阿里云云原生大数据计算服务 MaxCompute基于Policy对具备内置角色的用户进行权限管理-云淘科技

背景信息

当用户已经被赋予内置角色，且需要对用户的权限进行更精细化管理时，推荐您使用Policy权限管控机制，来解决ACL权限管控机制无法精细化管理此类权限的问题。

Policy权限管控机制是一种基于角色的权限管理方式，允许或禁止角色操作（例如读、写）项目中的对象（例如表），将角色赋予用户后，即可管控用户权限。更多Policy授权或撤销授权语法信息，请参见Policy权限管控。

Policy授权

假设RAM用户Alice已具备MaxCompute项目的开发角色，现需要禁止Alice删除以tb_开头的所有表。Alice账号名为Alice，所属阿里云账号为Bob@aliyun.com。

Policy授权操作需要由项目所有者、具备Super_Administrator或Admin角色的用户执行。Policy授权操作流程如下：

1. 登录MaxCompute客户端。
2. 执行create role命令创建角色delete_test。命令示例如下。

   create role delete_test;

   更多创建角色信息，请参见创建角色。

3. 基于Policy权限管控机制，执行grant命令为角色delete_test授权，禁止删除以tb_开头的所有表。命令示例如下。

   grant drop on table tb_* to role delete_test privilegeproperties("policy" = "true", "allow"="false");

   更多Policy授权语法格式信息，请参见Policy授权（Grant）。

4. 执行grant命令将delete_test角色赋予Alice。命令示例如下。

   grant delete_test to ram$bob@aliyun.com:Alice;  

   如果不清楚账号名称，可以在MaxCompute客户端执行list users;命令获取。更多将角色赋予用户信息，请参见使用角色为用户授权。

5. 执行show grants命令查看Alice的权限信息。命令示例如下。

   show grants for ram$bob@aliyun.com:Alice; 

   返回结果如下。

   [roles]
   role_project_admin, delete_test                                 --Alice已被赋予delete_test角色。
   
   Authorization Type: Policy                                      --授权方式为Policy。
   [role/delete_test]
   D       projects/mcproject_name/tables/tb_*: Drop               --不允许（D表示Deny）删除项目中以tb_开头的所有表。
   [role/role_project_admin]
   A       projects/mcproject_name: *
   A       projects/mcproject_name/instances/*: *
   A       projects/mcproject_name/jobs/*: *
   A       projects/mcproject_name/offlinemodels/*: *
   A       projects/mcproject_name/packages/*: *
   A       projects/mcproject_name/registration/functions/*: *
   A       projects/mcproject_name/resources/*: *
   A       projects/mcproject_name/tables/*: *
   A       projects/mcproject_name/volumes/*: *
   
   Authorization Type: ObjectCreator
   AG      projects/mcproject_name/tables/local_test: All
   AG      projects/mcproject_name/tables/mr_multiinout_out1: All
   AG      projects/mcproject_name/tables/mr_multiinout_out2: All
   AG      projects/mcproject_name/tables/ramtest: All
   AG      projects/mcproject_name/tables/wc_in: All
   AG      projects/mcproject_name/tables/wc_in1: All
   AG      projects/mcproject_name/tables/wc_in2: All
   AG      projects/mcproject_name/tables/wc_out: All

   更多查看用户权限信息，请参见查看用户的权限。

6. 以Alice身份登录MaxCompute客户端，执行drop table命令尝试删除以tb_开头的表。命令示例如下。

   drop table tb_test;

   返回结果如下。表明权限控制生效。如果删除成功，表明权限控制不生效，请仔细确认是否已经正确执行上述步骤。

   FAILED: Catalog Service Failed, ErrorCode: 50, Error Message: ODPS-0130013:Authorization exception - Authorization Failed [4011],
   You have NO privilege 'odps:Drop' on {acs:odps:*:projects/mcproject_name/tables/tb_test}.
   Explicitly denied by policy.
   Context ID:85efa8e9-40da-4660-bbfd-b503dfa64c0a. --->Tips: Pricipal:RAM$bob@aliyun.com:Alice; Deny by policy

