Data Integration için hizmet bağlantılı roller - DataWorks

Data Integration, veri kaynaklarına bağlanmak ve bunların API'lerini çağırmak için iki hizmet bağlantılı rol (SLR) kullanır.

İki rolün birlikte çalışma şekli

Bir veri kaynağı (örneğin bir Object Storage Service (OSS) veri kaynağı) eklediğinizde ve Data Integration'ın üstlenmesi için özel bir RAM rolü seçtiğinizde aşağıdaki durumlar oluşur:

Data Integration, belirttiğiniz özel RAM rolünü bulup almak için AliyunServiceRoleForDataWorksDI rolünü kullanır.
Data Integration, veri kaynağının API'lerini çağırmak için AliyunDIDefaultRole rolünü kullanır; örneğin, veri senkronizasyonu sırasında örnek ayrıntılarını sorgulamak veya IP izin listelerini güncellemek için bu rol devreye girer.

AliyunServiceRoleForDataWorksDI bir kimlik çözümleme rolüdür; Data Integration'ın üstlenmek istediğiniz özel RAM rolünü bulmasını sağlar. AliyunDIDefaultRole ise bir erişim rolüdür; Data Integration'ın her bir veri kaynağına ulaşmak için kullandığı gerçek izinleri taşır.

AliyunServiceRoleForDataWorksDI

Bu rol, Data Integration'ın kullanılabilir özel RAM rollerinin listesini almasını sağlar; böylece bir veri kaynağını yapılandırırken bunlardan birini seçebilirsiniz.

Alan	Değer
Rol adı	`AliyunServiceRoleForDataWorksDI`
İlke adı	`AliyunServiceRolePolicyForDataWorksDI`
Verilen izinler	`ram:ListRoles`, `ram:GetRole`

İlke belgesi:

{
    "Version": "1",
    "Statement": [
        {
            "Action": [
                "ram:ListRoles",
                "ram:GetRole"
            ],
            "Resource": "*",
            "Effect": "Allow"
        }
    ]
}

AliyunDIDefaultRole

Bu rol, Data Integration'ın veri kaynağı yapılandırması, düğüm yapılandırması ve veri senkronizasyonu sırasında diğer Alibaba Cloud hizmetlerinin kaynaklarına erişmesini sağlar.

Alan	Değer
Rol adı	`AliyunDIDefaultRole`
İlke adı	`AliyunDIRolePolicy`
Kapsanan hizmetler	ApsaraDB RDS, ApsaraDB for Redis, ApsaraDB for MongoDB, PolarDB-X, HybridDB for MySQL, AnalyticDB for PostgreSQL, PolarDB, Data Management (DMS), Data Lake Formation (DLF)

Rol, bu hizmetler arasında okuma ve yazma erişimine sahiptir; başlıca amaç, örnek niteliklerini tanımlamak ve IP izin listeleri ile güvenlik gruplarını değiştirmektir. Bu sayede Data Integration, veri kaynaklarınıza bağlanabilir.

İlke belgesi:

