（进阶）RAM角色登录并使用DataWorks

注意事项

• DataWorks目前支持创建的数据源中，仅MaxCompute、Hologres支持使用RAM角色操作。

• 以下授权操作如果需要RAM用户或角色完成，请为RAM用户或角色授权AliyunRAMFullAccess策略。授权详情，请参见为RAM用户授权。

步骤一：新建RAM角色

1. 登录RAM控制台。

   云账号管理者以账号、密码方式，使用阿里云主账号登录RAM控制台。

2. 在左侧导航栏，选择身份管理 > 角色。

3. 创建角色。

   在角色页面，单击创建角色，按照指引创建RAM角色。

   • 若需要通过阿里云控制台切换身份方式扮演该角色，选择阿里云账号类型角色。详情请参见创建可信实体为阿里云账号的RAM角色。

   • 若需要通过本地IDP身份提供商账号登录至阿里云扮演该角色，选择身份提供商类型角色。详情请参见创建可信实体为身份提供商的RAM角色。

步骤二：定义RAM角色策略

在身份管理 > 角色页面，单击角色名称，在信任策略管理页签定义RAM角色策略。内容策略大致分两部分，一部分定义该RAM角色可被阿里云账号下RAM用户或IDP身份扮演，一部分定义该RAM角色可被DataWorks服务扮演，具体策略内容如下，您可根据实际场景选择。

场景一：RAM账号扮演RAM角色

若需要通过RAM用户扮演RAM角色访问DataWorks，请为该RAM角色添加以下策略内容。

{
    "Statement": [
        {
            "Action": "sts:AssumeRole",
            "Effect": "Allow",
            "Principal": {
                "RAM": [
                    "acs:ram::UID:root"
                ]
            }
        },
        {
            "Action": "sts:AssumeRole",
            "Effect": "Allow",
            "Principal": {
                "Service": [
                    "dataworks.aliyuncs.com"
                ]
            }
        }
    ],
    "Version": "1"
}

场景二：IDP身份提供商账号扮演RAM角色

若需要通过IDP身份提供商账号扮演RAM角色访问DataWorks，请为该RAM角色添加以下策略内容。

{
   "Statement": [
        {
            "Action": "sts:AssumeRole",
            "Condition": {
                "StringEquals": {
                    "saml:recipient": "https://signin.aliyun.com/saml-role/sso"
                }
            },
            "Effect": "Allow",
            "Principal": {
                "Federated": [
                    "acs:ram::UID:saml-provider/IDP"
                ]
            }
        },
        {
            "Action": "sts:AssumeRole",
            "Effect": "Allow",
            "Principal": {
                "Service": [
                    "dataworks.aliyuncs.com"
                ]
            }
        }
    ],
    "Version": "1"
}

步骤三：授权RAM用户AliyunSTSAssumeRoleAccess策略

如果您使用RAM用户而非IDP账号来扮演RAM角色，请为RAM用户授予AliyunSTSAssumeRoleAccess策略。允许RAM用户调用STS服务，通过调用AssumeRole接口，来获取该RAM角色的STS Token，获得该临时身份凭证。策略授权，详情请参见为RAM用户授权。

步骤四：RAM用户通过RAM角色登录DataWorks

本步骤为您展示RAM用户如何扮演RAM角色，登录并使用DataWorks。角色SSO详情，请参见SAML角色SSO概览。

1. 登录DataWorks控制台。

   RAM用户（子账号）可通过该地址进入DataWorks管理控制台。

2. 切换身份。

   进入DataWorks管理控制台后，将鼠标悬停至右上方个人信息处，单击切换身份，通过RAM角色登录DataWorks管理控制台。