AI 助理
备案控制台
官方文档
输入文档关键字查找
首页 云原生大数据计算服务 MaxCompute 实践教程 最佳实践 安全管理 基于Policy对具备内置角色的用户进行权限管理

基于Policy对具备内置角色的用户进行权限管理

更新时间：
产品详情
我的收藏

用户被赋予MaxCompute内置的角色后，会具备内置角色相应的权限，例如用户被赋予开发角色则具备表、资源等的操作权限。但实际业务场景中，需要对此类用户的操作权限进行更精细化的管理，例如不允许删除重要表。本文基于案例为您介绍如何通过Policy对具备内置角色权限的用户进行权限管理。

前提条件

已安装MaxCompute客户端。更多安装MaxCompute客户端操作，请参见安装并配置MaxCompute客户端。

背景信息

当用户已经被赋予内置角色，且需要对用户的权限进行更精细化管理时，推荐您使用Policy权限管控机制，来解决ACL权限管控机制无法精细化管理此类权限的问题。

Policy权限管控机制是一种基于角色的权限管理方式，允许或禁止角色操作（例如读、写）项目中的对象（例如表），将角色赋予用户后，即可管控用户权限。更多Policy授权或撤销授权语法信息，请参见Policy权限管控。

Policy授权

假设RAM用户Alice已具备MaxCompute项目的开发角色，现需要禁止Alice删除以tb_开头的所有表。Alice账号名为Alice，所属阿里云账号为Bo*@aliyun.com。

Policy授权操作需要由项目所有者、具备Super_Administrator或Admin角色的用户执行。Policy授权操作流程如下：

  1. 安装并登录MaxCompute本地客户端。

  2. 执行CREATE ROLE命令创建角色delete_test。

    命令示例如下。

    CREATE ROLE delete_test;

    更多创建角色信息，请参见角色规划。

  3. 基于Policy权限管控机制，执行GRANT命令为角色delete_test授权，禁止删除以tb_开头的所有表。

    命令示例如下。

    GRANT DROP ON TABLE tb_* TO ROLE delete_test privilegeproperties("policy" = "true", "allow"="false");

    更多Policy授权语法格式信息，请参见Policy授权（Grant）。

  4. 执行GRANT命令将delete_test角色赋予Alice。

    命令示例如下。

    GRANT delete_test TO ram$bo*@aliyun.com:Alice;

    如果不清楚账号名称，可以在MaxCompute客户端执行LIST USERS;命令获取。更多将角色赋予用户信息，请参见角色规划。

  5. 执行SHOW GRANTS命令查看Alice的权限信息。

    命令示例如下。

    SHOW GRANTS FOR ram$bo*@aliyun.com:Alice;

    返回结果如下。

    [roles]
role_project_admin, delete_test                                 --Alice已被赋予delete_test角色。

Authorization Type: Policy                                      --授权方式为Policy。
[role/delete_test]
D       projects/mcproject_name/tables/tb_*: Drop               --不允许（D表示Deny）删除项目中以tb_开头的所有表。
[role/role_project_admin]
A       projects/mcproject_name: *
A       projects/mcproject_name/instances/*: *
A       projects/mcproject_name/jobs/*: *
A       projects/mcproject_name/offlinemodels/*: *
A       projects/mcproject_name/packages/*: *
A       projects/mcproject_name/registration/functions/*: *
A       projects/mcproject_name/resources/*: *
A       projects/mcproject_name/tables/*: *
A       projects/mcproject_name/volumes/*: *

Authorization Type: ObjectCreator
AG      projects/mcproject_name/tables/local_test: All
AG      projects/mcproject_name/tables/mr_multiinout_out1: All
AG      projects/mcproject_name/tables/mr_multiinout_out2: All
AG      projects/mcproject_name/tables/ramtest: All
AG      projects/mcproject_name/tables/wc_in: All
AG      projects/mcproject_name/tables/wc_in1: All
AG      projects/mcproject_name/tables/wc_in2: All
AG      projects/mcproject_name/tables/wc_out: All

    更多查看用户权限信息，请参见通过MaxCompute SQL查询权限信息。

  6. 以Alice身份登录MaxCompute客户端，执DROP TABLE命令尝试删除以tb_开头的表。

    命令示例如下。

    DROP TABLE tb_test;

    返回结果如下。表明权限控制生效。如果删除成功，表明权限控制不生效，请仔细确认是否已经正确执行上述步骤。

    FAILED: Catalog Service Failed, ErrorCode: 50, Error Message: ODPS-0130013:Authorization exception - Authorization Failed [4011],
You have NO privilege 'odps:Drop' on {acs:odps:*:projects/mcproject_name/tables/tb_test}.
Explicitly denied by policy.
Context ID:85efa8e9-40da-4660-bbfd-b503dfa64c0a. --->Tips: Pricipal:RAM$bo*@aliyun.com:Alice; Deny by policy

