：ACL許可權控制

ACL許可權控制適用於如下情境。

使用ACL許可權控制方案前，請您確認已記錄好如下資訊：

• 被授權人的帳號或角色名稱，且帳號或角色已添加至MaxCompute專案。阿里雲帳號格式為ALIYUN$<account_id>，RAM使用者帳號格式為 RAM$<account_id>:<RAM使用者UID>，RAM角色帳號格式為`RAM$<account_id>:role/<RAM角色名稱>`。

  您可以通過MaxCompute用戶端執行list users;或list roles;命令擷取帳號或角色資訊。

  如果需要新增使用者或角色，請參見使用者規劃與管理或角色規劃。

• 授權物件類型、對象名稱及操作。

  更多個物件類型及操作資訊，請參見MaxCompute許可權。

ACL許可權控制功能的使用限制如下：

• ACL許可權控制只支援對已存在的對象、被授權人進行授權，可以避免刪除並重建同名對象所帶來的安全風險。

• ACL許可權控制不支援通過[with grant option]子句授權。例如當使用者A授權使用者B可以訪問某個對象時，使用者B無法將許可權進一步授權給使用者C。

• ACL授權為白名單（Allow）授權，不支援黑名單（Deny）授權。

使用ACL許可權控制功能的注意事項如下：

• 如果刪除了對象，MaxCompute會自動撤銷與該對象關聯的所有ACL授權資訊。

• 當一個使用者被移除後，與該使用者有關的授權仍然會被保留。一旦該使用者以後被再次添加到該專案時，該使用者的歷史授權存取權限將被重新啟用。如果需要徹底清除使用者的許可權資訊，請參見徹底清除被刪除使用者遺留的許可權資訊。

ACL許可權控制命令格式如下：

• ACL授權

  grant <actions> on <object_type> <object_name> 
  [(<column_list>)] to <subject_type> <subject_name> 
  [privilegeproperties("conditions" = "<conditions>", "expires"="<days>")];

• 撤銷ACL授權

  revoke <actions> on <object_type> <object_name> 
  [(<column_list>)] from <subject_type> <subject_name>;

• 列層級許可權控制

  grant <actions> on table <table_name> (<column_list>) to <subject_type> <subject_name>;
  revoke <actions> on table <table_name> (<column_list>) from <subject_type> <subject_name>;

參數說明如下。

假設Bob@aliyun.com（帳號ID：5527xxxxxxxx5788）是test_project_a的專案所有者，Allen（UID：1652xxxxxxxxxx1538）、Alice（UID：2763xxxxxxxxxx1649）、Tom（UID：3874xxxxxxxxxx1850）是隸屬於Bob@aliyun.com的RAM使用者。以MaxCompute用戶端操作為例，授權樣本如下：

• 樣本一：為使用者授權

  在專案test_project_a中建立表sale_detail，並為使用者Allen授予表的讀取中繼資料（Describe）和讀取表資料（Select）許可權。命令樣本如下。

  --Bob進入專案test_project_a。
  use test_project_a; 
  --建立一張分區表sale_detail。
  create table if not exists sale_detail
  (
  shop_name     string,
  customer_id   string,
  total_price   double
  )
  partitioned by (sale_date string, region string);
  --將使用者Allen添加為專案成員。
  add user RAM$5527xxxxxxxx5788:1652xxxxxxxxxx1538;
  --為Allen授予許可權。
  grant Describe, Select on table sale_detail to USER RAM$5527xxxxxxxx5788:1652xxxxxxxxxx1538;
  --查看使用者Allen的授權結果。
  show grants for RAM$5527xxxxxxxx5788:1652xxxxxxxxxx1538; 
  --授權結果如下。
  Authorization Type: ACL
  [user/RAM$5527xxxxxxxx5788:1652xxxxxxxxxx1538]
  A       projects/test_project_a/tables/sale_detail: Describe | Select

• 樣本二：為使用者授權

  在樣本一中建立的表sale_detail基礎上，為使用者Alice授予表sale_detail中shop_name和customer_id兩列的所有操作許可權。命令樣本如下。

