使用RAM Policy配置产品及控制台权限-大数据开发治理平台 DataWorks-阿里云-大数据开发治理平台 DataWorks(DataWorks)-阿里云帮助中心

DataWorks产品级权限控制和管理控制台权限控制都是通过阿里云RAM Policy实现，即为用户（RAM用户或Role）绑定某个权限策略，使其获得权限策略中定义的访问权限。本文为您详细介绍产品及控制台权限管控支持情况、主账号如何为用户授予DataWorks管控的相关权限策略。

产品级大范围权限管控：系统内置策略+自定义策略

DataWorks默认仅阿里云主账号拥有产品级管控权限，如果您需要某个RAM用户代为管理时，可为RAM用户授予以下系统权限策略，RAM用户就会拥有阿里云主账号的所有操作权限。

权限类别	管控范围	权限名称	描述	操作参考文档
允许RAM用户执行的操作（系统策略）	管理DataWorks服务的权限	AliyunDataWorksFullAccess	设置该权限后，RAM用户将拥有DataWorks较大的权限，可代理主账号管理产品相关内部功能（不包括购买相关功能）。	给RAM用户授权的操作步骤请参见为RAM用户授权。
允许RAM用户执行的操作（系统策略）	购买资源的权限	AliyunBSSOrderAccess	授权后，RAM用户可在费用中心（BSS）查看、支付及取消订单。授予该权限后，RAM用户可以在管理控制台进行购买资源与续费服务等操作。	给RAM用户授权的操作步骤请参见为RAM用户授权。
禁止RAM用户执行的操作（自定义策略）	禁止RAM用户操作DataWorks（细粒度）	自定义	禁止某用户进入管理控制台、进入DataWorks各模块界面、调用OpenAPI。	先参考产品级管控权限策略定义权限策略内容。然后给RAM用户绑定自定义的权限策略进行授权操作，操作步骤请参见下文的创建自定义策略（可选）。
	禁止RAM用户调用OpenAPI（细粒度）		DataWorks中默认具有DataWorks某模块权限的用户可调用相应模块对应的OpenAPI。如果您需要禁止某用户调用所有OpenAPI，则可授予用户该权限。
	禁止RAM用户进入DataWorks的各模块界面（细粒度）		DataWorks中默认阿里云主账号下所有RAM用户均为DataWorks的租户成员，允许访问全局模块，并且可访问已加入工作空间的空间模块。您可根据需要禁止某用户进入DataWorks的所有模块界面。

控制台细分权限管控：自定义策略

DataWorks支持对以下实体对象的相关操作实现细粒度权限控制：

对象	相关操作	操作参考文档
工作空间	创建工作空间修改工作空间删除工作空间禁用工作空间启用工作空间	进行管控台细分权限的授权时，您需要首先参考控制台实体对象级权限管控策略来自定义权限策略，然后给RAM用户绑定自定义的权限策略进行授权操作，操作步骤请参见下文的为RAM用户授权。
资源组	展示独享资源组根据资源组名称展示资源组详情创建独享资源组修改独享资源组
报警信息	列出联系人修改联系人信息列出报警资源设置报警数上限

为RAM用户授权

在左侧导航栏，选择身份管理 > 用户。
在添加权限面板，为RAM用户添加权限。
支持授权系统策略与自定义策略，授予自定义策略的时候，您需要先创建自定义策略后才可以在此处为RAM用户授权。可授权的系统策略和自定义策略请参见产品级大范围权限管控：系统内置策略+自定义策略。
说明
参数配置详情请参见管理RAM用户的权限。

创建自定义策略（可选）

如果您希望通过细分的RAM Policy来做细粒度的权限管控，您需要根据实际需要先完成创新权限策略，如果您使用内置策略进行大范围的授权则无需进行此步骤。

您可使用阿里云主账号在访问控制新建自定义权限策略，操作详情请参见创建自定义权限策略。

自定义产品级管控权限策略，可根据产品级管控权限策略定义权限策略内容。

自定义控制台实体对象级权限策略，可根据下文说明进行配置：在 RAM 访问控制台左侧导航栏选择权限管理 > 权限策略，单击创建权限策略并选择脚本编辑 Tab。策略 JSON 配置格式为 {"Version":"1","Statement":[{"Effect":"Allow","Action":"dataworks:操作名称","Resource":"acs:dataworks:$regionid:$accountid:资源类型/*"}]}，其中 Action 和 Resource 的取值分别对应权限管控策略表中对应管控项的 Action 列与 Resource 列。

策略配置项	说明
Action	根据控制台实体对象级权限管控策略内容中对应管控项的Action配置自定义策略中的Action。
Resource	根据控制台实体对象级权限管控策略内容中对应管控项的Resource配置自定义策略中的Resource。说明 Resource说明：权限管控策略表Resource列的取值（格式如`acs:dataworks:$regionid:$accountid:资源类型/`）中，有两类内容需要您按实际情况替换：以`$`开头的占位符：需替换为真实ID值。例如，`$regionid`替换为真实的地域ID，`$accountid`替换为阿里云主账号的UID。通配符``：表示匹配该层级下的所有资源。您可将其替换为具体值，以缩小权限生效范围。例如，将`workspace/*`替换为`workspace/具体工作空间ID`（如`workspace/12345`），则该策略仅对指定的工作空间生效。