MaxCompute:Harici veri kaynakları için yetkilendirme

Aynı hesapta yetkilendirme

MaxCompute ile OSS/Tablestore aynı Alibaba Cloud hesabına ait olduğunda, MaxCompute tek tıkla yetkilendirme ve özel yetkilendirme seçeneklerini destekler.

• Tek tıkla yetkilendirme: Alibaba Cloud hesabınızda oturum açtıktan sonra, tek tıkla yetkilendirmeyi tamamlamak için buraya tıklayın. Bu yöntem varsayılan olarak AliyunODPSDefaultRole adlı bir rol oluşturur. Bu rol geniş kapsamlı izinlere sahiptir ve test amaçları için uygundur.

• Özel yetkilendirme: RAM konsolunda yeni bir rol oluşturun ve bu rol için uygun erişim ilkelerini ve güven ilkesini yapılandırın. Bu yöntem ayrıntılı izin denetimine olanak tanır. Aşağıdaki adımları uygulayın:

  1. RAM rolü oluşturun

     RAM konsoluna giriş yapın ve bir RAM rolü (örneğin test-admin) oluşturun. Daha fazla bilgi için bkz. Güvenilen bir Alibaba Cloud hesabı için RAM rolü oluşturma.

  2. RAM rolünün güven ilkesini değiştirin.

     1. RAM konsoluna giriş yapın.

     2. Sol gezinme bölmesinde Identities > Roles yolunu izleyin.

     3. Roles sayfasında hedef Role Name öğesine tıklayarak rol ayrıntıları sayfasına gidin.

     4. Trust Policy sekmesinde Edit Trust Policy seçeneğine tıklayın ve Edit Trust Policy sayfasında JSON Editor sekmesini seçin.

        Aşağıdaki ilkeyi yapılandırın:

        {
         "Statement": [
         {
         "Action": "sts:AssumeRole",
         "Effect": "Allow",
         "Principal": {
         "Service": [
         "odps.aliyuncs.com"
         ]
         }
         }
         ],
         "Version": "1"
        }

     5. İşlemi tamamladığınızda OK düğmesine tıklayın.

  3. Erişim ilkesi oluşturun.

     RAM konsolundaki Policies sayfasında özel bir erişim ilkesi oluşturun. Örneğin, ilkeye AliyunODPSRolePolicy adını verebilirsiniz.

     Aşağıdaki ilkeler yaygın izinleri sağlar. Gereksinimlerinize göre bunları özelleştirebilirsiniz. Daha fazla bilgi için bkz. Özel erişim ilkesi oluşturma.

     OSS erişim ilkesi

     {
     "Version": "1",
     "Statement": [
     {
      "Action": [
             "oss:ListBuckets",
             "oss:GetObject",
             "oss:ListObjects",
             "oss:PutObject",
             "oss:DeleteObject",
             "oss:AbortMultipartUpload",
             "oss:ListParts",
             "oss:GetBucketInfo",
             "oss:PostDataLakeStorageFileOperation",
             "oss:PostDataLakeStorageAdminOperation"
      ],
      "Resource": "*",
      "Effect": "Allow"
     }
     ]
     }

     Tablestore erişim ilkesi

     {
     "Version": "1",
     "Statement": [
     {
      "Action": [
      "ots:ListTable",
      "ots:DescribeTable",
      "ots:GetRow",
      "ots:PutRow",
      "ots:UpdateRow",
      "ots:DeleteRow",
      "ots:GetRange",
      "ots:BatchGetRow",
      "ots:BatchWriteRow",
      "ots:ComputeSplitPointsBySize"
      ],
      "Resource": "*",
      "Effect": "Allow"
     }
     ]
     }

  4. Özel erişim ilkesini yeni RAM rolüne ekleyin.

     1. RAM konsoluna giriş yapın.

     2. Sol gezinme bölmesinde Identities > Roles yolunu izleyin.

     3. Roles sayfasında hedef Role Name öğesine tıklayarak rol ayrıntıları sayfasına gidin.

     4. Manage Permissions sekmesinde Create Authorization seçeneğine tıklayın. Açılan Create Authorization panelinde role atanacak ilkeleri seçin ve OK düğmesine tıklayın.

        Daha fazla bilgi için bkz. RAM rolünün izinlerini yönetme.

