チームコラボレーションのために Alibaba Cloud アカウントを共有すると、重大なセキュリティリスクが生じます。代わりに、RAM ユーザーをワークスペースメンバーとして追加し、異なるロールを割り当ててください。これにより、詳細なアクセスの制御が可能になり、データセキュリティを確保し、開発ワークフローを標準化できます。
仕組み
DataWorks のメンバー管理は、Alibaba Cloud RAM とロールベースアクセス制御 (RBAC) モデルに基づいています。コア原則は次のとおりです：
メンバー ID：ワークスペース内のメンバーは、ご利用の Alibaba Cloud アカウントに属する RAM ユーザーです。DataWorks がユーザー ID を作成または保存することはありません。
ロールの権限付与：管理者、開発者、O&M などのロールを割り当てることで、ワークスペース内のメンバーに権限を付与します。
権限マッピング：DataWorks のロール権限は、基盤となるコンピュートエンジンの権限にマッピングされます。たとえば、DataWorks でメンバーに開発者ロールを付与すると、システムはアタッチされた MaxCompute プロジェクトで、そのメンバーに対応する読み取り/書き込み権限を自動的に付与します。このマッピングを理解することが、権限を正しく構成するための鍵となります。
DataWorks 権限システムの詳細については、「DataWorks 権限システムの概要」をご参照ください。
権限
この操作を実行するには、ワークスペースで ワークスペース管理者 ロールを持っている必要があります。
Alibaba Cloud アカウントには、作成したすべてのワークスペースに対して、デフォルトでワークスペース管理者ロールが付与されます。
メンバーとロールの追加および管理
DataWorks 管理センター に移動し、対象のワークスペースを見つけて、[管理センターへ移動] をクリックします。
左側のナビゲーションウィンドウで [ワークスペースメンバーとロール] をクリックします。次に、右上隅の [メンバーを追加] をクリックします。
(任意) 新しい RAM ユーザーを作成するには、ダイアログボックス上部のプロンプトで [RAM コンソール] をクリックして RAM コンソールに移動し、RAM ユーザーを作成します。
追加するアカウントを選択し、[選択済みのアカウント] リストに移動してロールを設定し、[確認] をクリックして権限を付与します。
重要ワークスペースのロールが異なると、RAM ユーザーが持つ DataWorks の機能に対する権限も異なります。事前設定されたワークスペースロールの詳細については、「ワークスペースレベルのアクセスの制御」をご参照ください。
ワークスペース管理者ロールを持つ RAM ユーザーは、ワークスペース内のすべての権限を持ちます。
ワークスペースにメンバーを追加した後、[ワークスペースメンバー] リストでメンバーを表示および管理できます。[ロール] 列でメンバーのロールを変更したり、[アクション] 列でメンバーを削除したりできます。プロジェクトオーナーは削除できません。
本番環境での推奨事項
最小権限の原則：開発者や O&M エンジニアには ワークスペース管理者 ロールを付与しないでください。代わりに、職責に基づいて 開発、O&M、デプロイ などの特定のロールを割り当ててください。
定期的なレビュー：プロジェクトオーナーは定期的に [ワークスペースメンバー] リストを確認し、退職または異動したメンバーを速やかに削除し、不要な権限を整理する必要があります。
管理者権限のリスク：ワークスペース管理者 ロールは、メンバーの管理やワークスペース構成の変更機能を含むすべての権限を付与します。管理者による誤操作やアカウントの侵害は、プロジェクト全体に深刻な影響を与える可能性があります。このロールは、1〜2 名のコアオーナーに厳密に限定する必要があります。
次のステップ
メンバーを追加してロールを割り当てた後、以下のリソースを使用して DataWorks の基本を学ぶことができます：
クイックスタートチュートリアルについては、「総合編：Web サイトユーザーのプロファイル分析」をご参照ください。
その他のチュートリアルについては、「プロダクトチュートリアル」をご参照ください。
よくある質問
Q：[利用可能なアカウント] リストに追加したい RAM ユーザーが見つからないのはなぜですか？
A：まず、Alibaba Cloud RAM コンソールで RAM ユーザーが作成されていることを確認してください。次に、[メンバーを追加] ダイアログボックスで [更新] ボタンをクリックして、最新の RAM ユーザーリストを取得します。Q：特定のワークスペースメンバーを削除できないのはなぜですか？
A：ワークスペースの プロジェクトオーナー は削除できません。プロジェクトオーナーは通常、ワークスペースを作成した Alibaba Cloud アカウントであり、そのワークスペースに対するすべての権限を持っています。