授予RAM账号细粒度访问DLA的权限 - 云原生数据湖分析 DLA

自定义策略

您可以通过RAM控制台或者调用RAM APICreatePolicy创建一个自定义策略，在脚本配置方式的自定义策略中，您需要根据JSON模板文件填写策略内容。更多信息请参见创建自定义策略。

示例

示例一：

主账号ID为1234567890的账户，在杭州区建立一个虚拟集群dla-vc1，配置一组策略dla-vc1-policy，允许用户在这个集群中提交作业，但被授权用户只能查看自己作业的详细日志信息，并终止自己提交的作业。

说明被授权用户无权进行如下操作。

查看其他用户作业的详细日志信息。
终止其他用户提交的作业。
提交代码给其他用户的交互式作业。

策略内容如下。

{
    "Version": "1",
    "Statement": [
        {
            "Action": [
                "openanalytics:ConsolePermission",
                "openanalytics:ListSparkJobs",
                "openanalytics:SubmitSparkJob",
                "openanalytics:ListVirtualCluster",
                "openanalytics:GetVirtualCluster"
            ],
            "Resource": "acs:openanalytics:cn-hangzhou:1234567890:virtualcluster/dla-vc1",
            "Effect": "Allow"
        }
    ]
}

示例二：

主账号ID为1234567890的账户，期望赋予某个RAM用户在杭州区的管理权限，委托这个RAM用户全权管理杭州区的所有数据湖的资产。此时主账号可以建立一个policy，命名为dla-cn-hangzhou-admin。策略内容如下。

{
    "Version": "1",
    "Statement": [
        {
            "Action": [
                "openanalytics:*"
            ],
            "Resource": "acs:openanalytics:cn-hangzhou:1234567890:*",
            "Effect": "Allow"
        }
    ]
}

说明代码中的参数说明请参见鉴权列表。

鉴权列表

控制台权限


Action	Resource	Action说明
ConsolePermission	*	允许被授权的RAM账号可以访问DLA控制台，如果RAM账号没有此权限则只能通过阿里云OpenAPI的方式来使用DLA。

说明 Resource格式为：acs:openanalytics:${RegionId}:${OwnerId}:virtualcluster/${VirtualClusteName}，所有资产用通配符用*表示，更多信息请参见权限策略基本元素。

Spark管理权限


Action	Resource	Action说明
ListSparkJobs	acs:openanalytics:<region>:<account-id>:virtualcluster/<virtualClusteName>/sparkjobs/*	查询所有的Spark作业列表。
SubmitSparkJob		提交一个Spark作业。
SubmitSparkJob		提交一个Spark SQL。
GetSparkJob	acs:openanalytics:<region>:<account-id>:virtualcluster/<virtualClusteName>/sparkjobs/jobid	获取Spark作业当前状态。
		获取Spark作业的日志。
		获取Spark作业的详细配置信息和UI地址等内容。
		获取当前Session的状态
KillSparkJob	acs:openanalytics:<region>:<account-id>:virtualcluster/<virtualClusteName>/sparkjobs/jobid	终止一个Spark作业。
ExecuteSparkStatement	acs:openanalytics:<region>:<account-id>:virtualcluster/<virtualClusteName>/sparkjobs/<jobid>/statements/*	在Session中执行一段代码, 并获得代码块的ID。
ListSparkStatements		获取Session缓存中所有的代码块的执行信息。
CancelSparkStatement	acs:openanalytics:<region>:<account-id>:virtualcluster/<virtualClusteName>/sparkjobs/<jobid>/statements/<statementid>	尝试终止一个代码块的执行。
GetSparkStatement		获取指定代码块的执行信息。

LakeHouse管理权限


Action	Resource	Action说明
ListLakehouses	acs:openanalytics:${regionId}:${parentId}:lakehouse/*	查看湖仓列表。
CreateLakehouse	acs:openanalytics:${regionId}:${parentId}:lakehouse/*	创建新湖仓。
ListLakehouseWorkloads	acs:openanalytics:${regionId}:${parentId}:lakehouse/${lakehouseId}/workload/*	查看工作负载列表。
CreateLakehouseWorkload	acs:openanalytics:${regionId}:${parentId}:lakehouse/${lakehouseId}/workload/*	创建入湖负载。
DeleteLakehouseWorkload	acs:openanalytics:${regionId}:${parentId}:lakehouse/${lakehouseId}/workload/${workloadId}	删除一个工作负载。
StartLakehouseWorkload	acs:openanalytics:${regionId}:${parentId}:lakehouse/${lakehouseId}/workload/${workloadId}	启动运行工作负载。
StopLakehouseWorkload	acs:openanalytics:${regionId}:${parentId}:lakehouse/${lakehouseId}/workload/${workloadId}	停止一个正在运行的工作负载。
RedoLakehouseWorkload	acs:openanalytics:${regionId}:${parentId}:lakehouse/${lakehouseId}/workload/${workloadId}	对工作负载重新校正数据，例如部分数据重导。
DescribeLakehouseWorkload	acs:openanalytics:${regionId}:${parentId}:lakehouse/${lakehouseId}/workload/${workloadId}	查看工作负载的描述详情。
GetLakehouseWorkloadMonitorInfo	acs:openanalytics:${regionId}:${parentId}:lakehouse/${lakehouseId}/workload/${workloadId}	查看工作负载运行时的失败日志和日志UI界面。