Hesaplar arası yetkilendirme

MaxCompute ile OSS/Tablestore farklı Alibaba Cloud hesaplarına aitse yalnızca özel yetkilendirme desteklenir.

OSS veya Tablestore'un sahibi olan Alibaba Cloud hesabının sahibi, RAM konsolunda bir rol oluşturmalı ve aşağıdaki gibi erişim ile güven ilkelerini yapılandırmalıdır:

1. RAM rolü oluşturun.

   RAM konsoluna giriş yapın ve bir RAM rolü (örneğin test-admin adlı bir rol) oluşturun. Rol oluşturma hakkında daha fazla bilgi için bkz. Güvenilen bir Alibaba Cloud hesabı için RAM rolü oluşturma.

2. RAM rolünün güven ilkesini değiştirin.

   1. RAM konsoluna giriş yapın.

   2. Sol gezinme bölmesinde Identities > Roles yolunu izleyin.

   3. Roles sayfasında hedef Role Name öğesine tıklayarak rol ayrıntıları sayfasına gidin.

   4. Trust Policy sekmesinde Edit Trust Policy seçeneğine tıklayın ve Edit Trust Policy sayfasında JSON Editor sekmesini seçin.

      Aşağıdaki ilkeyi yapılandırın. <MaxCompute_owner_account_ID> değerini MaxCompute projesinin sahibi olan Alibaba Cloud hesabının kimliği ile değiştirin.

      {
      "Statement": [
      {
       "Action": "sts:AssumeRole",
       "Effect": "Allow",
       "Principal": {
       "Service": [
       "<MaxCompute_owner_account_ID>@odps.aliyuncs.com"
       ]
       }
      }
      ],
      "Version": "1"
      }

   5. İşlemi tamamladığınızda OK düğmesine tıklayın.

3. RAM konsolundaki Policies sayfasında özel bir erişim ilkesi oluşturun. Örneğin, ilkeye AliyunODPSRolePolicy adını verebilirsiniz.

   Aşağıdaki ilkeler yaygın izinleri sağlar. Gereksinimlerinize göre bunları özelleştirebilirsiniz. Daha fazla bilgi için bkz. Özel erişim ilkesi oluşturma.

   OSS erişim ilkesi

   {
   "Version": "1",
   "Statement": [
   {
    "Action": [
           "oss:ListBuckets",
           "oss:GetObject",
           "oss:ListObjects",
           "oss:PutObject",
           "oss:DeleteObject",
           "oss:AbortMultipartUpload",
           "oss:ListParts",
           "oss:GetBucketInfo",
           "oss:PostDataLakeStorageFileOperation",
           "oss:PostDataLakeStorageAdminOperation"
    ],
    "Resource": "*",
    "Effect": "Allow"
   }
   ]
   }

   Tablestore erişim ilkesi

   {
   "Version": "1",
   "Statement": [
   {
    "Action": [
    "ots:ListTable",
    "ots:DescribeTable",
    "ots:GetRow",
    "ots:PutRow",
    "ots:UpdateRow",
    "ots:DeleteRow",
    "ots:GetRange",
    "ots:BatchGetRow",
    "ots:BatchWriteRow",
    "ots:ComputeSplitPointsBySize"
    ],
    "Resource": "*",
    "Effect": "Allow"
   }
   ]
   }

4. Özel erişim ilkesini yeni RAM rolüne ekleyin.

   1. RAM konsoluna giriş yapın.

   2. Sol gezinme bölmesinde Identities > Roles yolunu izleyin.

   3. Roles sayfasında hedef Role Name öğesine tıklayarak rol ayrıntıları sayfasına gidin.

   4. Manage Permissions sekmesinde Create Authorization seçeneğine tıklayın. Açılan Create Authorization panelinde role atanacak ilkeleri seçin ve OK düğmesine tıklayın.

      Daha fazla bilgi için bkz. RAM rolünün izinlerini yönetme.

Aynı hesapta yetkilendirme

MaxCompute ile Hologres aynı Alibaba Cloud hesabına ait olduğunda izinleri aşağıdaki şekilde verin:

1. RAM rolü oluşturun

   Alibaba Cloud Resource Name (ARN) değerini almak için bir RAM rolü oluşturun. Harici tabloyu oluştururken STS kimlik doğrulaması için ARN gerekir. İş gereksinimlerinize göre bir güvenilir varlık türü seçin. Bu örnekte güvenilir varlık türü bir Alibaba Cloud hesabıdır.

