MaxCompute:Controle de acesso em nível de linha

CREATE/REPLACE

• Sintaxe

  CREATE [OR REPLACE] ROW ACCESS POLICY [IF NOT EXISTS] <policy_name> 
  ON <table_name> 
  TO <authorized_objects> 
  FILTER USING <filter_expr>
  [AS <clause>];

• Descrição

  Crie ou modifique uma Row Access Policy para conceder permissões a um usuário ou função especificado.

• Parâmetros

  Parâmetro	Descrição
  policy_name	Nome da Row Access Policy. Você pode personalizar este nome.
  table_name	Nome da tabela a ser acessada.
  authorized_objects	Objeto a ser autorizado. Valores válidos: USER <user_list>: Lista de nomes de usuário a serem autorizados, separados por vírgulas. ROLE <role_list>: Lista de nomes de funções a receberem permissão. Múltiplos nomes devem ser separados por vírgulas. DEFAULT: Regra padrão aplicada quando nenhuma regra de usuário ou função corresponder.
  filter_expr	Expressão de filtro. Para mais detalhes, consulte descrição de filter_expr.
  clause	Atributo da Row Access Policy. O valor pode ser PERMISSIVE ou RESTRICTIVE. Consulte Especificação do atributo PERMISSIVE ou RESTRICTIVE.

  • Descrição de filter_expr

    A versão atual impõe restrições rigorosas a filter_expr:

    • filter_expr deve ser uma expressão escalar que resulte em um tipo BOOLEAN.

    • A expressão não pode conter subconsultas ou instruções como SELECT, CREATE ou UPDATE.

    • filter_expr só pode referenciar constantes ou colunas da tabela autorizada. Referências a colunas de outras tabelas não são permitidas.

    • É permitido usar operadores nativos do MaxCompute, incluindo relacionais, aritméticos, bit a bit e lógicos. Veja mais em Operadores.

    • Apenas um subconjunto de funções escalares nativas é permitido. Funções definidas pelo usuário (UDFs), funções de agregação e funções de janela não são suportadas. As funções aceitas incluem:

      • Funções de string: CONCAT, CONCAT_WS, GET_JSON_OBJECT, INSTR, LENGTH, LENGTHB, REGEXP_EXTRACT, REGEXP_REPLACE, REVERSE, SUBSTR, TOLOWER, TOUPPER, TRIM, LTRIM, RTRIM, REPLACE.

      • Funções matemáticas: ABS, ROUND.

      • Funções de data e hora: DATEADD, TO_DATE, TO_CHAR.

      • Outras funções: SIZE, FIELD, COALESCE, IF, SPLIT.

  • Especificação do atributo PERMISSIVE ou RESTRICTIVE

    Múltiplas políticas podem aplicar-se a um mesmo usuário. Essas políticas são combinadas para determinar se o acesso a uma linha específica de dados é permitido. Ao crie uma Row Access Policy, utilize AS {PERMISSIVE | RESTRICTIVE} para defina o atributo como PERMISSIVE ou RESTRICTIVE. Se nenhum atributo for especificado, a política será PERMISSIVE por padrão. Exemplo:

    Quando várias políticas se aplicam a um usuário:

    • Se todas forem PERMISSIVE, elas se combinam com uma relação OR. O usuário acessará a linha se o filter_expr de qualquer política for verdadeiro.

    • Se todas forem RESTRICTIVE, a combinação segue uma relação AND. O acesso à linha só ocorre se todas as políticas forem satisfeitas.

    • Caso existam políticas mistas (algumas PERMISSIVE e outras RESTRICTIVE), o usuário só acessará a linha se ambas as condições abaixo forem atendidas:

      • Pelo menos uma das políticas PERMISSIVE for satisfeita.

      • Todas as políticas RESTRICTIVE forem satisfeitas.

    Nota

    Sempre que adicionar uma nova Row Access Policy a uma tabela, avalie o efeito combinado de todas as políticas existentes. Por exemplo, se um usuário estiver sujeito a políticas RESTRICTIVE e PERMISSIVE simultaneamente, ele deverá atender às condições de todas as políticas RESTRICTIVE e de pelo menos uma PERMISSIVE.

