本文为您介绍MaxCompute中涉及的用户与权限。
用户、角色与权限紧密关联，角色是权限的集合。
- 您可以将用户添加至MaxCompute项目中，并通过授权操作，授予用户指定对象的指定权限。更多用户管理操作，详情请参见用户规划与管理。更多授权操作，详情请参见MaxCompute权限。
- 您可以根据用户的操作范围，快速将MaxCompute已定义的角色授予用户。更多授权操作，详情请参见为用户绑定角色。
- 您也可以根据业务需要自定义角色，并对角色授权后，将角色赋予用户。更多自定义角色操作，详情请参见角色规划。
- 如果需要查看用户或角色的权限信息，详情请参见查看权限
MaxCompute支持的用户与角色
MaxCompute支持的用户和角色如下。
| 类型 | 名称 | 描述 |
|---|---|---|
| 用户 | 阿里云账号 | 通过阿里云官网注册的账号。 |
| RAM用户 | 由阿里云账号创建的用户，协助阿里云账号完成数据处理。 | |
| RAM角色 | RAM角色（RAM role）与RAM用户一样，都是RAM身份类型的一种。RAM角色是一种虚拟用户，没有确定的身份认证密钥，需要被一个受信的实体用户扮演才能正常使用。 | |
| 角色 | Super_Administrator | MaxCompute内置的管理角色，项目的超级管理员，拥有操作项目内所有资源的权限和管理类权限。
项目所有者或具备Super_Administrator角色的用户可以将Super_Administrator角色赋予其他用户。 |
| Admin | MaxCompute内置的管理角色，拥有操作项目内所有资源的权限和部分基础管理类权限。
项目所有者可以将Admin角色赋予其他用户。 |
|
| 自定义角色 | 非MaxCompute内置的角色，需要自定义。可以参照DataWorks中的角色（以Role_开头）定义。 |
除角色外，ProjectOwner（项目所有者）作为项目的拥有者，拥有项目的所有权限。除项目所有者之外，任何人都无权访问此项目内的对象，除非有项目所有者的授权许可。
说明 DataWorks中也涉及角色概念，DataWorks及MaxCompute的角色对比，请参见MaxCompute和DataWorks的权限关系。如果您通过DataWorks执行添加用户或授权操作，请参见添加工作空间成员并设置角色。
用户操作授权指引
阿里云账号与RAM用户/RAM角色在各工具或平台上的操作支持情况及需要赋予的角色信息如下。
| 操作类型 | 操作项 | 支持的工具或平台 | 阿里云账号身份 | 阿里云账号角色 | RAM用户/RAM角色 | RAM用户/RAM角色在MaxCompute项目中的角色 | 依赖 |
|---|---|---|---|---|---|---|---|
| 开通MaxCompute服务、购买资源 | 开通、购买、充值、续费、升级、降配 |
|
支持。MaxCompute默认仅阿里云主账号拥有管理MaxCompute服务的权限。 | 不涉及 | 支持 | 不涉及 |
|
| Project管理 | 创建、删除Project |
|
支持 | 项目所有者 | 支持 | 不涉及 | RAM账号依赖：需要在RAM上获取CreateProject、DeleteProject权限策略 |
| 跨Project访问 |
|
支持 | 项目所有者 | 支持 | MaxCompute角色：MaxCompute内置的角色及自定义的具备跨项目访问权限的角色。 | 需要由阿里云账号授权。 | |
| 修改项目默认计算Quota | MaxCompute控制台（新版） | 支持 | 项目所有者 | 支持 | 不涉及 | RAM账号依赖：需要在RAM上获取UpdateProjectDefaultQuota权限策略。 | |
| 设置IP白名单 |
|
支持 | 项目所有者 | 支持 | MaxCompute角色：Super_Administrator及自定义的具备跨项目安全配置权限的角色。 | 需要由阿里云账号授权 | |
| 全表扫描 |
|
支持 | 项目所有者 | 支持 | MaxCompute角色：Super_Administrator。 | 需要由阿里云账号授权。 | |
| 数据保护 |
|
支持 | 项目所有者 | 支持 | MaxCompute角色：Super_Administrator。 | 需要由阿里云账号授权。 | |
| 修改项目状态 | MaxCompute控制台（新版） | 支持 | 项目所有者 | 支持 | 不涉及 | RAM账号依赖：需要在RAM上获取UpdateProjectStatus权限策略。 | |