   • Alibaba Cloud hesabı

     Bir Alibaba Cloud hesabının RAM kullanıcısı, bulut kaynaklarına erişmek için bir RAM rolü üstlenebilir. Daha fazla bilgi için bkz. Güvenilen bir Alibaba Cloud hesabı için RAM rolü oluşturma.

   • Kimlik sağlayıcı

     Kurumsal kimlik sisteminizdeki kullanıcıların Alibaba Cloud konsolunda oturum açmasına olanak tanımak için tek oturum açma (SSO) yapılandırabilirsiniz. Bu yaklaşım, birleşik kullanıcı oturum açma ve kimlik doğrulama gereksinimlerini karşılamaya yardımcı olur. Daha fazla bilgi için bkz. Güvenilen bir kimlik sağlayıcı için RAM rolü oluşturma.

   Aşağıdaki adımları uygulayın:

   1. RAM konsoluna giriş yapın.

   2. Sol gezinme bölmesinde Identities > Roles yolunu izleyin.

   3. Roles sayfasında Create Role seçeneğine tıklayın.

2. Güven ilkesini değiştirin

   1. Roles sayfasında hedef Role Name öğesine tıklayarak rol ayrıntıları sayfasına gidin.

   2. Trust Policy sekmesinde Edit Trust Policy seçeneğine tıklayın ve Edit Trust Policy sayfasında JSON Editor sekmesini seçin.

   3. Güven ilkesini aşağıdaki örneklerde gösterildiği gibi değiştirin.

      Güven ilkesi yapılandırmasının içeriği seçilen güvenilir varlık türüne bağlıdır. İlke içinde <UID> değeri Alibaba Cloud hesap kimliğidir. Kimliği User Information sayfasından alabilirsiniz.

      Güvenilir varlık: Alibaba Cloud hesabı

      {
       "Statement": [
       {
       "Action": "sts:AssumeRole",
       "Effect": "Allow",
       "Principal": {
       "RAM": [
       "acs:ram::<UID>:root"
       ]
       }
       },
       {
       "Action": "sts:AssumeRole",
       "Effect": "Allow",
       "Principal": {
       "Service": [
       "<UID>@odps.aliyuncs.com"
       ]
       }
       }
       ],
       "Version": "1"
      }

      Güvenilir varlık: Kimlik sağlayıcı

      {
       "Statement": [
       {
       "Action": "sts:AssumeRole",
       "Condition": {
       "StringEquals": {
       "saml:recipient": "https://signin.alibabacloud.com/saml-role/sso"
       }
       },
       "Effect": "Allow",
       "Principal": {
       "Federated": [
       "acs:ram::<UID>:saml-provider/IDP"
       ]
       }
       },
       {
       "Action": "sts:AssumeRole",
       "Effect": "Allow",
       "Principal": {
       "Service": [
       "<UID>@odps.aliyuncs.com"
       ]
       }
       }
       ],
       "Version": "1"
      }

3. RAM rolünü bir Hologres örneğine ekleyin ve izin verin

   RAM rolünün yetki kapsamındaki kaynaklara erişebilmesi için Hologres örneğinde geliştirici izinlerine ihtiyacı vardır.

   Varsayılan olarak RAM rolleri Hologres yönetim konsolunda örnekleri görüntüleyemez veya yönetemez. Devam etmeden önce Alibaba Cloud hesabı sahibi gerekli izinleri vermelidir.

   RAM rolünü bir Hologres örneğine ekleyin

   Hologres yönetim konsolu

   1. Hologres yönetim konsolunda oturum açın. Sol üst köşeden bir bölge seçin.

   2. Soldaki gezinme bölmesinde Instances seçeneğine tıklayın.

   3. Instances sayfasında hedef örneğin adına tıklayın.

   4. Örnek ayrıntıları sayfasında soldaki gezinme bölmesinden Account Management seçeneğine tıklayın.

   5. Users sayfasında Add User seçeneğine tıklayın.

   6. Add User iletişim kutusunda ayarları yapılandırın ve OK düğmesine tıklayın.

      • Role alanında 1. Adımda oluşturduğunuz RAM rolünü seçin.

      • Member Role alanında Normal User. seçeneğini belirleyin.

