授权实践

操作步骤：

示例一：

• 场景说明：

  授权用户a****@aliyunid.com只能在2026-11-11 23:59:59这个时间点之前、只能从10.32.180.0/23这个IP段提交请求、只允许在项目空间test_project中执行CreateInstance、CreateTable和List操作且禁止删除test_project下的任何表。

• 操作步骤：

  通过MaxCompute客户端实现

  1. 创建新角色：

     create role policy_3;

  2. 准备Policy脚本，并放置文件在MaxCompute客户端文件所在的bin目录下，脚本文件名称为policy_3.json内容如下：

     {
     "Version": "1",
     "Statement":
      [{
         "Effect":"Allow",
         "Action":["odps:CreateTable","odps:CreateInstance","odps:List"],
         "Resource":"acs:odps:*:projects/<project_name>",
         "Condition":{
             "DateLessThan": {
                 "acs:CurrentTime":"2026-11-11T23:59:59Z"
             },
             "IpAddress": {
                 "acs:SourceIp":"10.32.180.0/23"
             }
         }
     },
     {
         "Effect":"Deny",
         "Action":"odps:Drop",
         "Resource":"acs:odps:*:projects/<project_name>/tables/*"
     }]
     }

     project_name为MaxCompute项目名称。

  3. 授权。

     --给新创建的角色授权
     put policy policy_3.json on role policy_3;
     
     --把角色授权给目标用户
     grant policy_3 to ALIYUN$a****@aliyunid.com;  

  通过控制台实现

  1. 登录MaxCompute控制台，在左上角选择地域。

  2. 在左侧导航栏，选择管理配置 > 项目管理。

  3. 在项目管理页面，单击目标项目操作列的管理。

  4. 在项目配置页面，选择角色权限页签。

  5. 单击新增项目级别角色，创建支持MaxCompute相关权限的项目角色。

  6. 在弹出的新建角色对话框，创建资源操作类（Resource）角色，填写角色名称和Policy授权策略。

     Policy内容如下：

     {
     "Version": "1",
     "Statement":
      [{
         "Effect":"Allow",
         "Action":["odps:CreateTable","odps:CreateInstance","odps:List"],
         "Resource":"acs:odps:*:projects/<project_name>",
         "Condition":{
             "DateLessThan": {
                 "acs:CurrentTime":"2026-11-11T23:59:59Z"
             },
             "IpAddress": {
                 "acs:SourceIp":"10.32.180.0/23"
             }
         }
     },
     {
         "Effect":"Deny",
         "Action":"odps:Drop",
         "Resource":"acs:odps:*:projects/<project_name>/tables/*"
     }]
     }

  7. 在项目配置页面，选择角色权限页签。

     选择目标项目级别角色，单击操作列的成员管理。选择需授权的阿里云主账号或RAM用户，单击确定完成授权。若首次授权时未能搜索到对应账号，可下方手动添加成员区域添加。

示例二：通过 Deny Policy 强制 IP 访问控制

• 场景说明：限制某些用户只能从指定 IP 段访问，无论该用户通过何种方式获得了权限。

• 核心思路：创建一个 Deny Policy，拒绝非指定 IP 段的所有请求。由于 Deny 优先于

  Allow，即使用户通过 ACL 或其他角色获得了权限，从非指定 IP 访问时仍会被拒绝。

• Policy内容如下：

   {
      "Version": "1",
      "Statement": [{
        "Effect": "Deny",
        "Action": "odps:*",
        "Resource": "acs:odps:*:projects/<project_name>/*",
        "Condition": {
          "NotIpAddress": {
            "acs:SourceIp": "10.32.180.0/23"
          }
        } 
      }]
    } 

操作步骤：

1. 在生产项目中创建Package：

   USE Project_a;
   CREATE PACKAGE Package_test;

2. 生产项目中向Package中添加需要分享的资源：

   ADD TABLE table_a TO PACKAGE Package_test;

3. 生产项目许可分析项目空间使用Package 。

   ALLOW PROJECT Project_analyze TO INSTALL PACKAGE Package_test;

4. 分析项目安装Package：

   USE Project_analyze;
   INSTALL PACKAGE Project_a.Package_test;

5. Package授权给分析人员：

   GRANT read ON package Package_test TO USER ALIYUN$A*****@aliyunid.com;

6. 分析人员查询表中数据：

   SELECT * FROM Project_a.table_a;

场景说明

同一家企业，由于内部成本以及其他业务需要，不同部门各自使用阿里云账号开通使用MaxCompute，但是部门之间业务有数据交互需求，同时出于数据安全考虑期望达到权限最小化，即每个使用方的成员只能有权限读取提供方具体某些表的数据，因此需要实现不同阿里云账号之间的数据权限细粒度管理。

解决方案

假设有阿里云账号A的项目空间（Project_a）、阿里云账号B的项目空间（Project_b），Project_a中表t1、t2需要给阿里云账号B的RAM用户b_user1授读权限，Project_a中表t3给B的RAM用户b_user2授读权限。