访问控制(RAM)是阿里云提供的管理用户身份与资源访问权限的服务。使用RAM可以让您避免与其他用户共享阿里云账号密钥,并可按需为用户授予最小权限。RAM中使用权限策略描述授权的具体内容。
本文为您介绍数据湖构建(DataLake)为RAM权限策略定义的操作(Action)、资源(Resource)和条件(Condition)。数据湖构建(DataLake)的RAM代码(RamCode)为dlf,支持的授权粒度为OPERATION。
权限策略通用结构
权限策略支持JSON格式,其通用结构如下:
{
"Version": "1",
"Statement": [
{
"Effect": "<Effect>",
"Action": "<Action>",
"Resource": "<Resource>",
"Condition": {
"<Condition_operator>": {
"<Condition_key>": [
"<Condition_value>"
]
}
}
}
]
}
- Effect:权限策略效果。取值:Allow(允许)、Deny(拒绝)。
- Action:授予允许或拒绝权限的具体操作。具体信息,请参见操作(Action)。
- Resource:受操作影响的具体对象,您可以使用资源ARN来描述指定资源。具体信息,请参见资源(Resource)。
- Condition:指授权生效的条件。可选字段。具体信息,请参见条件(Condition)。
- Condition_operator:条件运算符,不同类型的条件对应不同的条件运算符。具体信息,请参见权限策略基本元素。
- Condition_key:条件关键字。
- Condition_value:条件关键字对应的值。
操作(Action)
下表是数据湖构建(DataLake)定义的操作,这些操作可以在RAM权限策略语句的Action
元素中使用,用来授予执行该操作的权限。下面对表中的具体项提供说明:- 操作:是指具体的权限点。
- API:是指操作对应的API接口。
- 访问级别:是指每个操作的访问级别,取值为写入(Write)、读取(Read)或列出(List)。
- 资源类型:是指操作中支持授权的资源类型。具体说明如下:
- 对于必选的资源类型,用背景高亮的方式表示。
- 对于不支持资源级授权的操作,用
全部资源
表示。
- 条件关键字:是指云产品自身定义的条件关键字。该列不体现适用于任何操作的通用条件关键字。
- 关联操作:是指成功执行操作所需要的其他权限。操作者必须同时具备关联操作的权限,操作才能成功。
操作 | API | 访问级别 | 资源类型 | 条件关键字 | 关联操作 |
---|---|---|---|---|---|
dlf:ListPartitionsProfile | ListPartitionsProfile | list | 全部资源 * | 无 | 无 |
dlf:GetCatalogSettings | GetCatalogSettings | get | 全部资源 * | 无 | 无 |
dlf:UpdateCatalog | UpdateCatalog | 全部资源 * | 无 | 无 | |
dlf:GetDatabaseProfile | GetDatabaseProfile | 全部资源 * | 无 | 无 | |
dlf:GetPartition | GetPartition | get | 全部资源 * | 无 | 无 |
dlf:BatchGetPartitions | BatchGetPartitions | get | 全部资源 * | 无 | 无 |
dlf:GetQueryResult | GetQueryResult | get | 全部资源 * | 无 | 无 |
dlf:DeleteCatalog | DeleteCatalog | 全部资源 * | 无 | 无 | |
dlf:GetPartitionColumnStatistics | GetPartitionColumnStatistics | 全部资源 * | 无 | 无 | |
dlf:RegisterLocation | RegisterLocation | 全部资源 * | 无 | 无 | |
dlf:ListCatalogs | ListCatalogs | list | 全部资源 * | 无 | 无 |
dlf:RefreshLock | RefreshLock | 全部资源 * | 无 | 无 | |
dlf:CancelQuery | CancelQuery | 全部资源 * | 无 | 无 | |
dlf:BatchUpdatePartitions | BatchUpdatePartitions | 全部资源 * | 无 | 无 | |
dlf:ListPartitionsByFilter | ListPartitionsByFilter | list | 全部资源 * | 无 | 无 |
dlf:CreateTable | CreateTable | 全部资源 * | 无 | 无 | |
dlf:UpdateTableColumnStatistics | UpdateTableColumnStatistics | 全部资源 * | 无 | 无 | |
dlf:CreateFunction | CreateFunction | 全部资源 * | 无 | 无 | |
dlf:ListFunctionNames | ListFunctionNames | list | 全部资源 * | 无 | 无 |
dlf:ListTables | ListTables | list | 全部资源 * | 无 | 无 |
dlf:BatchCreatePartitions | BatchCreatePartitions | 全部资源 * | 无 | 无 | |
dlf:BatchDeleteTableVersions | BatchDeleteTableVersions | 全部资源 * | 无 | 无 | |
dlf:GetTableColumnStatistics | GetTableColumnStatistics | 全部资源 * | 无 | 无 | |
dlf:ListPartitionNames | ListPartitionNames | list | 全部资源 * | 无 | 无 |
dlf:CreateDatabase | CreateDatabase | 全部资源 * | 无 | 无 | |
dlf:UpdateTable | UpdateTable | 全部资源 * | 无 | 无 | |
dlf:DeleteTable | DeleteTable | 全部资源 * | 无 | 无 | |
dlf:DeletePartition | DeletePartition | 全部资源 * | 无 | 无 | |
dlf:DeregisterLocation | DeregisterLocation | 全部资源 * | 无 | 无 | |
dlf:ListTableVersions | ListTableVersions | 全部资源 * | 无 | 无 | |
