AnalyticDB:アカウントの権限付与

前提条件

RAM ユーザーを作成しました。

操作手順

{
  "comments": [
    "-- これは LakeCache を使用する一例です。内容を変更して、ご自身の Spark プログラムを実行してください。"
  ],
  "args": ["oss://testBucketName/data/readme.txt"],
  "name": "spark-oss-test",
  "file": "oss://testBucketName/data/example.py",
  "conf": {
    "spark.adb.lakecache.enabled": "true";
    "spark.adb.roleArn": "acs:ram::testAccountID:role/adbtest";
  }
}

ステップ 1：アカウント B の RAM ロールの作成と権限付与

1. RAM ロールを作成し、アカウント A がこのロールを偽装できるようにします。

   説明

   すでに RAM ロールを作成し、アカウント A がそれを偽装できるようにしている場合は、このステップをスキップできます。

   1. Alibaba Cloud アカウント B またはアカウント B の RAM 管理者として RAM コンソールにログインします。

   2. 左側のナビゲーションウィンドウで、[ID 管理] > [ロール] を選択します。

   3. [ロール] ページで、[ロールの作成] をクリックします。

   4. [ロールの作成] ページで、[信頼できるエンティティの種類] を [Alibaba Cloud アカウント] に設定し、アカウントを指定して [OK] をクリックします。

   5. ロール情報を設定します。

      1. [ロール名] を入力します (例：admin-oss)。

      2. 任意: [メモ] を入力できます。

      3. 他の Alibaba Cloud アカウント で、他の Alibaba Cloud アカウント を選択し、Alibaba Cloud アカウント A の UID (testAccountIDA) を入力します。

   6. [完了] をクリックします。

2. RAM ロールに権限を付与します。

   1. [正確な権限付与] をクリックします。

   2. [正確な権限付与] パネルで、ポリシーの種類を [システムポリシー] または [カスタムポリシー] に設定し、ポリシー名を入力できます。

      OSS へのアクセス

      • AliyunOSSReadOnlyAccess：OSS に対する読み取り専用権限を付与します。

      • AliyunOSSFullAccess：OSS に対する完全制御権限を付与します。OSS 外部テーブルに対して INSERT などのデータ更新操作を実行するには、この権限を RAM ロールに付与する必要があります。

      特定の VPC 内のリソースへのアクセス

      特定の VPC 内のリソースにアクセスするには、カスタムポリシーを作成する必要があります。ポリシーの `Resource` パラメーターで、リソースが属するセキュリティグループと vSwitch を指定します。詳細については、「カスタム権限ポリシーの作成」をご参照ください。

      この例では、特定の VPC 内の ApsaraDB RDS for MySQL インスタンスにのみアクセスする権限を付与します。カスタムポリシーの名前は eni_policy です。以下にポリシーのドキュメントを示します。

      説明

      ApsaraDB RDS for MySQL インスタンスにセキュリティグループを追加する必要があります。セキュリティグループのインバウンドルールとアウトバウンドルールは、ApsaraDB RDS for MySQL インスタンスのポートでのアクセスを許可する必要があります。

      {
          "Version": "1",
          "Statement": [
              {
                  "Effect": "Allow",
                  "Action": "ecs:*",
                  "Resource": "acs:ecs:*:*:securitygroup/<RDS インスタンスが属するセキュリティグループの ID>"
              },
              {
                  "Effect": "Allow",
                  "Action": "vpc:*",
                  "Resource": "acs:vpc:*:*:vswitch/<RDS インスタンスが属する vSwitch の ID>"
              }
          ]
      }

   3. [OK] をクリックします。

   4. [閉じる] をクリックします。

3. 信頼ポリシーを変更して、アカウント A の任意の RAM ユーザーがこの RAM ロールを偽装できるようにします。

   1. 左側のナビゲーションウィンドウで、[ID 管理] > [ロール] を選択します。

   2. [ロール] ページで、対象の RAM ロールの名前をクリックします。

   3. [信頼ポリシー] タブで、[信頼ポリシーの編集] をクリックします。

   4. エディターで信頼ポリシーのドキュメントを修正し、[OK] をクリックします。

      {
        "Statement": [
          {
            "Action": "sts:AssumeRole",
            "Effect": "Allow",
            "Principal": {
              "RAM": [
                "acs:ram::testAccountIDA:root"
              ]
            }
          },
          {
            "Action": "sts:AssumeRole",
            "Effect": "Allow",
            "Principal": {
              "Service": [
                "testAccountIDA@ads.aliyuncs.com"
              ]
            }
          }
        ],
        "Version": "1"
      }

ステップ 2：アカウント A の RAM ユーザーを作成し、RAM ロールを偽装する権限を付与

1. RAM ユーザーを作成します。

   1. Alibaba Cloud アカウント A またはアカウント A の RAM 管理者として RAM コンソールにログインします。

   2. 左側のナビゲーションウィンドウで、[ID] > [ユーザー] を選択します。

   3. ユーザー ページで、ユーザーの作成 をクリックします。

   4. ユーザーアカウント情報 セクションの ユーザーの作成 ページで、ユーザーの基本情報を設定します。

      • ログイン名 (必須)：ログイン名には、英字、数字、ピリオド (.)、ハイフン (-)、アンダースコア (_) を使用できます。長さは 64 文字までです。

      • [表示名] (任意)：表示名は 128 文字までです。

      • [タグ] (任意)： アイコンをクリックし、タグキーとタグ値を入力します。タグは RAM ユーザーの分類と管理に役立ちます。

      説明

      ユーザーの追加 をクリックすると、複数の RAM ユーザーを同時に作成できます。

   5. [アクセスモード] セクションで、パスワードによるコンソールログイン を選択します。その後、必要に応じてログインパスワード、パスワードリセットポリシー、多要素認証 (MFA) ポリシーを設定できます。詳細については、「コンソールアクセス」をご参照ください。

   6. [OK] をクリックします。

2. RAM ユーザーが任意のロールを偽装できる権限ポリシーを作成します。

   1. 左側のナビゲーションウィンドウで、[権限管理] > [ポリシー] を選択します。

   2. [ポリシー] ページで、[ポリシーの作成] をクリックします。

   3. [ポリシーの作成] ページで、[スクリプトエディター] タブをクリックします。

   4. ポリシーのドキュメントを入力し、[OK] をクリックします。

      {
          "Version": "1",
          "Statement": [
              {
                  "Action": "ram:PassRole",
                  "Resource": "*",
                  "Effect": "Allow"
              }
          ]
      }

   5. [ポリシーの作成] ダイアログボックスで、[ポリシー名] と [説明] を入力し、[OK] をクリックします。

3. RAM ユーザーに権限を付与します。

   1. 左側のナビゲーションウィンドウで、[ID 管理] > [ユーザー] を選択します。

   2. [ユーザー] ページで対象の RAM ユーザーを見つけ、[操作] 列の [権限の追加] をクリックします。

   3. [権限の追加] パネルで、ステップ 2 で作成した権限を RAM ユーザーに付与します。

   4. [OK] をクリックします。

   5. [閉じる] をクリックします。