show packages;

• Exemplos

  Visualize as informações sobre os packages criados ou instalados no projeto test_project_a. Comando de exemplo:

  -- View a list of packages.
  show packages;

  O resultado retornado contém as seguintes informações:

  • PackageName: nome do package criado ou instalado.

  • CreateTime: momento da criação do package.

  • SourceProject: nome do projeto MaxCompute ao qual o package pertence.

  • InstallTime: momento da instalação do package.

  • Status: status atual do package.

  +-------------+--------------------------+
  | PackageName | CreateTime               |
  +-------------+--------------------------+
  | datashare   | 2021-12-28T18:10:39+0800 |
  +-------------+--------------------------+
  +-------------+--------------------+--------------------------+--------+
  | PackageName | SourceProject      | InstallTime              | Status |
  +-------------+--------------------+--------------------------+--------+
  | systables   | information_schema | 2020-11-24T14:11:23+0800 | OK     |
  +-------------+--------------------+--------------------------+--------+

Visualizar detalhes de um package

O criador do package visualiza os detalhes de um package criado em um projeto MaxCompute.

• Sintaxe

  describe package <package_name>;

• Parâmetros

  Parâmetro	Obrigatório	Descrição
  package_name	Sim	Nome do package. Execute o comando show packages; na MaxCompute client para visualizar todos os packages criados.

• Exemplos

  Visualize os recursos e permissões incluídos no package datashare do projeto test_project_a. Comando de exemplo:

  -- View the details of the datashare package.
  describe package datashare;

  O resultado retornado contém as seguintes informações:

  • CreateTime: momento da criação do package.

  • PackageName: nome do package.

  • SourceProject: nome do projeto MaxCompute ao qual o package pertence.

  • ObjectType: tipo de um objeto no package.

  • ObjectName: nome de um objeto no package.

  • ObjectPrivileges: permissões sobre um objeto no package.

  • ProjectName: projeto autorizado a instalar o package.

  • UserLabel: rótulo do usuário.

  CreateTime:         2021-12-28T18:10:39+0800
  PackageName:        datashare
  SourceProject:      test_project_a
  
  Object List
  +--------------+------------------------------------------+------------------+
  | ObjectType   | ObjectName                               | ObjectPrivileges |
  +--------------+------------------------------------------+------------------+
  | RESOURCE     | udtf.jar                                 | Read             |
  +--------------+------------------------------------------+------------------+
  | TABLE        | sale_detail                              | Describe,Select  |
  +--------------+------------------------------------------+------------------+
  
  Allowed Project List
  +-----------------+-----------+
  | ProjectName     | UserLabel |
  +-----------------+-----------+
  | test_project_b  | 0         |
  +-----------------+-----------+

Instalar um package

O usuário do package instala um package em um projeto MaxCompute.

• Sintaxe

  install package <project_name>.<package_name>;

• Precauções

  O package é expandido durante a instalação. Após a instalação, execute o comando show packages; para visualizar o package instalado e o comando describe package <package_name>; para verificar seus recursos e permissões.

• Parâmetros

  Parâmetro	Obrigatório	Descrição
  project_name	Sim	Nome do projeto MaxCompute ao qual o package pertence. Faça login no MaxCompute console, selecione uma região no canto superior esquerdo e localize o nome do projeto na aba Projects.
  package_name	Sim	Nome do package. Execute o comando show packages; na MaxCompute client para visualizar todos os packages criados.

• Exemplos

  Instale o package datashare do projeto test_project_a no projeto test_project_b. Neste exemplo, a conta Alibaba Cloud Amy@aliyun.com é proprietária do projeto test_project_b. Comando de exemplo:

  -- Switch to the test_project_b project.
  use test_project_b; 
  -- Install the package.
  install package test_project_a.datashare;

Visualizar detalhes de um package instalado

O usuário do package visualiza os detalhes de um package instalado em um projeto MaxCompute.

• Sintaxe

  describe package <project_name>.<package_name>;

• Parâmetros

  Parâmetro	Obrigatório	Descrição
  project_name	Sim	Nome do projeto MaxCompute ao qual o package pertence. Faça login no MaxCompute console, selecione uma região no canto superior esquerdo e localize o nome do projeto na aba Projects.
  package_name	Sim	Nome do package. Execute o comando show packages; na MaxCompute client para visualizar todos os packages criados.

• Exemplos

  Visualize os recursos e permissões no package datashare instalado no projeto test_project_b. Comando de exemplo:

  -- View the details of the package.
  describe package test_project_a.datashare;

  O resultado retornado contém as seguintes informações:

  • CreateTime: momento da criação do package.

  • PackageName: nome do package.

  • SourceProject: nome do projeto MaxCompute ao qual o package pertence.

  • ObjectType: tipo de um objeto no package.

  • ObjectName: nome de um objeto no package.

  • ObjectPrivileges: permissões sobre um objeto no package.

