MaxCompute:Planejamento de funções

Tipos de função

Funções integradas

O MaxCompute fornece duas funções de administrador integradas no nível do projeto e duas no nível do tenant: Super_Administrator e Admin.

No nível do projeto, o proprietário possui todas as permissões sobre ele. Outros usuários não podem acessar objetos dentro do projeto sem a autorização do proprietário.

Funções personalizadas

O MaxCompute permite criar funções personalizadas de administrador e de recurso para classificar e gerenciar usuários conforme as necessidades do seu negócio.

Operações de gerenciamento de funções

A tabela a seguir descreve as operações de gerenciamento de funções suportadas pelo MaxCompute.

Permissões das funções de administrador no nível do projeto

Criar uma função no nível do projeto

Crie uma nova função em um projeto do MaxCompute.

• Sintaxe do comando

  create role <role_name> [privilegeproperties("type"="admin|resource")];

• Parâmetros

  Parâmetro	Obrigatório	Descrição
  role_name	Sim	Nome da nova função. O nome deve ser único dentro do projeto e atender aos seguintes requisitos: Começar com uma letra. Conter apenas letras e dígitos. Ter no máximo 64 caracteres. Execute o comando list roles; no MaxCompute client para visualizar as funções criadas.
  privilegeproperties	Não	Define o tipo da função: "type"="admin": Cria uma função administrativa, que só pode ser autorizada por meio de uma política. "type"="resource": Cria uma função do tipo recurso. Este é o tipo padrão caso nenhum seja especificado. Esse tipo de função suporta autorização via ACLs e políticas.

• Exemplos

  • Crie uma função de recurso chamada Worker.

    create role Worker;

  • Crie uma função de administrador chamada sale_admin.

     create role sale_admin privilegeproperties("type"="admin");

Visualizar uma lista de funções no nível do projeto

Visualize a lista de funções criadas em um projeto do MaxCompute.

• Sintaxe do comando

  list roles;

• Exemplo

  Visualize as funções em um projeto do MaxCompute.

  list roles;

  O comando retorna a seguinte saída:

  admin
  Super_Administrator
  worker

Excluir uma função no nível do projeto

Exclua uma função existente de um projeto do MaxCompute.

• Sintaxe do comando

  drop role <role_name>;

• Notas de uso

  Ao excluir uma função, o MaxCompute verifica se ela está atribuída a algum usuário. Em caso positivo, a operação falha. Revogue a função de todos os usuários antes de excluí-la. Para revogar uma função de um usuário, consulte Revoke a role from a user.

• Parâmetros

  Parâmetro	Obrigatório	Descrição
  role_name	Sim	Nome da função a ser excluída. Execute o comando list roles; no MaxCompute client para obter a lista de funções criadas.

• Exemplo

  Exclua a função Worker.

  drop role Worker;

Limpar informações de permissão

Ao excluir uma função de um projeto do MaxCompute, os dados de permissão associados, como listas de controle de acesso (ACLs), políticas e rótulos, permanecem no projeto. Se você criar posteriormente uma nova função com o mesmo nome, ela herdará as permissões da função excluída. Para evitar isso, limpe as permissões da função removida. Caso uma função excluída possua informações residuais de permissão, o proprietário do projeto ou um usuário com a função Admin ou Super_Administrator pode executar o seguinte comando para limpá-las.

• Sintaxe do comando

  purge privs from role <role_name>;

• Parâmetros

  Parâmetro	Obrigatório	Descrição
  role_name	Sim	Nome da função excluída. Execute o comando list roles; no MaxCompute client para visualizar as funções criadas.

  Nota

  Antes de limpar as permissões da função, certifique-se de que ela foi excluída. Se você executar este comando em uma função existente, ele retornará a mensagem de erro "Principal <role_name> still exist in the project".

Próximas etapas

• Após planejar suas funções, conceda permissões conforme as necessidades do seu negócio. Para mais informações, consulte Project-level role authorization.

• Depois de criar uma função, atribua-a a um usuário. Isso concede ao usuário as permissões associadas à função. Para mais informações, consulte Assign a role to a user.