   7. Users sayfasında soldaki gezinme bölmesinden DB authorization seçeneğine tıklayın.

   8. DB authorization sayfasında Create Database seçeneğine tıklayın.

   9. Create Database iletişim kutusunda ayarları yapılandırın ve OK düğmesine tıklayın.

      Policies alanında SPM seçeneğini belirleyin.

   10. DB authorization sayfasında hedef veritabanını bulun ve Actions sütunundaki Authorize User seçeneğine tıklayın.

   11. Sağ üst köşede Create Authorization seçeneğine tıklayın. Create Authorization iletişim kutusunda User ve User Group alanlarını yapılandırın.

       • Users: Yapılandırmak istediğiniz RAM kullanıcısını seçin.

       • Groups alanında Developer seçeneğini belirleyin.

   RAM konsolu

   AliyunODPSRolePolicy erişim ilkesini yeni RAM rolüne ekleyin.

   1. RAM konsoluna giriş yapın.

   2. Sol gezinme bölmesinde Identities > Users yolunu izleyin.

   3. Users sayfasında hedef User Logon Name/Display Name öğesine tıklayarak kullanıcı ayrıntıları sayfasına gidin.

   4. Kullanıcı ayrıntıları sayfasında Manage Permissions sekmesine tıklayın.

   5. Manage Permissions sekmesinde Individual seçeneğini belirleyin ve Grant Permission seçeneğine tıklayın.

   6. Grant Permission panelinde kullanıcıya atanacak ilkeyi seçin ve OK düğmesine tıklayın.

      Access Policy alanında AliyunRAMReadOnlyAccess seçeneğini belirleyin.

      Daha fazla bilgi için bkz. RAM kullanıcısına izin verme.

   SQL

   Gerekli SQL deyimleri için bkz. İzin modeli.

   Not

   Hologres hizmet bağlantılı rol kullanarak yetkilendirmeyi de destekler. Daha fazla bilgi için bkz. Hologres için hizmet bağlantılı rol yetkilendirmesi (kimlik geçişi).

Hesaplar arası yetkilendirme

MaxCompute ile Hologres farklı Alibaba Cloud hesaplarına aitse izinleri aşağıdaki şekilde verin:

1. RAM rolü oluşturun

   ARN değerini almak için bir RAM rolü oluşturun. Harici tabloyu oluştururken STS kimlik doğrulaması için ARN gerekir. İş gereksinimlerinize göre bir güvenilir varlık türü seçin. Bu örnekte güvenilir varlık türü bir Alibaba Cloud hesabıdır.

   • Alibaba Cloud hesabı

     Bir Alibaba Cloud hesabının RAM kullanıcısı, bulut kaynaklarına erişmek için bir RAM rolü üstlenebilir. Daha fazla bilgi için bkz. Güvenilen bir Alibaba Cloud hesabı için RAM rolü oluşturma.

   • Kimlik sağlayıcı

     Kurumsal kimlik sisteminizdeki kullanıcıların Alibaba Cloud konsolunda oturum açmasına olanak tanımak için SSO yapılandırabilirsiniz. Bu yaklaşım, birleşik kullanıcı oturum açma ve kimlik doğrulama gereksinimlerini karşılamaya yardımcı olur. Daha fazla bilgi için bkz. Güvenilen bir kimlik sağlayıcı için RAM rolü oluşturma.

   Aşağıdaki adımları uygulayın:

   1. RAM konsoluna giriş yapın.

   2. Sol gezinme bölmesinde Identities > Roles yolunu izleyin.

   3. Roles sayfasında Create Role seçeneğine tıklayın.

2. Güven ilkesini değiştirin

   1. Roles sayfasında hedef Role Name öğesine tıklayarak rol ayrıntıları sayfasına gidin.

   2. Trust Policy sekmesinde Edit Trust Policy seçeneğine tıklayın ve Edit Trust Policy sayfasında JSON Editor sekmesini seçin.

   3. Güven ilkesini aşağıdaki örneklerde gösterildiği gibi değiştirin.

      Güven ilkesi yapılandırması içeriği seçilen güvenilir varlık türüne bağlıdır. Bu ilke kapsamında <UID> değeri Alibaba Cloud hesap kimliğini temsil eder. Kimliği User Information sayfasında bulabilirsiniz.