  CreateTime:         2021-12-28T18:10:39+0800
  PackageName:        datashare
  SourceProject:      test_project_a
  
  Object List
  +--------------+------------------------------------------+------------------+
  | ObjectType   | ObjectName                               | ObjectPrivileges |
  +--------------+------------------------------------------+------------------+
  | RESOURCE     | udtf.jar                                 | Read             |
  +--------------+------------------------------------------+------------------+
  | TABLE        | sale_detail                              | Describe,Select  |
  +--------------+------------------------------------------+------------------+

Autorizar um usuário ou função a acessar um package

O usuário do package autoriza um usuário ou função a acessar um package no projeto MaxCompute onde o package está instalado.

O package instalado é um tipo de objeto independente no MaxCompute. Para acessar os recursos de um package, é necessária a permissão Read sobre ele. Caso não possua essa permissão, o proprietário do projeto ou usuários com a função Super_Administrator ou Admin podem concedê-la usando listas de controle de acesso (ACLs). Para mais informações sobre controle de acesso baseado em ACL, consulte ACL-based access control.

• Sintaxe

  grant <actions> on package <project_name>.<package_name> to {USER|ROLE} <name>;

• Precauções

  Após a concessão da permissão Read a um usuário ou função, o acesso aos recursos do package será permitido apenas no projeto onde o package foi instalado. Para gerenciar permissões de packages de forma granular, consulte Access control for packages.

• Parâmetros

  Parâmetro	Obrigatório	Descrição
  actions	Sim	Permissões de operação sobre os recursos no package. Defina o valor como Read.
  project_name	Sim	Nome do projeto MaxCompute ao qual o package pertence. Faça login no MaxCompute console, selecione uma região no canto superior esquerdo e localize o nome do projeto na aba Projects.
  package_name	Sim	Nome do package. Execute o comando show packages; na MaxCompute client para visualizar todos os packages criados.
  name	Sim	Nome da conta de usuário ou função à qual você deseja conceder permissões de acesso. Especifique apenas uma conta de usuário ou função por operação de autorização. Execute o comando list users; ou list roles; na MaxCompute client para obter o nome da conta de usuário ou da função.

• Exemplos

  Neste exemplo, Bella é uma usuária RAM da conta Alibaba Cloud Amy@aliyun.com. Autorize Bella a acessar o package datashare. Comando de exemplo:

  -- Grant Bella permission to access the package.
  grant Read on package test_project_a.datashare to user RAM$Amy@aliyun.com:Bella;

Revogar permissões de acesso a um package de um usuário ou função

O usuário do package revoga as permissões de acesso a um package de um usuário ou função no projeto MaxCompute onde o package está instalado.

• Sintaxe

  revoke <actions> on package <project_name>.<package_name> from {USER|ROLE} <name>;

• Parâmetros

  Parâmetro	Obrigatório	Descrição
  actions	Sim	Permissões de operação sobre os recursos no package. Defina o valor como Read.
  project_name	Sim	Nome do projeto MaxCompute ao qual o package pertence. Faça login no MaxCompute console, selecione uma região no canto superior esquerdo e localize o nome do projeto na aba Projects.
  package_name	Sim	Nome do package. Execute o comando show packages; na MaxCompute client para visualizar todos os packages criados.
  name	Sim	Nome da conta de usuário ou função da qual você deseja revogar as permissões de acesso ao package. Especifique apenas uma conta de usuário ou função por operação de revogação. Execute o comando list users; ou list roles; na MaxCompute client para localizar o nome da conta de usuário ou da função.

• Exemplos

  Revogue as permissões de acesso ao package de Bella. Comando de exemplo:

   -- Revoke access to the package from the user RAM$Amy@aliyun.com:Bella.
  revoke Read on package test_project_a.datashare from user RAM$Amy@aliyun.com:Bella;

Desinstalar um package

O usuário do package desinstala um package instalado em um projeto MaxCompute.

• Sintaxe

  uninstall package <project_name>.<package_name>;

• Parâmetros

  Parâmetro	Obrigatório	Descrição
  project_name	Sim	Nome do projeto MaxCompute ao qual o package pertence. Faça login no MaxCompute console, selecione uma região no canto superior esquerdo e localize o nome do projeto na aba Projects.
  package_name	Sim	Nome do package. Execute o comando show packages; na MaxCompute client para visualizar todos os packages criados.

• Exemplos

  Desinstale o package datashare instalado no projeto test_project_b. Comando de exemplo:

  -- Uninstall the package.
  uninstall package test_project_a.datashare;

Exemplo de uso

Referências

• Após criar e instalar um package, você pode executar as seguintes operações:

  • Package access control

  • Query Package permissions

• Migrate data across MaxCompute projects in the same region by using CLONE TABLE.

• Migrate data across MaxCompute projects in different regions by using cross-project data access (para migrações dentro de uma única conta Alibaba Cloud ou entre várias contas).

• Use o DataWorks para migrar dados do MaxCompute entre projetos. Para mais informações, consulte MaxCompute data sources.