DataWorks：資料存取控制

功能概述

資料存取控制是DataWorks資訊安全中心提供的多引擎資料許可權申請-審批-審計閉環入口。面向申請人、審批人、審計人三類角色，覆蓋MaxCompute、Hologres、Data Lake Formation（DLF）、資料湖構建（DLF-Legacy）、Hive（EMR）、Lindorm、StarRocks共7類引擎的資產許可權管控。

入口路徑：DataWorks控制台 → 資料治理 → 資訊安全中心 → 資料平台安全 → 資料存取控制。

頁面結構

資料存取控制頁包含以下6個頁簽（部分頁簽的可見度按引擎與是否開通對應能力變化）：

6引擎差異總覽

不同引擎在申請粒度、主動授權對象、許可權有效期間、續期、許可權審計等能力上存在差異。下表給出快速對照（實際可見引擎以工作空間已開通的引擎與後端許可權為準）：

主動授權

主動授權是與「許可權申請」並列的獨立Tab，允許管理員（通常是空間管理員或具備授權能力的RAM使用者）直接將一組資源許可權授予指定的RAM子帳號或RAM角色，無需走審批流。授權成功後立即生效。

• 入口：在「資料存取控制」頁面選擇主動授權頁簽。

• 授權對象：支援RAM子帳號或RAM角色。RAM角色是否可被授權取決於資源類型：部分引擎或資源類型僅支援RAM子帳號，此時RAM角色下拉項會置灰並提示「該資源類型僅支援RAM子帳號授權」。例如Hologres引擎主動授權僅支援RAM子帳號。

• 配置項：與「許可權申請」相同，先選擇申請內容（資料來源類型、工作空間、MaxCompute項目、表等），再配置授權資訊：

  • 授權物件類型：RAM子帳號 / RAM角色。

  • 授權對象：根據所選類型選擇具體的RAM子帳號或RAM角色。

  • 許可權有效期間：與許可權申請的有效期間一致；Hologres引擎強製為永久並隱藏該項。

  • 授权原因：必填，最大 500 字元。

• 提交：單擊確認授權立即寫入許可權。表單成功後自動清空，不跳轉頁面。

• 與許可權申請的差異：主動授權不走審批流，因此不會在「我的申請單」中產生記錄；授權原因為必填；不顯示「申請帳號類型」選項。

• 操作歸屬：相關授權記錄在審計與後台日誌中會歸屬於當前登入帳號，請確保使用合適的帳號執行授權操作。

分引擎使用指南

不同引擎的許可權申請、審批、配置流程存在差異，詳細操作請參見對應引擎文檔：

• MaxCompute資料存取權限控制

• Hologres資料存取權限控制

• DLF資料存取權限控制

• Hive資料存取權限控制

• Lindorm資料存取權限控制

• StarRocks資料存取權限控制