Облачная платформаAdvanced

Управление разрешениями

Эта статья полезна?

Язык статьи: Русский

Страница переведена автоматически и может содержать неточности. Рекомендуем сверяться с английской версией.

Если вам необходимо назначить разные разрешения сотрудникам вашего предприятия для доступа к ресурсам DLI, IAM является хорошим выбором для управления детализированными разрешениями. IAM обеспечивает аутентификацию личности, управление разрешениями и контроль доступа, помогая вам безопасно получать доступ к вашим облачным ресурсам.

С помощью IAM вы можете использовать свою учётную запись для создания IAM‑пользователей для ваших сотрудников и назначать им разрешения, контролируя их доступ к определённым типам ресурсов. Например, некоторым разработчикам программного обеспечения в вашем предприятии необходимо использовать ресурсы DLI, но им запрещено удалять их или выполнять любые операции с высоким риском. Чтобы достичь этого, вы можете создать IAM‑пользователей для разработчиков и предоставить им только те разрешения, которые требуются для использования ресурсов DLI.

Если вашей учётной записи не требуется создание отдельных IAM‑пользователей для управления разрешениями, вы можете пропустить этот раздел.

Разрешения DLI

Новые IAM‑пользователи по умолчанию не имеют назначенных разрешений. Сначала необходимо добавить их в одну или несколько групп и привязать к этим группам политики или роли. Затем пользователи наследуют разрешения от групп и могут выполнять указанные операции над облачными сервисами в соответствии с полученными разрешениями.

DLI — это сервис уровня проекта, развернутый и доступный в определённых физических регионах. Чтобы назначить разрешения ServiceStage группе пользователей, укажите область как региональные проекты и выберите проекты, для которых разрешения вступят в силу. Если выбран All projects, разрешения будут применяться к группе пользователей во всех региональных проектах. При доступе к DLI пользователям необходимо переключиться в регион, где им предоставлен доступ к облачным сервисам.

Типы разрешений: в зависимости от уровня детализации авторизации они делятся на роли и политики.

Роли: стратегия авторизации грубого уровня, определяющая разрешения по должностным обязанностям. Эта стратегия предлагает ограниченный набор ролей уровня сервиса для авторизации. Если у одной роли есть зависимая роль, необходимая для доступа к SA, назначьте обе роли пользователям. Роли не подходят для детализированной авторизации и доступа с наименьшими привилегиями.

Политики: стратегия авторизации детального уровня, определяющая разрешения, необходимые для выполнения операций над конкретными облачными ресурсами при определённых условиях. Этот тип авторизации более гибок и идеален для доступа с наименьшими привилегиями. Например, вы можете предоставить пользователям DLI только разрешения для управления определённым типом ECS. Для действий, поддерживаемых API DLI, см. "Permissions Policies and Supported Actions" в Data Lake Insight API Reference.

Table 1 разрешения системы DLI
Название роли/политики	Описание	Категория	Зависимость
DLI FullAccess	Полные разрешения для DLI.	Системно-определенная политика	Эта роль зависит от других ролей в том же проекте. Создание соединения источника данных: VPC ReadOnlyAccess Создание тега: TMS FullAccess и EPS EPS FullAccess Использование OBS для хранения: OBS OperateAccess Создание агентства: Security Administrator
DLI ReadOnlyAccess	Разрешения только для чтения для DLI. С разрешениями только для чтения вы можете использовать ресурсы DLI и выполнять операции, не требующие детализированных разрешений. Например, создавать глобальные переменные, создавать пакеты и группы пакетов, отправлять задания в очередь по умолчанию, создавать таблицы в базе данных по умолчанию, создавать соединения источника данных и удалять соединения источника данных.	Системно-определенная политика	Нет
Tenant Administrator	Tenant administrator Разрешения на выполнение задач для ресурсов DLI. После создания базы данных или очереди пользователь может использовать ACL для назначения прав другим пользователям. Область: сервис уровня проекта	Системно-определенная роль	None
DLI Service Administrator	администратор DLI. Разрешения на выполнение задач для ресурсов DLI. После создания базы данных или очереди пользователь может использовать ACL для назначения прав другим пользователям. Область: сервис уровня проекта	Системно-определенная роль	None

Table 2 перечисляет общие операции, поддерживаемые каждой системной политикой. Вы можете выбрать необходимые системные политики в соответствии с этой таблицей.

