阿里云大数据开发治理平台 DataWorksMaxCompute数据访问权限控制-云淘科技

前提条件

• 已了解MaxCompute数据权限控制详情。

• 已了解简单模式和标准模式的区别。

背景信息

DataWorks通过空间预设角色与空间自定义角色与开发环境引擎Role映射，来让被授予空间角色的RAM用户拥有该角色映射的开发引擎Role权限，但默认无生产权限。您可通过DataWorks安全中心实现MaxCompute数据权限管控。

应用场景

场景
同工作空间内，开发环境用户访问生产环境表。	当DataWorks的子账号未被添加为生产环境计算引擎访问身份时，默认该账号无法在数据开发界面直接操作本工作空间的生产表，如果子账号需要拥有生产表权限，需要在安全中心发起申请，待审批通过后，便可在数据开发界面对表进行相关操作。
开发或生产环境用户访问跨工作空间的开发或生产环境表。	默认不在工作空间下的子账号无法在数据开发界面跨项目访问开发表或生产表。如果需要跨项目操作开发表或生产表，子账号需要在安全中心发起申请，待审批通过后，便可在数据开发界面对表进行相关操作。

数据访问权限管控流程

数据访问控制功能支持您进行权限申请、权限审批、权限审计的操作，还支持您查看权限申请记录、权限审批记录。在RAM用户（子账号）开发过程中没有相关表权限的场景下，可以通过权限申请界面申请对应权限。待审批人员（空间管理员或者表Owner）在权限审批页面通过申请后，便可获得权限。

说明

DataWorks的安全中心为您提供默认的权限申请审批流程，同时也支持您在审批中心自定义审批流程。当您申请MaxCompute引擎表字段权限时，DataWorks会根据申请的表字段来识别需要进行哪种类型的审批流程。

使用限制

目前仅支持申请MaxCompute表级别与列级别权限。

注意事项

开发环境和生产环境的MaxCompute项目，需要先在MaxCompute控制台开启列级访问控制，才可以在安全中心对表中的字段申请权限，详情请参见：Label权限控制。

功能介绍

进入数据访问控制

登录DataWorks控制台，单击左侧导航栏的数据治理 > 安全中心，在右侧页面中单击进入安全中心。

权限申请

1. 进入权限申请页面。

2. 选择要申请的表。

   1. 在申请内容区域，选择引擎类型为MaxCompute，并选择目标工作空间及项目。

   2. 在待添加表区域，勾选需要申请的目标表。

      勾选目标表后，右侧会显示目标表的相关信息。单击表名称前 图标，显示当前表的所有字段，您可以选择申请目标表的部分或全部字段的权限。默认申请目标表全部字段的权限。

      说明

      • 开发环境和生产环境的MaxCompute项目，需要先在MaxCompute控制台开启列级访问控制，才可以在安全中心对表中的字段申请权限，详情请参见：Label权限控制。

      • 目前支持申请列表级别的Select、Update、Download权限，和表级别的Describe、Drop、Alter权限。同时支持您针对单个字段单独申请字段权限。

3. 配置申请信息。

   参数	描述
   使用者	选择需要为谁申请目标表权限。 当前登录账号：表示为当前登录DataWorks工作空间的阿里云账号申请目标表权限。 调度访问账号：表示为被设置为调度访问身份的RAM用户（子账号）申请目标表权限。 代他人申请：表示当前登录DataWorks工作空间的阿里云账号为其他阿里云账号申请目标表权限。选择该选项时，需要配置用户名参数。
   工作空间	当使用者配置为调度访问账号时，需要选择在哪个工作空间使用目标表。
   申请时长	支持您按需自定义申请表权限的时长，过期权限将自动收回。 说明 使用此功能前需要表所在的MaxCompute项目开启Policy授权，详情请参见：配置MaxCompute引擎权限，关于MaxCompute Policy的说明请参见：Policy权限控制。
   申请原因	输入申请目标表权限的原因。

4. 单击申请权限，提交申请。

   您可以在权限申请记录页签，查看当前申请的审批详情及审批记录。

权限审批

1. 查看待审批的申请。

   进入权限审批页面，您可以根据申请账号、申请时间、工作空间、项目名称、对象名称等条件进行筛选，查看目标条件下，当前登录的阿里云账号名下需要审批的申请信息。

   说明

   同一个申请单提交的多张表权限申请，会按照表Owner的不同自动拆分成多个申请单。

2. 查看审批详情。

   单击目标申请操作列的审批，您可以在审批详情对话框查看目标申请的申请详情、审批记录等详细信息。

3. 审批申请。

   根据申请的详细内容及当前需求判断是否同意审批该申请，填写审批意见，选择同意或拒绝当前申请。

   您也可以直接在权限审批页面，勾选全部申请，单击批量同意或批量拒绝，填写审批意见，批量处理目标申请。

查看权限申请及审批记录

• 查看权限申请记录：您可以根据审批状态、申请时间、工作空间等条件进行筛选，查看当前登录的阿里云账号名下涉及的申请记录。

  您还可以单击目标申请操作列的查看详情，查看申请的详细信息。同时，对于审批状态为审批中的申请，您可以继续后续的审批操作。

• 查看权限审批记录：您可以根据申请账号、审批结果、工作空间等条件进行筛选，查看当前登录的阿里云账号的审批记录。

  您还可以单击目标申请操作列的查看详情，查看申请的详细信息。