:権限付与

MaxCompute は、SQL92 で規定された GRANT コマンドと REVOKE コマンドと同様の構文を使用して、権限付与をサポートしています。 単純な権限付与文を使用して、既存のプロジェクトオブジェクトに対する権限を付与または取り消します。 権限付与の構文は次のとおりです。

    grant actions on object to subject
    revoke actions on object from subject
    actions ::= action_item1, action_item2, ...
    object ::= project project_name | table schema_name |
               instance inst_name | function func_name |
                resource res_name
    subject ::= user full_username | role role_name

SQL92 で規定された GRANT コマンドと REVOKE コマンド、または Oracle データベースのセキュリティ管理に精通しているユーザーは、MaxCompute の ACL 権限付与構文が [WITH GRANT OPTION] パラメーターをサポートしていないことに気づいているかもしれません。 たとえば、ユーザー A がユーザー B にオブジェクトへのアクセス権限を付与した場合、ユーザー B はユーザー C に権限を付与できません。このシナリオでは、次の 3 つのロールのいずれかによって、すべての権限が付与されます。

• プロジェクト所有者
• プロジェクト管理者
• オブジェクト作成者

プロジェクト管理者 Bob は、以下の権限付与操作を実行します。

    use test_project_a;
    add user aliyun$alice@aliyun.com;
    add user ram$bob@aliyun.com:Allen; 
    create role worker;
    grant worker TO aliyun$alice@aliyun.com; 
    grant worker TO ram$bob@aliyun.com:Allen; 
    grant CreateInstance, CreateResource, CreateFunction, CreateTable, List ON PROJECT test_project_a TO ROLE worker; 

プロジェクト管理者は、test_project_b に対して以下の権限付与操作を実行します。

    use test_project_b; --Open the project
    add user aliyun$alice@aliyun.com; --Add the user
    add user ram$bob@aliyun.com:Allen; --Add th RAM sub-account
    create role prj_a_worker; --Create a role
    grant prj_a_worker TO aliyun$alice@aliyun.com; --Grant the role
    grant prj_a_worker TO ram$bob@aliyun.com:Alice; --Grant the role
    grant Describe , Select ON TABLE prj_b_test_table TO ROLE prj_a_worker; --Authorize the role
    grant Read ON Function prj_b_test_udf TO ROLE prj_a_worker; --Authorize the role
    grant Read ON Resource prj_b_test_udf_resource TO ROLE prj_a_worker; --Authorize the role
--After authorization, the two users query table and use udf in test_project_a as follows:
use test_project_a;
select test_project_b:prj_b_test_udf(arg0, arg1) as res from test_project_b.prj_b_test_table;