  --Bob進入專案test_project_a。
  use test_project_a; 
  --將使用者Alice添加為專案成員。
  add user RAM$5527xxxxxxxx5788:2763xxxxxxxxxx1649;
  --為Alice授予列層級控制許可權。
  grant All on table sale_detail (shop_name, customer_id) to USER RAM$5527xxxxxxxx5788:2763xxxxxxxxxx1649;
  --查看使用者Alice的授權結果。
  show grants for RAM$5527xxxxxxxx5788:2763xxxxxxxxxx1649; 
  --授權結果如下。
  Authorization Type: ACL
  [user/RAM$5527xxxxxxxx5788:2763xxxxxxxxxx1649]
  A       projects/test_project_a/tables/sale_detail/customer_id: All
  A       projects/test_project_a/tables/sale_detail/shop_name: All

• 樣本三：為使用者撤銷授權

  基於樣本一、二，撤銷對使用者Allen、Alice的授權。命令樣本如下。

  --Bob進入專案test_project_a。
  use test_project_a; 
  --撤銷Allen授權。
  revoke Describe, Select on table sale_detail (shop_name, customer_id) from USER RAM$5527xxxxxxxx5788:1652xxxxxxxxxx1538;
  --撤銷Alice授權。
  revoke All on table sale_detail (shop_name, customer_id) from USER RAM$5527xxxxxxxx5788:2763xxxxxxxxxx1649;
  --查看使用者Allen的撤銷授權結果。許可權列表無Describe, Select許可權資訊。
  show grants for RAM$5527xxxxxxxx5788:1652xxxxxxxxxx1538; 
  --查看使用者Alice的撤銷授權結果。許可權列表無All許可權資訊。
  show grants for RAM$5527xxxxxxxx5788:2763xxxxxxxxxx1649; 

• 樣本四：基於角色為多個使用者授予相同許可權

  為Alice、Tom及另一阿里雲帳號Lily@aliyun.com（帳號ID：5638xxxxxxxx6899）授予在專案test_project_a中建立執行個體、建立資源、建立函數、建立表以及查看專案所有物件類型的許可權。命令樣本如下。

  --Bob進入專案test_project_a。
  use test_project_a; 
  --將使用者Alice、Tom、Lily@aliyun.com添加為專案成員。
  add user RAM$5527xxxxxxxx5788:2763xxxxxxxxxx1649;
  add user RAM$5527xxxxxxxx5788:3874xxxxxxxxxx1850;
  add user ALIYUN$5638xxxxxxxx6899;
  --建立角色Worker。
  create role Worker; 
  --為使用者綁定角色Worker。
  grant Worker TO RAM$5527xxxxxxxx5788:2763xxxxxxxxxx1649; 
  grant Worker TO RAM$5527xxxxxxxx5788:3874xxxxxxxxxx1850; 
  grant Worker TO ALIYUN$5638xxxxxxxx6899; 
  --為角色Worker授予在專案test_project_a中建立執行個體、建立資源、建立函數、建立表以及查看專案所有物件類型的許可權。
  grant CreateInstance, CreateResource, CreateFunction, CreateTable, List on project test_project_a TO ROLE Worker;
  --查看使用者Lily的授權結果。
  show grants for ALIYUN$5638xxxxxxxx6899; 
  --授權結果如下。表明使用者Lily已經具備上述許可權。
  [roles]
  worker
  
  Authorization Type: ACL
  [role/worker]
  A       projects/test_project_a: CreateTable | CreateResource | CreateInstance | CreateFunction | List

• 樣本五：為多個使用者撤銷基於角色授予的相同許可權

  基於樣本三，撤銷對使用者Alice、Tom、Lily@aliyun.com的授權。命令樣本如下。

  --Bob進入專案test_project_a。
  use test_project_a; 
  --收回使用者Alice、Tom、Lily@aliyun.com綁定的角色Worker。
  revoke Worker from RAM$5527xxxxxxxx5788:2763xxxxxxxxxx1649;
  revoke Worker from RAM$5527xxxxxxxx5788:3874xxxxxxxxxx1850;
  revoke Worker from ALIYUN$5638xxxxxxxx6899;
  --查看使用者Lily的撤銷授權結果。許可權列表無Worker資訊。
  show grants for ALIYUN$5638xxxxxxxx6899; 

瞭解ACL授權機制後，您可以根據實際業務需要執行授權相關操作：

• 專案層級角色授權

• 通過命令系統管理使用者許可權

• 查詢使用者、角色或對象的許可權資訊