阿里云大数据开发治理平台 DataWorks用户、角色与权限概述-云淘科技

全局功能及空间级功能

登录DataWorks管理控制台并进入DataWorks工作空间后，单击顶部菜单栏左侧的图标，即可显示DataWorks产品的所有功能模块，如下图所示。单击功能模块即可进入对应功能模块页面并开始使用此功能。进入功能模块页面后：

• 如果界面顶部菜单栏显示DataWorks工作空间名称，则此模块为“空间级别模块“，例如DataStudio。
• 如果界面顶部菜单栏不显示DataWorks工作空间名称，则此模块为”全局级别模块”，例如数据地图。

说明 区分全局级功能和工作空间级功能详情请参见下文的附录：如何区分“空间级别模块”和“全局级别模块”。

全局角色与空间级角色

DataWorks功能使用的权限体系是基于RBAC（Role-based access control）权限模型构建的，对全局功能和空间级功能可以分别定义全局角色或空间级角色，将一个用户（RAM用户或Role）添加为某个角色后，这个用户即可拥有此角色包含的DataWorks相关功能模块的使用权限。

您了解的关键概念有：

• 用户：包含RAM用户、RAM Role两类。
• 角色：包含DataWorks空间级角色、DataWorks全局级别角色两类。
• 权限：包含DataWorks空间级别功能模块、DataWorks全局级别功能模块。

DataWorks为您预设了部分全局角色和空间级角色，您可以直接使用这些角色给用户授权，也可以根据需要，自定义全局角色或空间级角色。用户、角色、权限之间的对应关系，如下图所示。说明

• 在所有角色中，仅“全局级角色”中的租户管理员角色拥有所有功能模块的使用权限。
• 阿里云主账号下所有RAM用户均为被默认添加为租户成员角色。
• 如果租户管理员自定义了某个全局级别角色，并指定了该角色不具备某些全局级模块的使用权限，则该自定义角色的权限优先级将高于租户成员的权限。

例如：某个主账号下的RAM用户（RAM用户A），默认情况下为租户成员角色，可访问数据地图功能页面。当租户管理员自定义了某个角色，并指定该角色无数据地图访问权限，并将RAM用户A添加为该自定义角色后，RAM用户A则无法访问数据地图功能页面。

权限详情：全局角色

DataWorks全局角色包括租户管理员、租户成员、租户安全管理员、数据目录管理员、元数据采集管理员、数据治理管理员这几类，各角色的权限详情如下表所示。

权限详情：空间级角色

DataWorks为您提供了多种预设空间级角色，也支持您根据权限管控需要自定义空间级角色。

• 预设空间级角色DataWorks产品提供：项目所有者、数据分析师、空间管理员、开发、运维、部署、访客、安全管理员、模型设计师这几类预设角色。说明 工作空间所有者为阿里云主账号，子账号仅为代主账号创建工作空间。当前不支持给其他用户授权为项目所有者。各预设角色的对DataWorks各个功能模块的权限详情请参见附录：预设角色权限列表（空间级）。
• 自定义空间级角色

  DataWorks自定义空间级角色可控制自定义的角色是否有用某个空间级功能模块的权限，新建自定义角色的操作请参见空间级模块权限管控。

通过空间级角色对空间级功能进行权限管控时，可细分为两类权限管控对象：DataWorks功能操作、引擎功能操作（例如引擎数据库权限，即表、资源等内容的增删改查权限），预设角色和自定义角色对这两类细分的权限管控对象的权限详情如下表所示。

如上文所述：

• DataWorks提供空间级预设角色时，同时将预设角色与工作空间所绑定的开发引擎的角色进行了映射，使得预设角色也拥有了映射角色所拥有的部分引擎操作权限。
• DataWorks支持自定义空间级角色，创建自定义角色时，您也可以同时设置角色与引擎角色的映射关系，使得自定义角色拥有引擎操作权限。

因此，使用空间级角色为某个用户授权后，此用户即可拥有DataWorks功能的操作权限和引擎的操作权限。以下以MaxCompute引擎为例，为您介绍，使用空间级预设角色和空间级自定义角色授权后，用户实际的操作权限逻辑。

• 场景一：授权空间级预设角色权限示例场景：某个RAM用户被一个拥有空间管理员权限的用户添加为工作空间成员，并授权预设的开发角色权限。说明 添加成员并授权的操作请参见空间级模块权限管控。完成添加成员操作后，在DataWorks层面和MaxCompute引擎层面均有了部分权限，此RAM用户可在DataWorks层面和MaxCompute引擎层面进行的操作权限详情如下。
  • DataWorks层面：给RAM用户授予开发角色后，该用户可以在DataWorks开发代码并且提交，但是不能将代码直接发布到生产环境，发布生产的操作需要有运维权限（项目所有者、管理员、运维这几类角色拥有此权限）。
  • MaxCompute引擎层面：给RAM用户授予开发角色后，在MaxCompute引擎层面同时为这个RAM用户授予了一个Role_Project_Dev这个角色，这个角色会被赋予部分MaxCompute引擎开发项目的表和项目的权限。说明
    • 当授予阿里云RAM用户预设管理员角色，其拥有的DataWorks功能权限较多，但同样不能直接访问生产表。
    • 此处说明的RAM用户特指，未被指定为非调度引擎访问身份（未被指定为生产项目MaxCompute访问身份）的子账号。
• 场景二：授权空间级自定义角色权限场景示例：某个RAM用户被一个拥有空间管理员权限的用户添加为工作空间成员，并授予DataWorks工作空间自定义角色权限。新建自定义角色时，您可以指定此角色是否与MaxCompute引擎的某个角色做映射，角色新建完成后，可以在添加成员时关联此自定义角色，完成后，被添加为成员的RAM用户在DataWorks层面和MaxCompute引擎层面均有了部分权限，此RAM用户可在DataWorks层面和MaxCompute引擎层面进行的操作权限详情如下。说明 新建自定义角色的操作请参见空间级模块权限管控，添加成员并授权的操作请参见空间级模块权限管控。
  • DataWorks层面：DataWorks上给一个RAM用户授予DataWorks自定义角色，该用户只能访问自定义角色所赋予的模块权限。
  • MaxCompute引擎层面：
    • 如果该DataWorks自定义角色未设置引擎权限映射，那么RAM用户没有MaxCompute引擎的操作权限，无法通过命令进行引擎查询等相关操作。
    • 如果该DataWorks自定义角色设置了引擎权限映射，那么RAM用户有自定义角色所映射的引擎权限，所拥有的操作权限与映射的MaxCompute引擎的角色一致。

  说明 除了RAM用户被指定为调度引擎访问身份（生产项目MaxCompute访问身份）这一场景外，其他场景下，RAM用户被添加为工作空间成员后，默认没有生产环境操作权限，操作及访问生产表需要在安全中心进行权限申请，详情请参见：通过新版安全中心申请表权限。关于MaxCompute访问身份详情说明，可参考文档：创建并管理工作空间。

附录：空间级预设角色与MaxCompute引擎权限的映射关系

DataWorks空间级预设角色与MaxCompute开发项目的权限映射与权限详情如下表所示：

附录：如何区分“空间级别模块”和“全局级别模块”

界面顶部菜单栏显示DataWorks工作空间名称的模块为“空间级别模块“，例如DataStudio。界面顶部菜单栏不显示DataWorks工作空间名称的模块为”全局级别模块”，例如数据地图。