Lindorm数据访问权限控制

阶段一：管理员进行一次性配置

在用户可以申请权限之前，管理员需要完成所有前置配置工作。

前置确认工作

• 【Lindorm侧】

  • 确保已创建Lindorm实例，且实例已开启Ranger服务，用于管理Lindorm的数据访问策略。

• 【DataWorks侧】

  • 确保Lindorm实例已注册到DataWorks工作空间，且已完成资源组的初始化（需保证Lindorm实例与资源组在同一VPC内）。

  • 确保操作者拥有DataWorks租户管理员权限。

配置操作流程

阶段二：开发者与管理员的日常使用与审批

配置完成后，进入日常的权限申请与审批循环。

步骤一：新增Ranger配置

管理员需要在DataWorks安全中心中新增Ranger配置，将Lindorm实例与DataWorks关联。配置内容包括：

• 集群类型：选择Lindorm 集群。

• Lindorm实例ID：选择已注册到DataWorks工作空间的Lindorm实例。

• 资源组：选择与Lindorm实例在同一VPC的通用型资源组。

• RangerAdmin地址：填写Lindorm实例中RangerAdmin的访问地址。

• 管理员账号/密码：填写Ranger管理员的账号和密码。

详细操作步骤请参见新增Ranger配置。

步骤二：关联Lindorm Service

新增Ranger配置后，需要新增Lindorm类型的Service关联，使DataWorks能够通过Ranger管理Lindorm的数据访问权限。

1. 在安全中心页面，选择安全策略 > 管理Ranger。

2. 单击目标Ranger配置的管理Service。

3. 单击新增关联，配置以下信息：

   参数	描述
   Ranger Service Type	选择Lindorm(宽表引擎)。
   Ranger Service Name	输入Lindorm实例中已配置的Ranger Service名称。本例中填写lindorm_service。
   Lindorm实例	选择已关联到当前Ranger的Lindorm实例。

详细操作步骤请参见新增Ranger配置中的关联Service部分。

步骤三：配置身份凭证

管理员需要为每个需要访问Lindorm数据的RAM用户配置身份凭证，将RAM用户与Lindorm账号关联。

本例中，管理员需要分别为alice和bob配置身份凭证：

为管理员alice配置身份凭证：

为开发者bob配置身份凭证：

详细操作步骤请参见身份凭证。

步骤一：进入数据访问控制

1. 登录DataWorks控制台，进入目标工作空间。在左侧导航栏，选择数据治理 > 安全中心。

2. 在安全中心页面，在左侧导航栏单击数据访问控制。

步骤二：申请权限

在数据访问控制页面进行权限申请，需要配置申请内容与申请信息两个模块的信息。

1. 在数据访问控制页面，单击进入权限申请页签。

2. 申请资源权限。

   1. 在申请内容区域，选择数据源类型为Lindorm，即可配置申请内容。

      1. Lindorm实例：选择已在DataWorks中绑定的Lindorm实例。

      2. 引擎类型：选择宽表引擎。

      3. 选择数据库（本例为order_db），系统自动加载该库中所有可申请权限的数据表。选择需要申请权限的表（本例为user_orders）以及表权限（本例为READ）。

   2. 配置申请信息。

      参数	描述
      使用者	选择需要为谁申请目标资源权限。 当前登录账号：表示为当前登录DataWorks工作空间的阿里云账号申请权限。本例中bob选择此项。 代他人申请：表示当前登录DataWorks工作空间的阿里云账号为其他阿里云账号申请权限。选择该选项时，需要配置用户名参数。
      申请时长	支持选择一个月、三个月、半年、一年、永久、其他。选择其他时需要额外选择到期时间。
      申请原因	输入申请权限的原因。本例中bob填写"需要读取order_db库中user_orders表的数据进行数据分析"。

3. 配置完成后，单击申请权限，即可提交权限申请。