• Casos de uso

  • Conceder permissões a um usuário específico

    Suponha que exista uma tabela chamada table01 contendo uma coluna STRING denominada region. Uma Row Access Policy é configurada para restringir o acesso de certos usuários apenas aos registros onde o valor da coluna region seja china. Exemplo de comando:

    CREATE ROW ACCESS POLICY policy01
    ON table01
    TO USER (aliyun$odps_test01**@aliyun.com,aliyun$odps_test02**@aliyun.com)
    FILTER USING (region = "china");

  • Conceder permissões a uma função específica

    Considere que o sistema possua duas funções, role1 e role2. Autorize essas funções a acessar somente registros onde o campo region seja igual a china. O comando é:

    CREATE ROW ACCESS POLICY policy02
    ON table01
    TO ROLE (role1, role2)
    FILTER USING (region = "china");

  • Conceder permissões ao usuário padrão

    Ao adicionar a primeira Row Access Policy a uma tabela, o acesso torna-se restrito. Usuários que não corresponderem a nenhuma política perderão o acesso aos dados, pois não estarão em uma lista de permissões. Para gerenciar o acesso dos demais usuários, configure uma política padrão. O administrador pode usar os comandos abaixo para modifique as permissões do usuário padrão.

    Negar acesso a todos os outros usuários por padrão equivale a especifique que o usuário padrão não possui permissões de acesso.

    CREATE ROW ACCESS POLICY policy03 
    ON table01
    TO DEFAULT 
    FILTER USING (false);

    Para restringir o usuário Default a acessar apenas registros onde o campo region seja other, utilize:

    CREATE ROW ACCESS POLICY policy04 
    ON table01
    TO default 
    FILTER USING (region = "other");

    Importante

    Ao adicionar uma Row Access Policy a uma tabela, considere o comportamento de acesso dos usuários não abrangidos pelo controle. Se outros usuários acessavam a tabela anteriormente, defina regras explícitas para eles a fim de evitar erros inesperados de negação de acesso.

• Lógica de autorização

  O fluxograma a seguir ilustra o processo de autorização quando um usuário acessa uma tabela com Row Access Policy.

  

DROP

• Exclua uma política específica de uma tabela.

  DROP ROW ACCESS POLICY <policy_name> ON <table_name>;

• Remove todas as políticas de uma tabela.

  DROP ALL ROW ACCESS POLICY ON <table_name>;

DESC

Visualize os detalhes de uma política específica em uma tabela.

DESC ROW ACCESS POLICY <policy_name> ON <table_name>;

LIST

• Lista todas as políticas em uma tabela.

  LIST ROW ACCESS POLICY ON <table_name>;

• Exibe as políticas configuradas para um usuário específico em uma tabela.

  LIST ROW ACCESS POLICY ON <table_name> TO USER <user_name>;

• Mostra as políticas configuradas para uma função específica em uma tabela.

  LIST ROW ACCESS POLICY ON <table_name> TO ROLE <role_name>;

-- Create a table.
CREATE TABLE policy_test(a bigint, b string);

-- Insert data into the table.
INSERT overwrite TABLE policy_test VALUES(1L, "1"), (2L, "2"), (3L, "3"), (4L, "4");

-- Check the inserted data.
SELECT * FROM policy_test;
-- The following result is returned:
+------------+---+
| a          | b |
+------------+---+
| 1          | 1 |
| 2          | 2 |
| 3          | 3 |
| 4          | 4 |
+------------+---+

Verificação de comportamento de compatibilidade

Ao avaliar uma expressão de filtro, o comportamento do MaxCompute pode ser afetado por parâmetros de flag. Se um usuário defina uma Row Access Policy sob um comportamento de compatibilidade e depois crie outras políticas sob um comportamento diferente, poderá ocorrer vazamento de dados devido a resultados inesperados. Portanto, quando o controle de acesso em nível de linha é aplicado, o sistema verifique o comportamento de compatibilidade vigente no momento da definição. Se as configurações forem inconsistentes, um erro será reportado e o acesso negado.

Exemplo: Este exemplo utiliza os dados de amostra para demonstrar como as políticas são aplicadas sob diferentes comportamentos de compatibilidade.

