DataWorks支持以全局模块为管控粒度，通过对用户授予不同的租户级角色实现全局模块的精细化权限控制。DataWorks为您预设部分租户角色，同时支持您自定义租户角色。本文为您介绍全局模块成员权限管理的基本操作。
背景信息
进入DataWorks功能模块界面后，当顶部菜单栏不显示DataWorks工作空间名称时，此模块为”全局级别模块”，例如数据地图。
针对此类模块，DataWorks为您提供了租户级角色等身份，您可按照职能为RAM用户分配租户角色。
DataWorks预设部分角色权限，例如，设定某租户角色拥有对全局模块数据地图类目管理的查看、管理权限。
当DataWorks的预设角色不能满足您的需求时，您还可以通过创建自定义租户角色，控制某个租户角色是否有某个全局级模块的管理或访问权限。
例如，控制某个租户角色无法访问数据地图模块。详情请参见全局模块权限控制产品能力。
DataWorks全局模块权限控制基于RBAC（Role-based access control）权限模型实现，将某用户添加为某个DataWorks租户级角色后，该用户即可拥有此角色所包含的DataWorks相关功能模块的使用权限。详情请参见DataWorks权限体系功能概述。
使用限制
仅DataWorks企业版工作空间支持添加自定义租户角色，详情请参见DataWorks各版本详解。您可以参考DataWorks版本服务计费说明，升级DataWorks工作空间至企业版。
仅阿里云主账号、租户管理员、授予AliyunDataWorksFullAccess权限的阿里云RAM用户、授予AdministratorAccess权限的阿里云RAM用户可管理租户成员角色。
全局模块权限控制产品能力
RAM子账号默认是DataWorks租户成员，租户成员默认可访问大部分租户级模块，但默认无法执行模块管理操作。您可以通过租户预设角色或者自定义租户角色，控制用户对某租户级模块的管理权限，同时也支持自定义租户角色管控指定全局模块的读写权限。
租户预设角色
DataWorks产品提供的租户级预设角色及各角色的权限详情如下表所示。
预设租户角色名称 | 权限详情说明 |
租户所有者 | 有DataWorks最高权限。默认为阿里云主账号，不可修改。
|
租户管理员 |
说明 不包含DataWorks管理控制台的管控及操作权限。管理控制台相关权限请参见产品及控制台权限控制详情：RAM Policy。 |
租户成员 | 当前阿里云主账号下所有RAM用户默认为DataWorks租户成员。
|
安全管理员 |
|
合规管理员 |
|
开放平台管理员 | 开发者后台读写权限。 |
数据治理管理员 | 治理中心读写权限，租户级数据治理管理员可使用全局视角查看治理评估报告、治理项问题、检查项事件等，执行相应的整改操作。 说明 数据治理中心部分操作需要对应模块的角色及权限。详情请参见数据治理中心概述。 |
自定义租户角色 | 您可以通过自定义租户角色，控制用户对某租户级模块的管理权限。 |
租户自定义角色
DataWorks自定义租户级角色可控制某角色是否有用某个全局级功能模块的权限，当前支持通过自定义租户角色来管控的全局功能模块如下所示。
可管控全局功能 | 可管控权限详情 |
数据保护伞 |
|
数据地图 |
说明 若要进行元数据访问权限控制，例如，不在数据地图展示某项目元数据、不展示某表、不允许非空间成员访问项目下的表等，请参见附录：数据地图权限管控能力总览。 |
数据综合治理 |
|
数据分析 |
|
审批中心 |
|
安全中心 |
|
管理租户成员角色权限
阿里云主账号下所有RAM用户默认为DataWorks租户成员，可访问全局模块，您可通过全局模块权限控制RAM用户可访问的全局模块或授予某RAM用户管理全局模块的权限。
step1：进入租户成员角色管理页面
在管理中心左侧导航栏，单击租户成员与角色。
step2：（可选）新建自定义租户角色
租户级预设角色权限无法修改，如果预设角色不满足权限管控需求，您可以通过租户角色来自定义，指定此角色是否有用某个全局级功能的权限。
单击租户角色页面的添加自定义角色。
自定义角色名称，并为自定义角色配置不同全局级功能的权限。
单击开始配置。
说明当界面提示创建成功时，您即成功完成自定义角色的创建，后续进行添加成员时，可将成员关联到此角色。
step3：授予并管理用户角色
进入租户成员页面。
在对应成员的角色列添加或删除租户角色，完成对成员的租户角色授权。