Table 2 Общие операции, поддерживаемые каждым системным разрешением
Resource	Operation	Description	DLI FullAccess	DLI ReadOnlyAccess	Tenant Administrator	DLI Service Administrator
Queue	DROP_QUEUE	Deleting a Queue	√	×	√	√
	SUBMIT_JOB	Submitting a job	√	×	√	√
	CANCEL_JOB	Terminating a Job	√	×	√	√
	RESTART	Restarting a queue	√	×	√	√
	GRANT_PRIVILEGE	Granting permissions to a queue	√	×	√	√
	REVOKE_PRIVILEGE	Отзыв прав доступа у очереди	√	×	√	√
	SHOW_PRIVILEGES	Просмотр прав доступа к очереди у других пользователей	√	×	√	√
База данных	DROP_DATABASE	Удаление базы данных	√	×	√	√
	CREATE_TABLE	Создание таблицы	√	×	√	√
	CREATE_VIEW	Создание представления	√	×	√	√
	EXPLAIN	Пояснение SQL‑операторов в виде плана выполнения	√	×	√	√
	CREATE_ROLE	Создание роли	√	×	√	√
	DROP_ROLE	Удаление роли	√	×	√	√
	SHOW_ROLES	Отображение роли	√	×	√	√
	GRANT_ROLE	Привязка роли	√	×	√	√
	REVOKE_ROLE	Отвязка роли	√	×	√	√
	SHOW_USERS	Отображение связей привязки между всеми ролями и пользователями	√	×	√	√
	GRANT_PRIVILEGE	Предоставление привилегий базе данных	√	×	√	√
	REVOKE_PRIVILEGE	Отзыв привилегий из базы данных	√	×	√	√
	SHOW_PRIVILEGES	Просмотр прав доступа к базе данных других пользователей	√	×	√	√
	DISPLAY_ALL_TABLES	Отображение таблиц в базе данных	√	√	√	√
	DISPLAY_DATABASE	Отображение базы данных	√	√	√	√
	CREATE_FUNCTION	Создание функции	√	×	√	√
	DROP_FUNCTION	Удаление функции	√	×	√	√
	SHOW_FUNCTIONS	Отображение всех функций	√	×	√	√
	DESCRIBE_FUNCTION	Отображение сведений о функции	√	×	√	√
Table	DROP_TABLE	Удаление таблицы	√	×	√	√
	SELECT	Запрос таблиц	√	×	√	√
	INSERT_INTO_TABLE	Вставка данных в таблицу	√	×	√	√
	ALTER_TABLE_ADD_COLUMNS	Добавление столбца	√	×	√	√
	INSERT_OVERWRITE_TABLE	Перезапись таблицы	√	×	√	√
	ALTER_TABLE_RENAME	Переименование таблицы	√	×	√	√
	ALTER_TABLE_ADD_PARTITION	Добавление разделов в партиционированную таблицу	√	×	√	√
	ALTER_TABLE_RENAME_PARTITION	Переименование раздела таблицы	√	×	√	√
	ALTER_TABLE_DROP_PARTITION	Удаление разделов из таблицы с разделами	√	×	√	√
	SHOW_PARTITIONS	Отображение всех разделов	√	×	√	√
	ALTER_TABLE_RECOVER_PARTITION	Восстановление разделов таблицы	√	×	√	√
	ALTER_TABLE_SET_LOCATION	Установка пути раздела	√	×	√	√
	GRANT_PRIVILEGE	Предоставление прав доступа к таблице	√	×	√	√
	REVOKE_PRIVILEGE	Отзыв прав доступа к таблице	√	×	√	√
	SHOW_PRIVILEGES	Просмотр прав доступа к таблице других пользователей	√	×	√	√
	DISPLAY_TABLE	Отображение таблицы	√	√	√	√
	DESCRIBE_TABLE	Отображение информации о таблице	√	×	√	√
Enhanced datasource connection	BIND_QUEUE	Привязка enhanced datasource connection к queue Он используется только для предоставления разрешений между проектами.	×	×	×	×

Родительская тема: Service Overview

Предыдущая статья

Типы и характеристики вычислительных ресурсов

Следующая статья

Примечания и ограничения

Эта статья полезна?

Поддержка Юридические документы Политика конфиденциальности