DataWorks：（進階）RAM角色登入並使用DataWorks

注意事項

• DataWorks目前支援建立的資料來源中，僅MaxCompute、Hologres支援使用RAM角色操作。

• 以下授權操作如果需要RAM使用者或角色完成，請為RAM使用者或角色授權AliyunRAMFullAccess策略。授權詳情，請參見為RAM使用者授權。

步驟一：建立RAM角色

1. 登入RAM控制台。

   雲帳號管理者以帳號、密碼方式，使用阿里雲主帳號登入RAM控制台。

2. 在左側導覽列，選擇身份管理 > 角色。

3. 建立角色。

   在角色頁面，單擊建立角色，按照指引建立RAM角色。

   • 若需要通過阿里雲控制台切換身份方式扮演該角色，選擇阿里雲帳號類型角色。詳情請參見建立可信實體為阿里雲帳號的RAM角色。

   • 若需要通過本地IDP身份供應商帳號登入至阿里雲扮演該角色，選擇身份供應商類型角色。詳情請參見建立可信實體為身份供應商的RAM角色。

步驟二：定義RAM角色策略

在身份管理 > 角色頁面，單擊角色名稱，在信任策略管理頁簽定義RAM角色策略。內容策略大致分兩部分，一部分定義該RAM角色可被阿里雲帳號下RAM使用者或IDP身份扮演，一部分定義該RAM角色可被DataWorks服務扮演，具體策略內容如下，您可根據實際情境選擇。

情境一：RAM帳號扮演RAM角色

若需要通過RAM使用者扮演RAM角色訪問DataWorks，請為該RAM角色添加以下策略內容。

{
    "Statement": [
        {
            "Action": "sts:AssumeRole",
            "Effect": "Allow",
            "Principal": {
                "RAM": [
                    "acs:ram::UID:root"
                ]
            }
        },
        {
            "Action": "sts:AssumeRole",
            "Effect": "Allow",
            "Principal": {
                "Service": [
                    "dataworks.aliyuncs.com"
                ]
            }
        }
    ],
    "Version": "1"
}

情境二：IDP身份供應商帳號扮演RAM角色

若需要通過IDP身份供應商帳號扮演RAM角色訪問DataWorks，請為該RAM角色添加以下策略內容。

{
   "Statement": [
        {
            "Action": "sts:AssumeRole",
            "Condition": {
                "StringEquals": {
                    "saml:recipient": "https://signin.aliyun.com/saml-role/sso"
                }
            },
            "Effect": "Allow",
            "Principal": {
                "Federated": [
                    "acs:ram::UID:saml-provider/IDP"
                ]
            }
        },
        {
            "Action": "sts:AssumeRole",
            "Effect": "Allow",
            "Principal": {
                "Service": [
                    "dataworks.aliyuncs.com"
                ]
            }
        }
    ],
    "Version": "1"
}

步驟三：授權RAM使用者AliyunSTSAssumeRoleAccess策略

如果您使用RAM使用者而非IDP帳號來扮演RAM角色，請為RAM使用者授予AliyunSTSAssumeRoleAccess策略。允許RAM使用者調用STS服務，通過調用AssumeRole介面，來擷取該RAM角色的STS Token，獲得該臨時身份憑證。策略授權，詳情請參見為RAM使用者授權。

步驟四：RAM使用者通過RAM角色登入DataWorks

本步驟為您展示RAM使用者如何扮演RAM角色，登入並使用DataWorks。角色SSO詳情，請參見SAML角色SSO概覽。

1. 登入DataWorks控制台。

   RAM使用者（子帳號）可通過該地址進入DataWorks管理主控台。

2. 切換身份。

   進入DataWorks管理主控台後，將滑鼠移至上方至右上方個人資訊處，單擊切換身份，通過RAM角色登入DataWorks管理主控台。