      Güvenilir varlık: Alibaba Cloud hesabı

      {
       "Statement": [
       {
       "Action": "sts:AssumeRole",
       "Effect": "Allow",
       "Principal": {
       "RAM": [
       "acs:ram::<MaxCompute_owner_account_ID>:root"
       ]
       }
       },
       {
       "Action": "sts:AssumeRole",
       "Effect": "Allow",
       "Principal": {
       "Service": [
       "<MaxCompute_owner_account_ID>@odps.aliyuncs.com"
       ]
       }
       }
       ],
       "Version": "1"
      }

      Güvenilir varlık: Kimlik sağlayıcı

      {
       "Statement": [
       {
       "Action": "sts:AssumeRole",
       "Condition": {
       "StringEquals": {
       "saml:recipient": "https://signin.alibabacloud.com/saml-role/sso"
       }
       },
       "Effect": "Allow",
       "Principal": {
       "Federated": [
       "acs:ram::<MaxCompute_owner_account_ID>:saml-provider/IDP"
       ]
       }
       },
       {
       "Action": "sts:AssumeRole",
       "Effect": "Allow",
       "Principal": {
       "Service": [
       "<MaxCompute_owner_account_ID>@odps.aliyuncs.com"
       ]
       }
       }
       ],
       "Version": "1"
      }

3. RAM rolünü bir Hologres örneğine ekleyin ve izin verin

   RAM rolünün yetki kapsamındaki kaynaklara erişebilmesi için Hologres örneğinde geliştirici izinlerine ihtiyacı vardır.

   Varsayılan olarak RAM rolleri Hologres yönetim konsolunda örnekleri görüntüleyemez veya yönetemez. Devam etmeden önce Alibaba Cloud hesabı sahibi gerekli izinleri vermelidir.

   RAM rolünü bir Hologres örneğine ekleyin

   Hologres yönetim konsolu

   1. Hologres yönetim konsolunda oturum açın. Sol üst köşeden bir bölge seçin.

   2. Soldaki gezinme bölmesinde Instances seçeneğine tıklayın.

   3. Instances sayfasında hedef örneğin adına tıklayın.

   4. Örnek ayrıntıları sayfasında soldaki gezinme bölmesinden Account Management seçeneğine tıklayın.

   5. Users sayfasında Add User seçeneğine tıklayın.

   6. Add User iletişim kutusunda ayarları yapılandırın ve OK düğmesine tıklayın.

      • Role alanında 1. Adımda oluşturduğunuz RAM rolünü seçin.

      • Member Role alanında Normal User. seçeneğini belirleyin.

   7. Users sayfasında soldaki gezinme bölmesinden DB authorization seçeneğine tıklayın.

   8. DB authorization sayfasında Create Database seçeneğine tıklayın.

   9. Create Database iletişim kutusunda ayarları yapılandırın ve OK düğmesine tıklayın.

      Policies alanında SPM seçeneğini belirleyin.

   10. DB authorization sayfasında hedef veritabanını bulun ve Actions sütunundaki Authorize User seçeneğine tıklayın.

   11. Sağ üst köşede Create Authorization seçeneğine tıklayın. Create Authorization iletişim kutusunda User ve User Group alanlarını yapılandırın.

       • Users: Yapılandırmak istediğiniz RAM kullanıcısını seçin.

       • Groups alanında Developer seçeneğini belirleyin.

   RAM konsolu

   AliyunODPSRolePolicy erişim ilkesini yeni RAM rolüne ekleyin.

   1. RAM konsoluna giriş yapın.

   2. Sol gezinme bölmesinde Identities > Users yolunu izleyin.

   3. Users sayfasında hedef User Logon Name/Display Name öğesine tıklayarak kullanıcı ayrıntıları sayfasına gidin.

   4. Kullanıcı ayrıntıları sayfasında Manage Permissions sekmesine tıklayın.

   5. Manage Permissions sekmesinde Individual seçeneğini belirleyin ve Grant Permission seçeneğine tıklayın.

   6. Grant Permission panelinde kullanıcıya atanacak ilkeyi seçin ve OK düğmesine tıklayın.

      Erişim ilkesi için AliyunRAMReadOnlyAccess seçeneğini belirleyin.

      Daha fazla bilgi için bkz. RAM kullanıcısına izin verme.

   SQL

   Gerekli SQL deyimleri için bkz. İzin modeli.

   Not

   Hologres çift imzalı kimlik doğrulamayı da destekler. Daha fazla bilgi için bkz. Hologres harici tabloları.