Hologres外部表访问MaxCompute安全策略升级公告

背景信息

服务关联角色(ServiceLinkedRole,简称SLR)是一种可信实体为阿里云服务的RAM角色,旨在解决跨云服务的授权访问问题。通过服务关联角色,可以更好地管理云服务所需权限,避免误操作带来的风险。

升级说明及影响

为了提升数据安全性,Hologres V2.2及以上版本将使用服务关联角色(AliyunServiceRoleForHologresIdentityMgmt)获取MaxCompute服务的访问权限。在新购Hologres实例或升级实例至V2.2及以上版本时,您需按照页面提示完成该服务关联角色的创建及授权。

服务关联角色(AliyunServiceRoleForHologresIdentityMgmt)信息如下,详情请参见Hologres服务关联角色

  • 角色用途

    Hologres使用此角色来访问您在MaxCompute服务中的资源。

  • 权限策略

    {
      "Statement": [
        {
          "Effect": "Allow",
          "Action": [
            "odps:ActOnBehalfOfAUser",
            "odps:ActOnBehalfOfAnotherUser"
          ],
          "Resource": "acs:odps:*:*:users/*"
        },
        {
          "Effect": "Allow",
          "Action": "ram:DeleteServiceLinkedRole",
          "Resource": "*",
          "Condition": {
            "StringEquals": {
              "ram:ServiceName": "identity.hologres.aliyuncs.com"
            }
          }
        }
      ],
      "Version": "1"
    }

相关操作

  • 服务关联角色(AliyunServiceRoleForHologresIdentityMgmt)授权方式如下:

    说明
    • 授权操作需要您拥有CreateServiceLinkedRole的权限,详情请参见服务关联角色

    • AliyunServiceRoleForHologresIdentityMgmt服务关联角色只需创建一次,如果该角色已存在,则无需重复创建。

    • 新购实例:在新购Hologres实例页面,已添加服务关联角色的授权快捷入口,您可一键完成服务关联角色的授权,详情请参见购买Hologres

    • 升级实例:在Hologres管理控制台进行实例自助升级时,页面新增创建服务关联角色提示弹窗,您只需按照页面提示即可完成授权,详情请参见自助升级

    • 若无需新购或升级实例,您可直接访问快速授权进行授权。

  • 若您已授权该服务关联角色,后续需解除授权,可通过RAM控制台进行删除,详情请参见删除RAM角色

    重要

    服务关联角色(AliyunServiceRoleForHologresIdentityMgmt)删除时,会同时解除授权;此时,通过Hologres V2.2及以上版本的实例访问MaxCompute中的数据将会失败,请您谨慎操作。