MaxCompute:Yerleşik roller atanmış kullanıcılar için ilke tabanlı izin yönetimi

Ön koşullar

Başlamadan önce şunlara sahip olduğunuzdan emin olun:

• MaxCompute istemcisi yüklü. Daha fazla bilgi için bkz. MaxCompute istemcisini yükleme ve yapılandırma.

• Proje sahibi rolüne veya hedef projede Super_Administrator ya da Admin yerleşik rolüne sahipsiniz.

Arka plan bilgisi

Zaten bir yerleşik rolü olan kullanıcılar için ayrıntılı izin kontrolü açısından ilke tabanlı mekanizma, erişim kontrol listesi (ACL) mekanizmasından daha etkilidir. Aşağıdaki tabloda her birinin ne zaman kullanılacağı gösterilmiştir.

Daha fazla bilgi için bkz. Kullanıcılar ve roller ve İlke tabanlı erişim kontrolü ve indirme kontrolü.

İlke tabanlı mekanizmayı kullanarak izinleri verme

Aşağıdaki örnek, Development rolüne atanmış RAM kullanıcısı Alice'in adı tb_ ile başlayan tabloları silmesini nasıl engelleyeceğinizi gösterir. Alice, bo*@aliyun.com Alibaba Cloud hesabına aittir.

Bu yaklaşım, yerleşik rolü doğrudan değiştirmek yerine ayrı bir red rolü (delete_test) oluşturur. Bu sayede red kuralı izole edilir ve iptal edilmesi kolaylaşır; kuralı, yerleşik rolü paylaşan diğer kullanıcıları etkilemeden tek bir kullanıcıdan kaldırabilirsiniz.

1. MaxCompute istemcisini yükleyin ve başlatın.

2. delete_test adında bir rol oluşturmak için CREATE ROLE komutunu çalıştırın.

   CREATE ROLE delete_test;

   Daha fazla bilgi için bkz. Rol planlama.

3. Adı tb_ ile başlayan tüm tablolar üzerinde DROP işlemlerini reddetmek üzere delete_test rolünü yapılandırmak için GRANT komutunu çalıştırın.

   GRANT DROP ON TABLE tb_* TO ROLE delete_test privilegeproperties("policy" = "true", "allow"="false");

   "policy" = "true" bayrağı ilke tabanlı mekanizmayı etkinleştirir. "allow"="false" bayrağı ise kuralı red olarak ayarlar. GRANT sözdizimi hakkında daha fazla bilgi için İlke tabanlı erişim kontrolü ve indirme kontrolü belgesindeki "GRANT ifadesini kullanarak ilke tabanlı erişim kontrolü" bölümüne bakın.

4. delete_test rolünü Alice'e atamak için GRANT komutunu çalıştırın.

   GRANT delete_test TO ram$bo*@aliyun.com:Alice;

   Alice'in ait olduğu Alibaba Cloud hesabını bilmiyorsanız bunu öğrenmek için MaxCompute istemcisinde LIST USERS; komutunu çalıştırın. Daha fazla bilgi için bkz. Rol planlama.

5. Alice'in izinlerini doğrulamak için SHOW GRANTS komutunu çalıştırın.

   SHOW GRANTS FOR ram$bo*@aliyun.com:Alice;

   Çıktının, Authorization Type: Policy altında bir [role/delete_test] bloğu içerdiğini ve tb_*: Drop girdisinde D (Deny/Red) ön eki bulunduğunu onaylayın.

   [roles]
   role_project_admin, delete_test
   
   Authorization Type: Policy
   [role/delete_test]
   D       projects/mcproject_name/tables/tb_*: Drop
   [role/role_project_admin]
   A       projects/mcproject_name: *
   A       projects/mcproject_name/instances/*: *
   A       projects/mcproject_name/jobs/*: *
   A       projects/mcproject_name/offlinemodels/*: *
   A       projects/mcproject_name/packages/*: *
   A       projects/mcproject_name/registration/functions/*: *
   A       projects/mcproject_name/resources/*: *
   A       projects/mcproject_name/tables/*: *
   A       projects/mcproject_name/volumes/*: *
   
   Authorization Type: ObjectCreator
   AG      projects/mcproject_name/tables/local_test: All
   AG      projects/mcproject_name/tables/mr_multiinout_out1: All
   AG      projects/mcproject_name/tables/mr_multiinout_out2: All
   AG      projects/mcproject_name/tables/ramtest: All
   AG      projects/mcproject_name/tables/wc_in: All
   AG      projects/mcproject_name/tables/wc_in1: All
   AG      projects/mcproject_name/tables/wc_in2: All
   AG      projects/mcproject_name/tables/wc_out: All

   Daha fazla bilgi için bkz. MaxCompute SQL kullanarak izinleri sorgulama.

6. Kısıtlamayı test etmek için Alice olarak MaxCompute istemcisinde oturum açın ve DROP TABLE komutunu çalıştırın.

   DROP TABLE tb_test;

   Red kuralı etkinse komut aşağıdakine benzer bir hata ile başarısız olur:

   FAILED: Catalog Service Failed, ErrorCode: 50, Error Message: ODPS-0130013:Authorization exception - Authorization Failed [4011],
   You have NO privilege 'odps:Drop' on {acs:odps:*:projects/mcproject_name/tables/tb_test}.
   Explicitly denied by policy.
   Context ID:85efa8e9-40da-4660-bbfd-b503dfa64c0a. --->Tips: Pricipal:RAM$bo*@aliyun.com:Alice; Deny by policy

   İlke tabanlı red kuralının yürürlükte olduğunu iki ifade teyit eder: hatanın ortasındaki Explicitly denied by policy ve sondaki Deny by policy. Bu ifadelerin hiçbiri görünmüyorsa veya bunun yerine tablo siliniyorsa önceki tüm adımların doğru tamamlandığını kontrol edin.

İlke tabanlı mekanizmayı kullanarak izinleri iptal etme

tb_ önekine sahip tablolar artık kritik değilse ve Alice'in bunları silmesine izin vermek istiyorsanız aşağıdaki iki yöntemden birini kullanarak red iznini iptal edin.