1. O modo de compatibilidade com Hive influencia o comportamento da função SUBSTR quando seu segundo parâmetro é 0. Para mais detalhes, consulte SUBSTR.

   • No modo de compatibilidade com Hive, uma posição inicial 0 para a função SUBSTR produz o mesmo resultado que a posição inicial 1.

     SET odps.sql.hive.compatible=true;
     SELECT substr('abc', 0);
     -- In Hive compatibility mode, a start position of 0 is treated the same as a start position of 1.
     +-----+
     | _c0 |
     +-----+
     | abc |
     +-----+

   • Fora do modo de compatibilidade com Hive, uma posição inicial 0 retorna uma string vazia.

     SET odps.sql.hive.compatible=false;
     SELECT substr('abc', 0);
     -- Outside of Hive compatibility mode, a start position of 0 returns an empty string.
     +-----+
     | _c0 |
     +-----+
     |     |
     +-----+

2. Durante a criação de uma Row Access Policy, o sistema verifique os operadores e funções usados em filter_expr. Se o comportamento deles depender de certos parâmetros de Flag, esses parâmetros serão registrados em Settings. Utilize o comando DESC para visualize os parâmetros de Flag relevantes.

   -- Delete all policies on the table.
   DROP ALL row access policy ON policy_test;
   
   -- Configure a policy in Hive compatibility mode, using the SUBSTR function in filter_expr.
   SET odps.sql.hive.compatible=true;
   CREATE row access policy policy04 ON policy_test TO default filter using(substr(b, 0)='1');
   
   -- View the details of the policy configured on the policy_test table.
   DESC row access policy policy04 on policy_test;

   Resultado retornado: O campo Settings exibe o valor do parâmetro odps.sql.hive.compatible.

   Authorization Type: Row Access Policy
   Name: policy04
   Objects: acs:odps:*:projects/sql_optimizer/tables/policy_test
   FilterExpr: substr(b, 0) = '1'
   NormalizedFilterExpr: ::substr(policy_test.b, 0) = '1'
   Restrictive: false
   Settings: odps.sql.hive.compatible=true

3. Na aplicação subsequente da política, o sistema verifique se os Settings do ambiente atual são consistentes com os Settings vigentes na criação da política. Em caso de inconsistência, um erro é reportado.

   • Aplique a política no modo de compatibilidade com Hive.

     SET odps.sql.hive.compatible=true;
     SELECT * FROM policy_test;

     Resultado retornado:

     +------------+---+
     | a          | b |
     +------------+---+
     | 1          | 1 |
     +------------+---+

   • No modo não compatível com Hive, a consulta falha porque o valor do parâmetro odps.sql.hive.compatible difere daquele especificado na criação da política.

     SET odps.sql.hive.compatible=false;
     SELECT * FROM policy_test;

     Resultado retornado:

     FAILED: ODPS-0130071:[0,0] Semantic analysis exception - physical plan generation failed: java.lang.IllegalArgumentException: Row access policy flag mismatch for: odps.sql.hive.compatible, flag value when grant this policy is true, while at runtime is false. please set odps.sql.hive.compatible = true or contact your project manager.

Comportamento de baixe do MaxCompute Tunnel

Ao baixe dados de uma tabela com Row Access Policy usando o MaxCompute Tunnel, as regras de controle de acesso em nível de linha ainda devem ser seguidas. Contudo, o Tunnel não execute a lógica de filtragem diretamente. Em vez disso, ele inicia uma tarefa SQL para filtrar os dados e, em seguida, realiza o baixe do resultado.

Portanto, ao usar comandos do Tunnel ou o Tunnel SDK para baixe dados de uma tabela do MaxCompute com Row Access Policy, haverá um período de espera enquanto a tarefa SQL é executada.

Desativação da criação de Row Access Policies

Para impedir a criação de novas Row Access Policies em um projeto, o administrador pode execute o comando abaixo para modifique as propriedades do projeto:

setproject odps.sql.create.row.policy.disable=true;

Valores válidos:

• false (padrão): Permite a criação de novas Row Access Policies.

• true: Proíbe a criação de novas Row Access Policies, mas permite modifique e exclua políticas existentes.