撤销Policy授权

基于Policy授权中的案例，假设以tb_开头的所有表在实际业务中已不再需要，允许Alice执行删除操作。

撤销Policy授权操作需要由项目所有者、具备Super_Administrator或Admin角色的用户执行。撤销Policy授权方式如下：

  • 撤销为角色授予的权限，保留角色

    操作流程如下：

    1. 安装并登录MaxCompute本地客户端。

    2. 基于Policy权限管控机制，执行REVOKE命令撤销Policy授权，允许delete_test角色删除以tb_开头的所有表。

      命令示例如下。

      REVOKE DROP ON TABLE tb_* FROM ROLE delete_test privilegeproperties("policy" = "true", "allow"="false");

      更多撤销Policy授权语法格式信息，请参见撤销Policy授权（Revoke）。

    3. 执行SHOW GRANTS命令查看Alice的权限信息。命令示例如下。

      SHOW GRANTS FOR ram$bo*@aliyun.com:Alice;

      返回结果如下。

      [roles]
role_project_admin, delete_test                                 --保留delete_test角色。

Authorization Type: Policy                                      --Policy授权信息已撤销。
[role/role_project_admin]
A       projects/mcproject_name: *
A       projects/mcproject_name/instances/*: *
A       projects/mcproject_name/jobs/*: *
A       projects/mcproject_name/offlinemodels/*: *
A       projects/mcproject_name/packages/*: *
A       projects/mcproject_name/registration/functions/*: *
A       projects/mcproject_name/resources/*: *
A       projects/mcproject_name/tables/*: *
A       projects/mcproject_name/volumes/*: *

Authorization Type: ObjectCreator
AG      projects/mcproject_name/tables/local_test: All
AG      projects/mcproject_name/tables/mr_multiinout_out1: All
AG      projects/mcproject_name/tables/mr_multiinout_out2: All
AG      projects/mcproject_name/tables/ramtest: All
AG      projects/mcproject_name/tables/tb_test: All
AG      projects/mcproject_name/tables/wc_in: All
AG      projects/mcproject_name/tables/wc_in1: All
AG      projects/mcproject_name/tables/wc_in2: All
AG      projects/mcproject_name/tables/wc_out: All

      更多查看用户权限信息，请参见通过MaxCompute SQL查询权限信息。

    4. 以Alice身份登录MaxCompute客户端，执行DROP TABLE命令尝试删除以tb_开头的表。

      命令示例如下。

      DROP TABLE tb_test;

      返回OK，表明撤销Policy授权成功。

  • 收回赋予用户的角色，如果不再需要角色，可删除角色

    操作流程如下：

    1. 安装并登录MaxCompute本地客户端。

    2. 执行REVOKE命令收回授予Alice的delete_test角色。

      命令示例如下。

      REVOKE delete_test FROM ram$bo*@aliyun.com:Alice;

      更多收回赋予用户的角色信息，请参见角色规划。

    3. 执行SHOW GRANTSshow grants命令查看Alice的权限信息。命令示例如下。

      SHOW GRANTS FOR ram$bo*@aliyun.com:Alice;

      返回结果如下。

      [roles]
role_project_admin                                           --已删除delete_test角色。

Authorization Type: Policy
[role/role_project_admin]
A       projects/mcproject_name: *
A       projects/mcproject_name/instances/*: *
A       projects/mcproject_name/jobs/*: *
A       projects/mcproject_name/offlinemodels/*: *
A       projects/mcproject_name/packages/*: *
A       projects/mcproject_name/registration/functions/*: *
A       projects/mcproject_name/resources/*: *
A       projects/mcproject_name/tables/*: *
A       projects/mcproject_name/volumes/*: *

Authorization Type: ObjectCreator
AG      projects/mcproject_name/tables/local_test: All
AG      projects/mcproject_name/tables/mr_multiinout_out1: All
AG      projects/mcproject_name/tables/mr_multiinout_out2: All
AG      projects/mcproject_name/tables/ramtest: All
AG      projects/mcproject_name/tables/wc_in: All
AG      projects/mcproject_name/tables/wc_in1: All
AG      projects/mcproject_name/tables/wc_in2: All
AG      projects/mcproject_name/tables/wc_out: All

    4. 以Alice身份登录MaxCompute客户端，执行DROP TABLE命令尝试删除以tb_开头的表。

      命令示例如下。

      DROP TABLE tb_test;

      返回OK，表明撤销Policy授权成功。

    5. （可选）执行DROP ROLE命令删除delete_test角色。

      命令示例如下。

      DROP ROLE delete_test;

      返回OK，表明角色删除成功。更多删除角色信息，请参见角色规划。

上一篇：MaxCompute项目设置RAM子账号为超级管理员下一篇：授权实践