DataWorks：MaxCompute資料許可權控制詳情

DataWorks空間級預設角色預設可以訪問開發環境引擎專案許可權，但無法直接存取生產環境引擎專案。即可以直接存取開發表、資源、函數，但無法直接存取生產表、資源、函數。

為了保障生產資料安全，在標準模式工作空間下，DataWorks對RAM使用者（子帳號）訪問MaxCompute表的操作進行了管控。

• 獲得開發專案許可權過程（自動獲得）：

  • 工作空間成員被授予預設角色的同時獲得引擎專案許可權，詳情請參見情境一：空間級預設角色授權過程。

  • 工作空間成員被授予自訂角色的同時獲得引擎專案許可權，詳情請參見情境二：空間自訂角色授權過程。

• 獲得生產專案許可權（需要人為申請）：需要進入資訊安全中心申請，使用情境如下表所示，更多關於資訊安全中心的使用詳情參見MaxCompute資料存取權限控制。

  情境	說明
  同工作空間內，開發環境使用者訪問生產環境表	當DataWorks的子帳號未被添加為生產環境計算引擎訪問身份時，預設該帳號無法在資料開發介面直接操作本工作空間的生產表，如果子帳號需要擁有生產表許可權，需要在資訊安全中心發起申請，待審批通過後，便可在資料開發介面對錶進行相關操作。
  開發或生產環境使用者訪問跨工作空間的開發或生產環境表	預設不在工作空間下的子帳號無法在資料開發介面跨專案訪問開發表或生產表。如果需要跨專案操作開發表或生產表，子帳號需要在資訊安全中心發起申請，待審批通過後，便可在資料開發介面對錶進行相關操作。

RAM使用者（子帳號）若需要訪問生產資料，需要進行流程審批，管理員可對生產環境許可權進行管控。

1. 資訊安全中心內建審批次程序可進行生產表許可權審批。

2. 核准中心支援自訂審批次程序。

您可以在MaxCompute_SQL任務中，執行如下語句，查詢自己的許可權資訊。

• show grants：查看目前使用者自己的存取權限。

• show grants for <username>：查看指定使用者的存取權限，僅空間管理員才有執行許可權。

完成新增成員操作後，在DataWorks層面和MaxCompute引擎層面均有了部分許可權，此RAM使用者可在DataWorks層面和MaxCompute引擎層面進行的操作許可權詳情如下。

• DataWorks層面：給RAM使用者授予開發角色後，該使用者可以在DataWorks開發代碼並且提交，但是不能將代碼直接發布到生產環境，發布生產的操作需要有營運許可權（專案所有者、管理員、營運這幾類角色擁有此許可權）。

• MaxCompute引擎層面：給RAM使用者授予開發角色後，在MaxCompute引擎層面同時為這個RAM使用者授予了一個Role_Project_Dev這個角色，這個角色會被賦予部分MaxCompute引擎開發專案的表和專案的許可權。

  說明

  • 當授予阿里雲RAM使用者預設管理員角色，其擁有的DataWorks功能許可權較多，但同樣不能直接存取生產表。

  • 此處說明的RAM使用者特指，未被指定為非調度引擎訪問身份（未被指定為生產專案MaxCompute訪問身份）的子帳號。

情境樣本：某個RAM使用者被一個擁有空間管理員權限的使用者添加為工作空間成員，並授予DataWorks工作空間自訂角色許可權。建立DataWorks空間自訂角色時，您可以指定此角色是否與MaxCompute引擎的某個角色做映射，角色建立完成後，可以在新增成員時關聯此自訂角色，完成後，被添加為成員的RAM使用者在DataWorks層面和MaxCompute引擎層面均有了部分許可權，此RAM使用者可在DataWorks層面和MaxCompute引擎層面進行的操作許可權詳情如下。

• DataWorks層面：DataWorks上給一個RAM使用者授予DataWorks自訂角色，該使用者只能訪問自訂角色所賦予的模組許可權。

• MaxCompute引擎層面：

  • 如果該DataWorks自訂角色未設定引擎許可權映射，那麼RAM使用者沒有MaxCompute引擎的操作許可權，無法通過命令進行引擎查詢等相關操作。

  • 如果該DataWorks自訂角色設定了引擎許可權映射，那麼RAM使用者有自訂角色所映射的引擎許可權，所擁有的操作許可權與映射的MaxCompute引擎的角色一致。