{
  "Version": "1",
  "Statement": [
    {
      "Action": [
        "rds:DescribeDBInstanceAttribute",
        "rds:DescribeDBInstanceNetInfo",
        "rds:DescribeDBInstances",
        "rds:DescribeRegions",
        "rds:DescribeDatabases",
        "rds:DescribeSecurityGroupConfiguration",
        "rds:DescribeDBInstanceIPArrayList",
        "rds:ModifySecurityGroupConfiguration",
        "rds:ModifySecurityIps"
      ],
      "Resource": "*",
      "Effect": "Allow"
    },
    {
      "Action": [
        "kvstore:DescribeInstances",
        "kvstore:DescribeInstanceAttribute",
        "kvstore:DescribeRegions",
        "kvstore:ModifySecurityIps"
      ],
      "Resource": "*",
      "Effect": "Allow"
    },
    {
      "Action": [
        "dds:DescribeDBInstanceAttribute",
        "dds:DescribeSecurityIps",
        "dds:DescribeRegions",
        "dds:DescribeDBInstances",
        "dds:DescribeReplicaSetRole",
        "dds:ModifySecurityIps"
      ],
      "Resource": "*",
      "Effect": "Allow"
    },
    {
      "Action": [
        "drds:DescribeDrdsInstanceList",
        "drds:DescribeDrdsInstance",
        "drds:DescribeDrdsDbList",
        "drds:DescribeDrdsDb",
        "drds:DescribeLogicTableList",
        "drds:DescribeRegions",
        "drds:ModifyDrdsIpWhiteList"
      ],
      "Resource": "*",
      "Effect": "Allow"
    },
    {
      "Action": [
        "petadata:DescribeInstanceInfo",
        "petadata:DescribeInstances",
        "petadata:DescribeDatabases",
        "petadata:DescribeTables",
        "petadata:DescribeTableInfo",
        "petadata:DescribeInstancePerformance",
        "petadata:DescribeDatabasePerformance",
        "petadata:DescribeInstanceResourceUsage",
        "petadata:DescribeDatabaseResourceUsage",
        "petadata:DescribeRegions",
        "petadata:DescribeSecurityIPs",
        "petadata:ModifySecurityIPs"
      ],
      "Resource": "*",
      "Effect": "Allow"
    },
    {
      "Action": [
        "gpdb:DescribeDBInstanceAttribute",
        "gpdb:DescribeDBInstances",
        "gpdb:DescribeResourceUsage",
        "gpdb:DescribeDBInstanceIPArrayList",
        "gpdb:DescribeDBClusterIPArrayList",
        "gpdb:DescribeDBInstancePerformance",
        "gpdb:DescribeDBInstanceNetInfo",
        "gpdb:DescribeRegions",
        "gpdb:ModifySecurityIps"
      ],
      "Resource": "*",
      "Effect": "Allow"
    },
    {
      "Action": [
        "polardb:DescribeClusterInfo",
        "polardb:DescribeDBClusterParameters",
        "polardb:DescribeDBClusterEndpoints",
        "polardb:ModifyDBClusterAccessWhitelist",
        "polardb:DescribeDBClusterAccessWhitelist",
        "polardb:DescribeRegions"
      ],
      "Resource": "*",
      "Effect": "Allow"
    },
    {
      "Action": [
        "dms:ListUsers",
        "dms:ListDatabases",
        "dms:ListLogicTables",
        "dms:GetLogicDatabase",
        "dms:SearchDatabase",
        "dms:GetMetaTableDetailInfo",
        "dms:SearchTable",
        "dms:ExecuteScript",
        "dms:ListTables",
        "dms:GetDatabase",
        "dms:ListInstances",
        "dms:GetTableDBTopology"
      ],
      "Resource": "*",
      "Effect": "Allow"
    },
    {
      "Action": [
        "dlf:GetServiceStatus",
        "dlf:ListDatabases",
        "dlf:CreateDatabase",
        "dlf:CreateTable",
        "dlf:BatchCreateTables",
        "dlf:CreatePartition",
        "dlf:ListTableNames",
        "dlf:GetTable",
        "dlf:UpdateDatabase",
        "dlf:UpdateTable",
        "dlf:DescribeRegions"
      ],
      "Resource": "*",
      "Effect": "Allow"
    }
  ]
}

Hizmet bağlantılı bir rolü silme

Her iki rolü de istediğiniz zaman silebilirsiniz ancak bu işlem, Data Integration'ın veri kaynaklarıyla çalışabilme yeteneğini etkiler.

Rol	Silme işleminin etkisi
`AliyunServiceRoleForDataWorksDI`	Data Integration artık özel RAM rollerini alamaz. Bir veri kaynağı eklerken RAM rol seçici kullanılamaz hale gelir.
`AliyunDIDefaultRole`	Data Integration, veri kaynağı yapılandırması, düğüm yapılandırması veya veri senkronizasyonu sırasında hizmet bilgilerini sorgulayamayabilir. Bu durum, bağlantı testi hatalarına, düğüm yapılandırma hatalarına veya veri senkronizasyonu hatalarına yol açabilir.

Silme adımları için bkz. SLR silme.

RAM kullanıcısına hizmet bağlantılı roller oluşturma izni verme

RAM kullanıcısı Data Integration'ı yapılandırmadan önce uygun ilkeyi kullanıcıya ekleyin.

AliyunServiceRoleForDataWorksDI

Aşağıdaki özel ilkeyi veya DataWorksFullAccess ilkesini ekleyin:

{
    "Version": "1",
    "Statement": [
        {
            "Action": "dataworks:*",
            "Resource": "*",
            "Effect": "Allow"
        },
        {
            "Action": "ram:CreateServiceLinkedRole",
            "Resource": "*",
            "Effect": "Allow",
            "Condition": {
                "StringEquals": {
                    "ram:ServiceName": "di.dataworks.aliyuncs.com"
                }
            }
        }
    ]
}

Condition yan tümcesi, izni yalnızca Data Integration hizmetiyle (di.dataworks.aliyuncs.com) sınırlar ve RAM kullanıcısının diğer hizmetler için hizmet bağlantılı roller oluşturmasını engeller.

AliyunDIDefaultRole

Aşağıdaki ilkeyi ekleyin:

{
    "Version": "1",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "ram:CreateRole",
                "ram:AttachPolicyToRole"
            ],
            "Resource": "*"
        }
    ]
}