撤销Policy授权

基于Policy授权中的案例，假设以tb_开头的所有表在实际业务中已不再需要，允许Alice执行删除操作。

撤销Policy授权操作需要由项目所有者、具备Super_Administrator或Admin角色的用户执行。撤销Policy授权方式如下：

• 撤销为角色授予的权限，保留角色

  操作流程如下：

  1. 登录MaxCompute客户端。
  2. 基于Policy权限管控机制，执行revoke命令撤销Policy授权，允许delete_test角色删除以tb_开头的所有表。
     命令示例如下。

     revoke drop on table tb_* from role delete_test privilegeproperties("policy" = "true", "allow"="false");

     更多撤销Policy授权语法格式信息，请参见撤销Policy授权（Revoke）。

  3. 执行show grants命令查看Alice的权限信息。命令示例如下。

     show grants for ram$bob@aliyun.com:Alice; 

     返回结果如下。

     [roles]
     role_project_admin, delete_test                                 --保留delete_test角色。
     
     Authorization Type: Policy                                      --Policy授权信息已撤销。
     [role/role_project_admin]
     A       projects/mcproject_name: *
     A       projects/mcproject_name/instances/*: *
     A       projects/mcproject_name/jobs/*: *
     A       projects/mcproject_name/offlinemodels/*: *
     A       projects/mcproject_name/packages/*: *
     A       projects/mcproject_name/registration/functions/*: *
     A       projects/mcproject_name/resources/*: *
     A       projects/mcproject_name/tables/*: *
     A       projects/mcproject_name/volumes/*: *
     
     Authorization Type: ObjectCreator
     AG      projects/mcproject_name/tables/local_test: All
     AG      projects/mcproject_name/tables/mr_multiinout_out1: All
     AG      projects/mcproject_name/tables/mr_multiinout_out2: All
     AG      projects/mcproject_name/tables/ramtest: All
     AG      projects/mcproject_name/tables/tb_test: All
     AG      projects/mcproject_name/tables/wc_in: All
     AG      projects/mcproject_name/tables/wc_in1: All
     AG      projects/mcproject_name/tables/wc_in2: All
     AG      projects/mcproject_name/tables/wc_out: All

     更多查看用户权限信息，请参见查看用户的权限。

  4. 以Alice身份登录MaxCompute客户端，执行drop table命令尝试删除以tb_开头的表。

     命令示例如下。

     drop table tb_test;

     返回OK，表明撤销Policy授权成功。

• 收回赋予用户的角色，如果不再需要角色，可删除角色

  操作流程如下：

  1. 登录MaxCompute客户端。
  2. 执行revoke命令收回授予Alice的delete_test角色。
     命令示例如下。

     revoke delete_test from ram$bob@aliyun.com:Alice;

     更多收回赋予用户的角色信息，请参见收回授予用户的角色。

  3. 执行show grants命令查看Alice的权限信息。命令示例如下。

     show grants for ram$bob@aliyun.com:Alice; 

     返回结果如下。

     [roles]
     role_project_admin                                           --已删除delete_test角色。
     
     Authorization Type: Policy
     [role/role_project_admin]
     A       projects/mcproject_name: *
     A       projects/mcproject_name/instances/*: *
     A       projects/mcproject_name/jobs/*: *
     A       projects/mcproject_name/offlinemodels/*: *
     A       projects/mcproject_name/packages/*: *
     A       projects/mcproject_name/registration/functions/*: *
     A       projects/mcproject_name/resources/*: *
     A       projects/mcproject_name/tables/*: *
     A       projects/mcproject_name/volumes/*: *
     
     Authorization Type: ObjectCreator
     AG      projects/mcproject_name/tables/local_test: All
     AG      projects/mcproject_name/tables/mr_multiinout_out1: All
     AG      projects/mcproject_name/tables/mr_multiinout_out2: All
     AG      projects/mcproject_name/tables/ramtest: All
     AG      projects/mcproject_name/tables/wc_in: All
     AG      projects/mcproject_name/tables/wc_in1: All
     AG      projects/mcproject_name/tables/wc_in2: All
     AG      projects/mcproject_name/tables/wc_out: All

  4. 以Alice身份登录MaxCompute客户端，执行drop table命令尝试删除以tb_开头的表。

     命令示例如下。

     drop table tb_test;

     返回OK，表明撤销Policy授权成功。

  5. （可选）执行drop role命令删除delete_test角色。
     命令示例如下。

     drop role delete_test;

     返回OK，表明角色删除成功。更多删除角色信息，请参见删除角色。