DataWorks为您提供Data Lake Formation（DLF）和数据湖构建（DLF-Legacy）的可视化权限申请、权限审批及权限审计等功能，帮助您实现数据湖统一权限管理。您可以通过我的申请单查看权限申请记录，通过我的审批任务进行权限审批及查看审批记录。本文为您详细介绍如何进行DLF数据访问权限管控。
前提条件
背景信息
首次通过DataWorks管控数据湖构建平台（DLF）权限时，DataWorks会提示您授权DataWorks访问数据湖构建的相关权限。授权时，系统会自动创建一个服务关联角色AliyunServiceRoleForDataWorksAccessDLF。关于AliyunServiceRoleForDataWorksAccessDLF策略相关说明。详情请参见：DataWorks访问DLF的服务关联角色。
DataWorks的数据访问控制功能支持以下两种DLF数据源类型：
Data Lake Formation（DLF）：DLF 3.0版本，提供更精细的权限管理能力，支持元数据库级、表级和字段级权限申请。
数据湖构建（DLF-Legacy）：DLF旧版本，保持原有的权限管理方式。
DLF 3.0 与 DLF-Legacy 在能力上存在以下差异，请按实际使用版本选择对应操作流程：
对比项 | Data Lake Formation（DLF 3.0） | 数据湖构建（DLF-Legacy） |
申请粒度 | 元数据库 / 表 / 字段 | Catalog / Schema / Table / Column |
字段级权限范围 | 仅DLF内部Paimon表支持字段级权限管理 | Column申请类型，权限点仅Select |
权限有效期 | 仅永久（不可修改） | 支持自定义时长，过期自动回收 |
续期 | 不支持 | 支持（已通过的申请在到期前可于「我的申请单」中续期） |
权限审计 | 不支持（权限审计Tab当前仅支持MaxCompute） | 不支持（权限审计Tab当前仅支持MaxCompute） |
DLF数据访问权限管控流程
角色 | 说明 |
权限申请人 | 可以通过权限申请页面申请相关表权限。对于已提交的申请，支持通过我的申请单页面查看当前阿里云账号提交的申请记录。 |
权限审批人 | 可以通过我的审批任务页面查看待我审批的表权限。对于已审批的申请，支持通过我的审批任务页面查看当前阿里云账号审批通过的表。 说明 RAM用户（子账号）需要具备Admin（数据湖管理员）或super_administrator（超级管理员）的权限，才可进行权限审批操作。关于DLF角色管理，详情请参见角色管理。 |
权限审计人 | 阿里云主账号或空间管理员进入权限审计页面查看工作空间下的成员及其拥有的表权限详情，还支持对工作空间下某成员所拥有的权限进行回收。 |
进入数据访问控制
登录DataWorks控制台，切换至目标地域后，单击左侧导航栏的数据治理 > 安全中心，在右侧页面中单击进入安全中心。
在安全中心左侧导航栏，选择数据平台安全 > 数据访问控制，进入数据访问控制页面。
权限申请
在数据访问控制页面，单击权限申请页签。在申请内容区域，选择引擎类型。
DLF相关的数据源类型包括：
Data Lake Formation（DLF）：DLF 3.0版本。
数据湖构建（DLF-Legacy）：DLF旧版本。
说明以下操作步骤以Data Lake Formation（DLF）为例进行说明。选择数据湖构建（DLF-Legacy）时操作方式类似，授权粒度为Catalog / Schema / Table / Column四级，权限有效期支持自定义时长且已通过的申请支持续期；其他流程与DLF 3.0相同。
设置授权粒度和Catalog，选择需要申请权限的对象。
授权粒度包括以下三种：
元数据库级权限：在列表中勾选需要申请的元数据库，并在元数据库权限列勾选需要申请的权限点。
权限点包括：
Describe、Alter、Drop、CreateTable、CreateFunction、List。表级权限：在待添加表区域勾选需要申请的目标表，勾选后右侧会显示目标表的相关信息，在对应权限列勾选需要申请的权限点。
权限点包括：
Select、Update、Alter、Drop等。字段级权限：在待添加表区域勾选需要申请的目标表，勾选目标表后，右侧会显示目标表及其字段信息。单击表名称前的展开图标，显示当前表的所有字段，在Select列勾选需要申请的字段权限。
说明仅DLF内部Paimon表支持字段级权限管理。
配置申请信息。
参数
描述
使用者
选择需要为谁申请权限。
当前登录账号：表示为当前登录DataWorks工作空间的阿里云账号申请目标表权限。
代他人申请：表示当前登录DataWorks工作空间的阿里云账号为其他阿里云账号申请目标表权限。选择该选项时，需要配置用户名参数。
DLF角色：表示为DLF角色申请权限。选择该选项时，支持通过下拉列表选中多个DLF角色。仅Data Lake Formation（DLF）数据源类型支持该选项。
申请时长
选择申请权限的时长。
数据源类型为Data Lake Formation（DLF）时，仅支持永久。
数据源类型为数据湖构建（DLF-Legacy）时，支持自定义申请时长，过期权限将自动收回。
申请原因
输入申请目标表权限的原因。
单击申请权限，提交申请。
您可以在权限申请记录页签，查看当前申请的审批详情及审批记录。
权限审批
RAM用户（子账号）需要具备Admin（数据湖管理员）或super_administrator（超级管理员）的权限，才可进行权限审批操作。
查看待审批的申请。
在左侧导航栏，选择申请与审批 > 我的审批任务，单击数据访问控制页签。选择引擎类型为Data Lake Formation（DLF）或数据湖构建（DLF-Legacy），并根据筛选条件，查看当前登录的阿里云账号名下需要审批的申请信息。
说明同一个申请单提交的多张表权限申请，会按照表Owner的不同自动拆分成多个申请单。
查看审批详情。
单击目标申请操作列的审批，您可以在审批详情对话框查看目标申请的申请详情、审批记录等详细信息。
审批申请。
根据申请的详细内容及当前需求判断是否同意审批该申请，填写审批意见，选择同意或拒绝当前申请。
您也可以直接在我的审批任务页面，勾选全部申请，单击批量同意或批量拒绝，填写审批意见，批量处理目标申请。
查看权限申请及审批记录
DLF权限申请记录支持撤回（仅对审批中状态的申请有效）。续期能力按版本区分：Data Lake Formation（DLF 3.0）权限永久有效，不支持续期；数据湖构建（DLF-Legacy）支持自定义有效期且支持续期，可在「申请与审批 > 我的申请单」中对已通过的申请进行续期操作。
数据访问控制页面的「权限审批记录」原Tab入口已下线，列表已迁移至「申请与审批 > 我的审批任务」页面。在原Tab中已不再展示审批记录列表，仅保留一条迁移提示。请按以下路径查看权限审批记录。
数据访问控制页面的权限审计Tab当前仅支持MaxCompute引擎，DLF引擎暂不可在此Tab进行权限审计与权限回收。如需对DLF资源进行权限治理，请使用DLF自带的权限管理能力。
查看权限申请记录：在左侧导航栏，选择申请与审批 > 我的申请单，单击数据访问控制页签。您可以根据审批状态、申请时间、数据源类型等条件进行筛选，查看当前登录的阿里云账号名下涉及的申请记录。
您还可以单击目标申请操作列的查看详情，查看申请的详细信息。同时，对于审批状态为审批中的申请，您可以进行撤回操作。
查看权限审批记录：在左侧导航栏，选择申请与审批 > 我的审批任务，单击数据访问控制页签，选择任务状态为全部。您可以根据申请账号、审批结果等条件进行筛选，查看当前登录的阿里云账号的审批记录。