MaxCompute:Proteção de dados do projeto

CREATE TABLE project2.table2 AS SELECT * FROM project1.table1;

Após ativar a proteção de dados do projeto, observe os pontos a seguir:

• Operações de acesso a dados entre projetos são bloqueadas por violarem as regras de proteção de dados. Para criar exceções, como permitir que dados específicos saiam para outros projetos, o MaxCompute oferece duas estratégias: Data outflow policy 1: Configure an exception policy e Data outflow policy 2: Configure a trusted project.

• Esse recurso controla o fluxo de dados, mas não as permissões de acesso a eles. O controle de fluxo só é efetivo se os usuários já possuírem permissões de acesso aos dados.

• No MaxCompute, o recurso de package-based resource sharing across projects é independente da proteção de dados do projeto. Os efeitos desses recursos são mutuamente exclusivos, e o compartilhamento de recursos via pacote tem precedência sobre a proteção de dados do projeto. Por exemplo, se um usuário no Projeto B receber permissões de acesso a um objeto no Projeto A por meio de compartilhamento de recursos via pacote, a proteção de dados do projeto não será aplicada a esse objeto.

Configuração

SET ProjectProtection=true with exception <policyfile>;

 {
 "Version": "1",
 "Statement":
 [{
 "Effect":"Allow",
 "Principal":"<Principal>",
 "Action":["odps:<Action1>[, <Action2>, ...]"],
 "Resource":"acs:odps:*:<Resource>",
 "Condition":{
 "StringEquals": {
 "odps:TaskType":["<Tasktype>"]
 }
 }
 }]
 }

Exemplo

-- Enable project data protection and set an exception policy. 
-- The policy_file is stored in the bin directory of the MaxCompute client installation path.
set ProjectProtection=true with exception policy_file; 

-- The following code shows the content of the policy_file.
{
 "Version": "1",
 "Statement":
 [{
 "Effect":"Allow",
 "Principal":"ALIYUN$Alice@aliyun.com",
 "Action":["odps:Select"],
 "Resource":"acs:odps:*:projects/project_test/tables/table_test",
 "Condition":{
 "StringEquals": {
 "odps:TaskType":["DT", "SQL"]
 }
 }
 }]
 }

O exemplo acima mostra que Alice tem permissão para executar a operação Select na tabela project_test.table_test dentro de um job SQL, permitindo a transferência de dados do projeto project_test para outros projetos.

Considerações

Este método pode causar vazamentos de dados devido a um erro TOCTOU (time-of-check to time-of-use), também conhecido como condição de corrida:

• Descrição do problema

  O exemplo a seguir ilustra como um usuário transfere dados para fora de um projeto.

  1. Fase TOC: O Usuário A solicita ao proprietário do projeto a exportação dos dados da tabela t1. Após confirmar que a tabela t1 não contém dados sensíveis, o proprietário configura uma política de exceção autorizando o Usuário A a exportar esses dados.

  2. Antes do início da fase TOU, outros usuários gravam dados sensíveis na tabela t1.

  3. Fase TOU: O Usuário A exporta os dados da tabela t1. No entanto, os dados exportados incluem as informações sensíveis inseridas pelos outros usuários.

• Solução

  Para evitar essa situação, recomenda-se que o proprietário do projeto garanta que nenhum outro usuário possa executar a ação Update para modificar a tabela, nem as ações Drop e CreateTable para excluir a tabela e criar outra com o mesmo nome. No exemplo anterior, sugere-se que o proprietário crie um snapshot da tabela t1 durante a fase TOC e utilize esse snapshot para configurar a política de exceção. Além disso, certifique-se de que nenhum outro usuário tenha a função Admin atribuída.

Gerenciamento

O proprietário do projeto pode executar os comandos abaixo para gerenciar projetos confiáveis:

• Para adicionar um projeto confiável ao projeto atual, execute o seguinte comando:

   add trustedproject <project_name>; 

• Para remover um projeto confiável do projeto atual, execute o seguinte comando:

   remove trustedproject <project_name>; 

• Para listar todos os projetos confiáveis do projeto atual, execute o seguinte comando:

   list trustedprojects; 

Para impedir estritamente a saída de dados de um projeto, após ativar a proteção com o comando set projectProtection=true;, verifique também as configurações a seguir:

• Execute o comando list trustedprojects; para garantir que não haja projetos confiáveis adicionados. Caso existam, avalie os riscos potenciais e utilize o comando remove trustedproject <project_name>; para remover aqueles que forem desnecessários.

• Utilize o comando show packages; para assegurar que nenhum pacote esteja sendo usado para compartilhar dados. Se houver pacotes, confirme que não contêm dados sensíveis ou execute o comando delete package <package_name>; para eliminar os desnecessários.

• A ativação da proteção de dados do projeto impede a exportação indevida de informações. O uso desse recurso assemelha-se ao processo de migração de dados entre projetos, abrangendo os seguintes cenários:

  • create table <table_in_another_project> as select * from <table_in_a_protected_project>

  • insert overwrite table <table_in_another_project> select * from <table_in_a_protected_project>

  • Gravação de dados em tabelas de outro projeto por meio de jobs Spark, MapReduce, Graph, Proxima CE e Machine Learning Platform for AI (PAI).

  • Execução do comando Tunnel download para baixar dados de tabelas do MaxCompute para sua máquina local. É possível chamar o SDK Tunnel ou utilizar o Tunnel por meio de um driver Java Database Connectivity (JDBC).

  • Uso do comando clone table para copiar dados de uma tabela para outra em um projeto diferente.

  • Chamada de uma função definida pelo usuário (UDF) para gravar dados de tabelas em outros projetos.

  • Invocação de uma UDF para escrever dados de tabelas em tabelas externas do MaxCompute.

• Tanto a proteção de dados do projeto quanto o controle de acesso Download podem ser usados para baixar dados de um projeto. Para realizar o download, verifique se você possui as permissões adequadas no projeto.

  • Com a proteção de dados do projeto e o controle de acesso Download ativados, o download de dados exige as permissões Download e Describe no projeto. Uma autenticação Describe é acionada antes da execução do comando Tunnel download.

  • Quando a proteção de dados do projeto está ativada e o controle de acesso Download desativado, o download requer a permissão Select no projeto e a configuração de uma política de exceção para o comportamento de download.

  • Se a proteção de dados do projeto estiver desativada e o controle de acesso Download ativado, bastam as permissões Download e Describe no projeto para realizar o download.

  • Com ambos os recursos desativados (proteção de dados do projeto e controle de acesso Download), o download de dados é permitido mediante a posse da permissão Select no projeto.