Como conceder e gerenciar permissões para funções no nível do tenant - MaxCompute: Central de Documentação do Alibaba Cloud

Este tópico descreve como conceder permissões a funções no nível do tenant, usar comandos relacionados e gerenciar essas funções para controlar o acesso a objetos desse nível, como cotas e NetworkLinks.

Contexto

No MaxCompute, as permissões para objetos como projetos, tabelas, funções, recursos e instâncias são geralmente gerenciadas no nível do projeto. Esse modelo exige adicionar o usuário ao projeto antes de conceder permissões. Por outro lado, use uma policy para conceder a uma role no nível do tenant permissões de ações em objetos quota e NetworkLink.

Pré-requisitos

Somente uma conta Alibaba Cloud ou um usuário RAM com a função Super_Administrator ou Admin no nível do tenant pode gerenciar permissões nesse nível.
O controle de permissões no nível do tenant ocorre exclusivamente por meio de funções desse mesmo nível.
Conceda permissões a uma role no nível do tenant apenas mediante o uso de uma policy.

Fluxo de trabalho para autorização de funções no nível do tenant

Crie uma função no nível do tenant chamada t_role1.
Conceda permissões à função t_role1 usando uma policy.
Adicione um usuário como membro do tenant.
Atribua a função t_role1 ao usuário.

Comandos

-- Run the following commands in a project within the tenant.

-- Add or remove a user from a tenant.
    ADD tenant USER <user_name>;
    REMOVE tenant USER <user_name>;
    
-- View users and roles in a tenant.
    List tenant users;
    List tenant roles;
    
-- Create or drop a tenant-level role.
    CREATE tenant role <role_name>;
    DROP tenant role <role_name>;
-- Grant a tenant-level role to a user or revoke it from a user.
    GRANT tenant role <rolename> TO USER <user_name>;
    REVOKE tenant role <rolename> FROM USER <user_name>;

-- Add a tenant-level role to a project or remove it from a project.
    ADD tenant role <rolename> TO project <projectname>;
    REMOVE tenant role <rolename> FROM project <projectname>;

-- View the permissions of a tenant-level role or user.
    SHOW grants FOR tenant role <role_name>;
    SHOW grants FOR tenant USER <user_name>;
    SHOW principals FOR tenant [role] <role_name>;

Gerencie permissões no console

Crie uma função no tenant

Faça login no MaxCompute console e selecione uma região no canto superior esquerdo.
No painel de navegação à esquerda, escolha Manage Configurations > Tenants .
Na página Tenants, clique na aba Roles.

Na aba Roles, clique em Add Role. Na caixa de diálogo Add Role, insira um Role Name personalizado, forneça o Policy Content e clique em OK.

Parâmetro

Descrição

Role Name

Nome exclusivo para a função no nível do tenant que atenda aos seguintes requisitos:

Começar com uma letra.
Conter apenas letras, sublinhados (_) e dígitos.
Ter entre 6 e 64 caracteres.

Policy Content

Políticas de permissão para funções. Edite o código da política com base nos modelos disponíveis na interface.

Exemplo de policycontent. O exemplo a seguir demonstra:

Para objetos networklink, permite que esta função tenha permissões de operação CreateNetworkLink, List e Execute em todos os links de rede.
Para objetos Quota, concede a esta função permissões de Usage em todas as regiões de todas as cotas.

{
    "Statement":[
        {
            "Action":[
                "odps:CreateNetworkLink",
                "odps:List",
                "odps:Execute"
            ],
            "Effect":"Allow",
            "Resource":[
                "acs:odps:*:networklinks/*"
            ]
        },
        {
            "Action":[
                "odps:Usage"
            ],
            "Effect":"Allow",
            "Resource":[
                "acs:odps:*:regions/*/quotas/*"
            ]
        }
    ],
    "Version":"1"
}

Na página Tenants, clique na aba Users.

Nesta aba, gerencie usuários no nível do tenant. Isso inclui adicionar novos usuários da conta Alibaba Cloud atual e conceder-lhes funções no nível do tenant.

Gerencie funções do tenant

Faça login no MaxCompute console e selecione uma região no canto superior esquerdo.
No painel de navegação à esquerda, escolha Manage Configurations > Tenants .
Na página Tenants, clique na aba Roles.
Na coluna Actions da lista de funções, visualize, exclua ou modifique uma função conforme necessário.

Gerencie usuários do tenant

Faça login no MaxCompute console e selecione uma região no canto superior esquerdo.
No painel de navegação à esquerda, escolha Manage Configurations > Tenants .
Na página Tenants, clique na aba Users.
Gerencie usuários no nível do tenant nesta aba. Adicione novos usuários da conta Alibaba Cloud atual e conceda-lhes as funções correspondentes.