dlf:BatchGetTables | BatchGetTables | get | 全部资源 * | 无 | 无 |
dlf:UpdatePartitionColumnStatistics | UpdatePartitionColumnStatistics | 全部资源 * | 无 | 无 | |
dlf:UpdateRegisteredLocation | UpdateRegisteredLocation | 全部资源 * | 无 | 无 | |
dlf:GetCatalog | GetCatalog | 全部资源 * | 无 | 无 | |
dlf:BatchDeleteTables | BatchDeleteTables | 全部资源 * | 无 | 无 | |
dlf:GetLock | GetLock | 全部资源 * | 无 | 无 | |
dlf:RenameTable | RenameTable | 全部资源 * | 无 | 无 | |
dlf:RevokeRoleFromUsers | RevokeRoleFromUsers | delete | 全部资源 * | 无 | 无 |
dlf:CreateRole | CreateRole | create | 全部资源 * | 无 | 无 |
dlf:BatchUpdateTables | BatchUpdateTables | 全部资源 * | 无 | 无 | |
dlf:GetTable | GetTable | get | 全部资源 * | 无 | 无 |
dlf:RunMigrationWorkflow | RunMigrationWorkflow | 全部资源 * | 无 | 无 | |
dlf:DeleteTableColumnStatistics | DeleteTableColumnStatistics | 全部资源 * | 无 | 无 | |
dlf:UpdateCatalogSettings | UpdateCatalogSettings | update | 全部资源 * | 无 | 无 |
dlf:DeleteTableVersion | DeleteTableVersion | 全部资源 * | 无 | 无 | |
dlf:ListTableNames | ListTableNames | list | 全部资源 * | 无 | 无 |
dlf:DeleteRole | DeleteRole | delete | 全部资源 * | 无 | 无 |
dlf:GetServiceStatus | GetServiceStatus | get | 全部资源 * | 无 | 无 |
dlf:CreateCatalog | CreateCatalog | 全部资源 * | 无 | 无 | |
dlf:UpdateDatabase | UpdateDatabase | 全部资源 * | 无 | 无 | |
dlf:SearchAcrossCatalog | SearchAcrossCatalog | 全部资源 * | 无 | 无 | |
dlf:StopMigrationWorkflow | StopMigrationWorkflow | 全部资源 * | 无 | 无 | |
dlf:CreatePartition | CreatePartition | 全部资源 * | 无 | 无 | |
dlf:GetFunction | GetFunction | get | 全部资源 * | 无 | 无 |
dlf:ListDatabases | ListDatabases | list | 全部资源 * | 无 | 无 |
dlf:GetLifecycleRule | GetLifecycleRule | 全部资源 * | 无 | 无 | |
dlf:SubmitQuery | SubmitQuery | 全部资源 * | 无 | 无 | |
dlf:GetRole | GetRole | get | 全部资源 * | 无 | 无 |
dlf:GrantRoleToUsers | GrantRoleToUsers | create | 全部资源 * | 无 | 无 |
dlf:CreateLock | CreateLock | 全部资源 * | 无 | 无 | |
dlf:ListRoleUsers | ListRoleUsers | get | 全部资源 * | 无 | 无 |
dlf:ListFunctions | ListFunctions | list | 全部资源 * | 无 | 无 |
dlf:BatchCreateTables | BatchCreateTables | 全部资源 * | 无 | 无 | |
dlf:ListPermissions | ListPermissions | get | 全部资源 * | 无 | 无 |
dlf:UnLock | UnLock | 全部资源 * | 无 | 无 | |
dlf:DeleteDatabase | DeleteDatabase | 全部资源 * | 无 | 无 | |
dlf:GetAsyncTaskStatus | GetAsyncTaskStatus | get | 全部资源 * | 无 | 无 |
dlf:BatchGetPartitionColumnStatistics | BatchGetPartitionColumnStatistics | 全部资源 * | 无 | 无 | |
dlf:ListPartitions | ListPartitions | list | 全部资源 * | 无 | 无 |
dlf:GetTableProfile | GetTableProfile | 全部资源 * | 无 | 无 | |
dlf:AbortLock | AbortLock | 全部资源 * | 无 | 无 | |
dlf:DeleteFunction | DeleteFunction | 全部资源 * | 无 | 无 | |
dlf:BatchDeletePartitions | BatchDeletePartitions | 全部资源 * | 无 | 无 | |
dlf:GetDatabase | GetDatabase | get | 全部资源 * | 无 | 无 |
dlf:ListRoles | ListRoles | get | 全部资源 * | 无 | 无 |
dlf:CheckPermissions | CheckPermissions | get | 全部资源 * | 无 | 无 |
dlf:UpdateFunction | UpdateFunction | 全部资源 * | 无 | 无 | |
dlf:GetTableVersion | GetTableVersion | 全部资源 * | 无 | 无 |
资源(Resource)
数据湖构建(DataLake)不支持在RAM权限策略语句的
Resource
中指定资源ARN。如果要允许对数据湖构建(DataLake)的访问权限,请在策略语句中指定"Resource": "*"
。条件(Condition)
数据湖构建(DataLake)未定义产品级别的条件关键字。如需查看适用于所有云产品的通用条件关键字,请参见通用条件关键字。