账号授权

前提条件

已创建RAM用户。

操作步骤

{
  "comments": [
    "-- Here is just an example of using LakeCache. Modify the content and run your spark program."
  ],
  "args": ["oss://testBucketName/data/readme.txt"],
  "name": "spark-oss-test",
  "file": "oss://testBucketName/data/example.py",
  "conf": {
    "spark.adb.lakecache.enabled": "true";
    "spark.adb.roleArn": "acs:ram::testAccountID:role/adbtest";
  }
}

步骤一：为B账号创建RAM角色并授权

1. 创建RAM角色，并允许A账号扮演该RAM角色。

   说明

   如果您已创建RAM角色，并允许A账号扮演该RAM角色，可跳过该步骤，执行后续步骤。

   1. 使用阿里云账号B（主账号）或RAM管理员登录RAM控制台。

   2. 在左侧导航栏，选择身份管理 > 角色。

   3. 在角色页面，单击创建角色。

   4. 在创建角色页面，选择信任主体类型为云账号，然后设置具体的阿里云账号，最后单击确定。

   5. 设置角色信息。

      1. 输入角色名称。本示例角色名称设置为admin-oss。

      2. 可选：输入备注。

      3. 信任的云账号选择其他云账号，然后输入A账号的阿里云账号UID（testAccountID）。

   6. 单击完成。

2. 为RAM角色精确授权。

   1. 单击精确授权。

   2. 在精确授权面板，选择权限策略类型为系统策略或自定义策略，然后输入权限策略名称。

      若您想访问指定VPC下的资源时，需自定义权限策略，并在Resource参数中指定资源所属的安全组和交换机。自定义策略的方法请参见创建自定义权限策略。

      本文示例仅授权访问指定VPC下的RDS MySQL实例，自定义权限策略的名称为eni_policy，权限策略内容如下：

      说明

      您需要为RDS MySQL实例添加安全组，且安全组规则的入方向与出方向放行RDS MySQL端口的访问请求。

      {
          "Version": "1",
          "Statement": [
              {
                  "Effect": "Allow",
                  "Action": "ecs:*",
                  "Resource": "acs:ecs:*:*:securitygroup/<RDS所属安全组ID>"
              },
              {
                  "Effect": "Allow",
                  "Action": "vpc:*",
                  "Resource": "acs:vpc:*:*:vswitch/<RDS所属交换机ID>"
              }
          ]
      }

   3. 单击确认。

   4. 单击关闭。

3. 修改信任策略，允许A账号下任意的RAM用户扮演该RAM角色。

   1. 在左侧导航栏，选择身份管理 > 角色。

   2. 在角色页面，单击目标RAM角色名称。

   3. 在信任策略页签，单击编辑信任策略。

   4. 在编辑器中修改信任策略内容，然后单击确定。

      {
        "Statement": [
          {
            "Action": "sts:AssumeRole",
            "Effect": "Allow",
            "Principal": {
              "RAM": [
                "acs:ram::testAccountID:root"
              ]
            }
          },
          {
            "Action": "sts:AssumeRole",
            "Effect": "Allow",
            "Principal": {
              "Service": [
                "testAccountID@ads.aliyuncs.com"
              ]
            }
          }
        ],
        "Version": "1"
      }

步骤二：为A账号创建RAM用户并授予扮演RAM角色的权限

1. 创建RAM用户。

   1. 使用阿里云账号A（主账号）或RAM管理员登录RAM控制台。

   2. 在左侧导航栏，选择身份管理 > 用户。

   3. 在用户页面，单击创建用户。

      

   4. 在创建用户页面的用户账号信息区域，设置用户基本信息。

      • 登录名称：可包含英文字母、数字、半角句号（.）、短划线（-）和下划线（_），最多64个字符。

      • 显示名称：最多包含128个字符或汉字。

      • 标签：单击，然后输入标签键和标签值。为RAM用户绑定标签，便于后续基于标签的用户管理。

      说明

      单击添加用户，可以批量创建多个RAM用户。

   5. 在访问方式区域，选择控制台访问，并根据需要设置控制台登录密码、重置密码策略和多因素认证策略。详情请参见控制台访问。

   6. 单击确定。

2. 创建权限策略，允许RAM用户扮演任何角色。

   1. 在左侧导航栏，选择权限管理 > 权限策略。

   2. 在权限策略页面，单击创建权限策略。

   3. 在创建权限策略页面，单击脚本编辑页签。

   4. 输入权限策略内容，然后单击确定。

      {
          "Version": "1",
          "Statement": [
              {
                  "Action": "ram:PassRole",
                  "Resource": "*",
                  "Effect": "Allow"
              }
          ]
      }

   5. 在创建权限策略对话框，输入权限策略名称和备注，然后单击确定。

3. 为RAM用户授权。

   1. 在左侧导航栏，选择身份管理 > 用户。

   2. 在用户页面，单击目标RAM用户操作列的添加权限。

   3. 在添加权限面板，为RAM用户添加步骤2所创建的权限。

   4. 单击确认新增授权。

   5. 单击关闭。