随着项目的不断演进，人员的权限也会更新迭代，您需要及时审视人员权限合理性，提升项目数据安全。本文为您介绍权限查询要点，并提供调整建议供参考。

背景信息

在项目创建初期，为了提升业务处理效率，通常在用户和权限管理上相对宽松。但是当项目进入稳定发展的阶段后，数据安全将成为项目管理方面极为重要的一部分。因此，您需要自查和调整权限，提升项目数据安全性。

权限自查

您可以从如下方面检查权限信息。

类别检查点检查内容
账号及权限账号数量统计统计MaxCompute项目成员，确认每个成员拥有且只拥有一个工作账号，便于追责和管理。
废弃账号及权限统计
  • 您可以通过MaxCompute客户端执行list users;查看用户列表，确认是否有废弃的账号。

    对于已存在的MaxCompute或DataWorks项目中拥有角色的RAM用户，请在删除RAM之前收回其在项目中的角色，并在项目中删除RAM用户。否则，RAM用户会在项目空间中残留，显示为p4_xxxxxxxxxxxxxxxxxxxx且无法在项目中移除（不影响项目空间正常功能使用）。

  • 审视每位成员的权限信息，如果是因职位发生变化的账号及遗留权限，需要回收。在通过通知、调研后，清理长期不用的账户，待需要使用时再申请。
个人账号调查分析统计对个人账号3个月内在开发阶段提交的数据进行查询（提交的数据检索、计算任务，主要是SQL任务）、统计TopN用户并选取代表性账号分析其日常任务。通过MaxCompute元数据服务Information_Schema提供的历史任务视图进行分析统计。 举例如下：
  • 账号对应成员主要工作的项目为算法开发项目，日常工作主要执行的任务是SQL任务，执行的SQL任务主要为开发环境的查询和写表操作。算法任务、MapReduce任务数量相对较少。这种情况符合数据开发的实际情况，如果可以用SQL处理，通常优先使用SQL处理数据。
  • 某账号提交的任务非常多，经了解，其将自己的AccessKey通过SDK的方式配置了一个查询软件，并提供多人进行查询。不推荐该方式，请谨慎开放权限，避免多人共用同一个账号。
数据流动数据下载统计统计各个项目的数据下载请求任务，分析规划可下载数据的项目。您可以通过MaxCompute元数据服务Information_Schema提供的TUNNELS_HISTORY视图进行分析统计。

权限调整建议

权限调整过程中，您可以参考如下建议。

调整点调整内容
账号以及权限合理分配以每个工作成员都使用自己的个人账户为调整原则。

针对不同人员所在的不同业务开发小组和角色给出不同的数据访问权限，禁止相互借用账号。避免因为用户权限过大导致的数据安全风险。

例如，按数据开发过程的业务分组进行账号分配。分组如管理组、数据集成组、数据模型组、算法组、分析组、运维组、安全组等。

数据流动控制
  • 限制部分项目的数据导出，控制部分人员的权限。数据随意在各个项目之间流动，不但会导致云平台数据架构混乱，同样也会导致数据泄露。所以，针对大部分项目需要限制数据流动。

    例如，通过MaxCompute层面限制数据只能流动到指定的项目或者指定的位置，从而规避未知数据流动带来的风险。

  • 如果数据从MaxCompute落地为文件，意味着数据不可控。所以，必须要尽可能的减少数据落地带来的风险。通过用户角色的详细划分，限制部分业务组拥有数据导出的权限，并且也不会影响日常开发工作。