MaxCompute：授權實踐

操作步驟：

樣本一：

• 情境說明：

  授權使用者a****@aliyunid.com只能在2026-11-11 23:59:59這個時間點之前、只能從10.32.180.0/23這個IP段提交請求、只允許在專案空間test_project中執行CreateInstance、CreateTable和List操作且禁止刪除test_project下的任何錶。

• 操作步驟：

  通過MaxCompute用戶端實現

  1. 建立新角色：

     create role policy_3;

  2. 準備Policy指令碼，並放置檔案在MaxCompute用戶端檔案所在的bin目錄下，指令檔名稱為policy_3.json內容如下：

     {
     "Version": "1",
     "Statement":
      [{
         "Effect":"Allow",
         "Action":["odps:CreateTable","odps:CreateInstance","odps:List"],
         "Resource":"acs:odps:*:projects/<project_name>",
         "Condition":{
             "DateLessThan": {
                 "acs:CurrentTime":"2026-11-11T23:59:59Z"
             },
             "IpAddress": {
                 "acs:SourceIp":"10.32.180.0/23"
             }
         }
     },
     {
         "Effect":"Deny",
         "Action":"odps:Drop",
         "Resource":"acs:odps:*:projects/<project_name>/tables/*"
     }]
     }

     project_name為MaxCompute專案名稱。

  3. 授權。

     --給新建立的角色授權
     put policy policy_3.json on role policy_3;
     
     --把角色授權給目標使用者
     grant policy_3 to ALIYUN$a****@aliyunid.com;  

  通過控制台實現

  1. 登入MaxCompute控制台，在左上方選擇地區。

  2. 在左側導覽列，選擇管理配置 > 项目管理。

  3. 在项目管理頁面，單擊目標專案操作列的管理。

  4. 在项目配置頁面，選擇角色权限頁簽。

  5. 單擊新增项目级别角色，建立支援MaxCompute相關許可權的專案角色。

  6. 在彈出的新建角色對話方塊，建立資源操作類（Resource）角色，填寫角色名称和Policy授權策略。

     Policy內容如下：

     {
     "Version": "1",
     "Statement":
      [{
         "Effect":"Allow",
         "Action":["odps:CreateTable","odps:CreateInstance","odps:List"],
         "Resource":"acs:odps:*:projects/<project_name>",
         "Condition":{
             "DateLessThan": {
                 "acs:CurrentTime":"2026-11-11T23:59:59Z"
             },
             "IpAddress": {
                 "acs:SourceIp":"10.32.180.0/23"
             }
         }
     },
     {
         "Effect":"Deny",
         "Action":"odps:Drop",
         "Resource":"acs:odps:*:projects/<project_name>/tables/*"
     }]
     }

  7. 在项目配置頁面，選擇角色权限頁簽。

     選擇目標專案層級角色，單擊操作列的成员管理。選擇需授權的阿里雲主帳號或RAM使用者，單擊確定完成授權。若首次授權時未能搜尋到對應帳號，可下方手动添加成员地區添加。

樣本二：通過 Deny Policy 強制 IP 存取控制

• 情境說明：限制某些使用者只能從指定 IP 段訪問，無論該使用者通過何種方式獲得了許可權。

• 核心思路：建立一個 Deny Policy，拒絕非指定 IP 段的所有請求。由於 Deny 優先於

  Allow，即使使用者通過 ACL 或其他角色獲得了許可權，從非指定 IP 訪問時仍會被拒絕。

• Policy內容如下：

   {
      "Version": "1",
      "Statement": [{
        "Effect": "Deny",
        "Action": "odps:*",
        "Resource": "acs:odps:*:projects/<project_name>/*",
        "Condition": {
          "NotIpAddress": {
            "acs:SourceIp": "10.32.180.0/23"
          }
        } 
      }]
    } 

操作步驟：

1. 在生產專案中建立Package：

   USE Project_a;
   CREATE PACKAGE Package_test;

2. 生產專案中向Package中添加需要分享的資源：

   ADD TABLE table_a TO PACKAGE Package_test;

3. 生產專案許可分析專案空間使用Package 。

   ALLOW PROJECT Project_analyze TO INSTALL PACKAGE Package_test;

4. 分析專案安裝Package：

   USE Project_analyze;
   INSTALL PACKAGE Project_a.Package_test;

5. Package授權給分析人員：

   GRANT read ON package Package_test TO USER ALIYUN$A*****@aliyunid.com;

6. 分析人員查詢表中資料：

   SELECT * FROM Project_a.table_a;

情境說明

同一家企業，由於內部成本以及其他業務需要，不同部門各自使用阿里雲帳號開通使用MaxCompute，但是部門之間業務有資料互動需求，同時出於資料安全考慮期望達到許可權最小化，即每個使用方的成員只能有許可權讀取提供方具體某些表的資料，因此需要實現不同阿里雲帳號之間的資料許可權細粒度管理。

解決方案

假設有阿里雲帳號A的專案空間（Project_a）、阿里雲帳號B的專案空間（Project_b），Project_a中表t1、t2需要給阿里雲帳號B的RAM使用者b_user1授讀許可權，Project_a中表t3給B的RAM使用者b_user2授讀許可權。