| 添加、授权、管理项目成员 |
|
支持 | 项目所有者 | 支持 | MaxCompute角色：Super_Administrator及自定义的具备跨相应项目管理类权限的角色。 | 需要由阿里云账号授权。 | |
| Quota管理 | 修改一级或二级Quota | MaxCompute控制台（新版） | 支持 | 不涉及 | 支持 | 不涉及 | RAM账号依赖：需要在RAM上获取UpdateQuota权限策略。 |
| 创建二级自定义Quota | MaxCompute控制台（新版） | 支持 | 不涉及 | 支持 | 不涉及 | RAM账号依赖：需要在RAM上获取UpdateSubQuotas权限策略。 | |
| 创建、修改、删除Quota计划 | MaxCompute控制台（新版） | 支持 | 不涉及 | 支持 | 不涉及 | RAM账号依赖：需要在RAM上获取CreateQuotaPlan、UpdateQuotaPlan、DeleteQuotaPlan权限策略。 | |
| 创建、修改时间计划 | MaxCompute控制台（新版） | 支持 | 不涉及 | 支持 | 不涉及 | RAM账号依赖：需要在RAM上获取createQuotaSchedule、UpdateQuotaSchedule、权限策略。 | |
| 作业运维 | 查看作业、作业运维、作业监控 | MaxCompute管家 | 支持 | 项目所有者 | 支持 | MaxCompute角色：Super_Administrator。 | RAM用户需要由阿里云账号授予Super_Administrator角色。 |
| 代码开发 | JAVA UDF |
|
支持 | 项目所有者 | 支持 | MaxCompute角色：MaxCompute内置的角色及自定义的具备开发Java UDF权限的角色。 | 不涉及 |
| Python UDF |
|
支持 | 项目所有者 | 支持 | MaxCompute角色：MaxCompute内置的角色及自定义的具备开发Python UDF权限的角色。 | 不涉及 | |
| 数据管理 | 查看表列表 |
|
支持 | 项目所有者 | 支持 | MaxCompute角色：MaxCompute内置的角色及自定义的具备查看表列表操作权限的角色。 | 不涉及 |
| 创建表 |
|
支持 | 项目所有者 | 支持 | MaxCompute角色：MaxCompute内置的角色及自定义的具备创建表操作权限的角色。 | 不涉及 | |
| 更新表 |
|
支持 | 项目所有者 | 支持 | MaxCompute角色：MaxCompute内置的角色及自定义的具备更新表操作权限的角色。 | 不涉及 | |
| 删除表 |
|
支持 | 项目所有者 | 支持 | MaxCompute角色：MaxCompute内置的角色及自定义的具备删除表操作权限的角色。 | 不涉及 | |
| 单表授权（ACL） |
|
支持 | 项目所有者 | 支持 | MaxCompute角色：MaxCompute内置的角色。 | 不涉及 | |
| 预览元数据 |
|
支持 | 项目所有者 | 支持 | MaxCompute角色：MaxCompute内置的角色及自定义的具备查看元数据操作权限的角色。 | 不涉及 | |
| 预览跨Project表 |
|
支持 | 项目所有者 | 支持 | MaxCompute角色：MaxCompute内置的角色及自定义的具备跨项目查看表操作权限的角色。 | 需要由阿里云账号授予。 | |
| 资源（Resource）管理 | 查看资源列表 |
|
支持 | 项目所有者 | 支持 | MaxCompute角色：MaxCompute内置的角色及自定义的具备查看资源操作权限的角色。 | 不涉及 |
| 创建、删除资源 |
|
支持 | 项目所有者 | 支持 | MaxCompute角色：MaxCompute内置的角色及自定义的具备创建、删除资源操作权限的角色。 | 不涉及 | |
| 上传资源 |
|
支持 | 项目所有者 | 支持 | MaxCompute角色：MaxCompute内置的角色及自定义的具备上传资源操作权限的角色。 | 不涉及 | |
| 函数开发 | 查看函数列表、详情 |
|
支持 | 项目所有者 | 支持 | MaxCompute角色：MaxCompute内置的角色及自定义的具备查看函数操作权限的角色。 | 不涉及 |
| 创建、删除函数 |
|
支持 | 项目所有者 | 支持 | MaxCompute角色：MaxCompute内置的角色及自定义的具备创建、删除函数操作权限的角色。 | 不涉及 |