DataWorks：MaxCompute資料存取權限控制

資料存取權限管控流程

許可權申請

在資料存取控制頁面進行許可權申請，需要配置申請內容與申請信息兩個模組的資訊。

1. 登入DataWorks控制台，切換至目標地區後，單擊左側導覽列的數據治理 > 安全中心，在右側頁面中單擊進入資訊安全中心。

2. 在資訊安全中心的左側導覽列單擊進入數據平台安全 > 數據訪問控制頁面。

3. 在數據訪問控制頁面，選擇許可權申請頁簽，申請MaxCompute表、資源或函數。

   表許可權申請

   在申請表許可權時，在添加目標表後，您可以按需申請錶級權限或列级权限

   申請配置項		配置說明
   申請內容	数据源类型	選擇MaxCompute類型。
   	申請類型	表
   	工作空間	選擇需要申請表所在的工作空間。
   	MaxCompute项目	表所在的工作空間綁定的MaxCompute專案。
   	Schema	表所在的Schema
   待添加錶	申請表級許可權	支援申請表維度Select、Update、Download、Describe、Alter、Drop許可權。
   	申請列級許可權	支援申請列維度Select、Update、Download許可權。
   	申請行許可權	可選。在已選表的行許可權列輸入行條件，限制申請對象可以查詢、下載的資料行。詳見表格下方的行許可權說明。

   說明

   您可以申請 MaxCompute 專案中的表級或欄位級許可權。申請表級許可權後，新增欄位是否自動繼承表級許可權，取決於專案是否啟用 labelsecurity：

   • MaxCompute 專案未啟用 labelsecurity：您成功申請表層級的 Select、Update 許可權後，表中新增列時會自動繼承 Select、Update 許可權。

   • MaxCompute 專案啟用 labelsecurity：表級許可權不會自動繼承給新增欄位。您成功申請表層級的 Select、Update 許可權後，表中新增列時，需額外申請新增列的欄位許可權才能訪問。

   行許可權說明

   行許可權用於限制申請對象可以訪問的資料行。為目標表填寫行條件並通過審批後，DataWorks會在MaxCompute中為申請對象建立行級存取原則（Row Access Policy），申請對象只能查詢、下載滿足行條件的資料。MaxCompute行級存取原則的說明請參見行級存取控制。

   • 填寫方式：在行許可權列輸入SQL WHERE條件運算式，無需寫WHERE關鍵字，例如region = 'cn-hangzhou' AND ds >= '20260101'。行條件最多2000個字元。每張表只能填寫一個行條件，多張表需分別填寫。

   • 生效範圍：行條件僅限制Select和Download的資料範圍。同時申請的Update、Describe、Alter、Drop等其他許可權按普通許可權授予，不受行條件限制。因此，填寫行條件時，需要在表級或列級同時勾選Select或Download。

   • 與列級許可權同時申請：支援。列級的Select、Download許可權同樣受行條件限制。

   • 條件校正：提交申請時，DataWorks會通過MaxCompute校正行條件的文法和欄位。校正不通過時，頁面彈出行條件校正未通過對話方塊並顯示具體原因，本次申請不會提交，已填寫的內容會保留，修改行條件後重新提交即可。如果提示暫時無法校正行條件，請稍後重試。

   • 適用範圍：僅支援表，不支援資源和函數。在主动授权頁簽為MaxCompute表授權時，同樣可以配置行許可權。

   資源許可權申請

   申請配置項		配置說明
   申請內容	数据源类型	選擇MaxCompute類型。
   	申請類型	資源
   	工作空間	選擇需要申請資源所在的工作空間。
   	項目	資源所在的工作空間綁定的MaxCompute專案。
   	資源名稱	需要申請許可權的資源。

   函數許可權申請

   申請配置項		配置說明
   申請內容	数据源类型	選擇MaxCompute類型。
   	申請類型	函數
   	工作空間	選擇需要申請函數所在的工作空間。
   	項目	函數所在的工作空間綁定的MaxCompute專案。
   	函數名稱	需要申請許可權的函數名稱。

4. 配置申請信息。

   申請配置項		配置說明
   申請信息	使用者	選擇需要為誰申請目標資源許可權。 當前登錄賬號：表示為當前登入DataWorks工作空間的阿里雲帳號申請目標表許可權。 調度訪問賬號：表示為被設定為調度訪問身份的RAM使用者（子帳號）申請目標表許可權。 代他人申請：表示當前登入DataWorks工作空間的阿里雲帳號為其他阿里雲帳號申請目標表許可權。選擇該選項時，需要配置用户名參數。
   	申請時長	支援自訂許可權的有效時間長度，到期後許可權將自動回收。 說明 使用此功能前需要表所在的MaxCompute專案開啟Policy授權，詳情請參見：MaxCompute資料許可權控制詳情，關於MaxCompute Policy的說明請參見：Policy許可權控制。
   	申請原因	簡要說明申請許可權的原因，便於審批人理解。

5. 單擊申請權限，提交申請。

   您可以在權限申請記錄頁簽，查看進行中的申請的審批詳情及審批記錄。

許可權審批

許可權申請人提交許可權審批後，許可權審批人即可在我的審批任務頁面進行審批。

1. 在左側導覽列，選擇申請與審批 > 我的審批任務，單擊資料存取控制頁簽。在待審批列表中，您可以根據申請賬號、申請時間、工作空間、項目名稱、對象名稱等條件進行篩選，查看目標條件下，當前登入的阿里雲帳號名下需要審批的申請資訊。

   說明

   同一個申請單提交的多張表許可權申請，會按照表Owner的不同自動拆分成多個申請單。

2. 單擊目標申請操作列的审批，您可以在審批詳情對話方塊查看目標申請的申請詳情、審批記錄等詳細資料，在審批詳情彈窗內可進行以下操作：

   • 根據申請的詳細內容及當前需求判斷是否同意審批該申請，填寫审批意见，選擇同意或拒絕進行中的申請

   • 修改申請單的申請內容和到期時間。

   說明

   • 未處理的環節：顯示具有審批許可權的全部審批人。

   • 已處理的環節：僅顯示處理該申請單的審批人。

   除過在審批詳情內單個審批，您也可以直接在我的審批任務頁面，勾選全部申請，單擊批量同意或批量拒绝，填寫审批意见，批量處理目標申請。

查看許可權申請記錄

在左側導覽列，選擇申請與審批 > 我的申請單，單擊資料存取控制頁簽。您可以根據審批狀態、申請時間、工作空間等條件進行篩選，查看當前登入的阿里雲帳號名下涉及的申請記錄。

您還可以單擊目標申請操作列的查看詳情，查看申請的詳細資料。同時，對於審批狀態為審批中的申請，您可以繼續後續的審批操作。

包含行許可權的申請，會在對象名稱旁顯示行許可權標籤，在申請詳情中可以查看每張表的行條件。

查看許可權審批記錄

在左側導覽列，選擇申請與審批 > 我的審批任務，單擊資料存取控制頁簽，選擇任務狀態為全部。您可以根據申請賬號、審批結果、工作空間等條件進行篩選，查看當前登入的阿里雲帳號的審批記錄。

您還可以單擊目標申請操作列的查看詳情，查看申請的詳細資料。

權限審計

完成許可權審批後，您可在許可權審計頁簽內通過篩選項尋找並審計目標資源，查看目標資源的授权信息，以及在操作列回收權限或查看權限。