权限概述

根据操作对象和具体操作的不同，MaxCompute鉴权流程分为RAM鉴权和MaxCompute服务鉴权，一个用户执行不同操作所需要经过的鉴权流程如下图所示。

当用户需要在MaxCompute管理控制台进行服务的开通、资源的购买、Quota管理、项目管理、租户管理等操作时，阿里云会对用户进行RAM鉴权，验证用户是否具备相关权限，否则不能进行操作。

• 需要经过RAM鉴权的操作列表参见RAM权限。

• 为RAM用户或RAM角色授予系统权限策略请参见为RAM用户授权。

在了解二者间的权限关系前，您需要先理清楚MaxCompute项目和DataWorks工作空间的关系：

• 创建MaxCompute项目时，如果DataWorks的工作空间模式选择为简单模式时，实际会绑定一个MaxCompute项目。

• 创建MaxCompute项目时，如果DataWorks的工作空间模式为标准模式时，实际会绑定一个MaxCompute开发（_dev）项目和一个MaxCompute生产项目（Prod）。

同时，您还需要设置MaxCompute访问者身份，决定了MaxCompute项目在账号级别的权限策略。

DataWorks和MaxCompute都存在用户和角色的概念，二者的权限关系如下：

• 角色及角色权限

  DataWorks为了提供项目成员在数据开发过程中需要的MaxCompute相关资源权限，预设了一些MaxCompute角色。MaxCompute角色与DataWorks预设角色的权限关系如下。

  DataWorks成员角色或身份	MaxCompute角色	DataWorks开发环境/MaxCompute DEV引擎项目数据权限	DataWorks生产环境/MaxCompute PROD引擎项目数据权限	DataWorks平台权限特征

  DataWorks成员角色或身份	MaxCompute角色	DataWorks开发环境/MaxCompute DEV引擎项目数据权限	DataWorks生产环境/MaxCompute PROD引擎项目数据权限	DataWorks平台权限特征
  空间管理员	Role_Project_Admin	MaxCompute引擎层面：当前项目下project/table/fuction/resource/instance/job的所有权限，以及package的read权限。 DataWorks层面：可进行数据开发，并且发布任务至生产环境。	默认无权限、需要在安全中心走审批流程申请。	指项目空间的管理者。可以对该项目空间的基本属性、数据源、当前项目空间计算引擎配置和项目成员等进行管理，并为项目成员赋予项目管理员、开发、运维、部署、访客角色。
  开发	Role_Project_Dev	MaxCompute引擎层面：当前项目下project/table/fuction/resource/instance/job的所有权限，以及package的read权限。 DataWorks层面：可进行数据开发，但无法发布任务至生产环境。	默认无权限、需要在安全中心走审批流程申请。	开发角色的用户能够创建工作流、脚本文件、资源和UDF以及新建和删除表，同时可以创建发布包，但不能执行发布操作。
  运维	Role_Project_Pe	当前项目空间下project/fuction/resource/instance/job的所有权限，拥有package的Read权限和table的Read/Describe权限。 说明 MaxCompute引擎层面有权限，但在DataWorks上，运维角色不能直接在界面运行节点进行任务执行操作。	默认无权限、需要在安全中心走审批流程申请。	运维角色的用户由项目管理员分配运维权限，拥有发布及线上运维的操作权限，没有数据开发的操作权限。
  部署	Role_Project_Deploy	默认无权限。	默认无权限、需要在安全中心走审批流程申请。	部署角色与运维角色相似，但是它没有线上运维的操作权限。
  访客	Role_Project_Guest	默认无权限。	默认无权限、需要在安全中心走审批流程申请。	访客角色的用户只具备查看权限，没有权限进行编辑工作流和代码等操作。
  安全管理员	Role_Project_Security	默认无权限。	默认无权限、需要在安全中心走审批流程申请。	安全管理员仅在数据保护伞模块中使用，用于敏感规则配置、数据风险审计等。
  数据分析师	Role_Project_Data_Analyst	默认无权限。	默认无权限、需要在安全中心走审批流程申请。	仅具有数据分析模块的操作权限。
  模型设计师	Pole_Project_Erd	默认无权限。	默认无权限、需要在安全中心走审批流程申请。	该角色可以在智能建模查看模型，进行数仓规划、数据标准、维度建模和数据指标等内容的编辑，但是不能发布模型。
  空间所有者，即阿里云主账号。	Project Owner	MaxCompute项目空间的所有者，拥有该项目空间的所有权限。	有权限	无
  无	Super_Administrator	MaxCompute项目空间的超级管理员，拥有项目空间的管理类权限以及项目空间内所有类型资源的全部权限。	有权限	无
  无	Admin	每一个项目在创建时，会自动创建一个Admin角色，并且为该角色授予确定的权限。即可以访问项目空间内的所有对象、对用户或角色进行管理、授权。与项目空间的所有者相比，Admin角色不能将Admin权限指派给用户，不能设定项目空间的安全配置，不能修改项目空间的鉴权模型，Admin角色所对应的权限不能被修改。项目空间的所有者可以将Admin角色赋权给一个用户，让该用户代理安全管理。	有权限	无
  无	Role_Project_Scheduler	默认无权限。	MaxCompute引擎层面：当前项目下project/table/fuction/resource/instance/job的所有权限，以及package的read权限。 DataWorks层面：用于在生产调度环境中作为执行身份。 说明 当RAM用户或RAM角色被设置为某MaxCompute项目生产环境的调度访问身份（即创建生产环境数据源时，被配置为默认访问身份），则该用户或角色会被映射为MaxCompute项目的Role_Project_Scheduler角色。默认访问身份配置详情，请参见创建数据源。	统一使用该身份调度执行生产环境的MaxCompute任务。

• 用户及用户权限

  • 在DataWorks工作空间中，阿里云账号只能为项目所有者（Project Owner），项目成员只能为项目所属阿里云账号下的RAM用户。您可以通过DataWorks的工作空间管理能力添加用户并分配角色。

  • 在MaxCompute项目中，阿里云账号既可以为项目所有者（Project Owner）也可以为项目成员，项目成员还可以为阿里云账号下的RAM用户。您可以通过add user xxx;命令添加用户，并通过add role xxx;和grant role xxx to user xxx;命令添加角色并绑定至用户。

  在不同工作空间模式及支持的访问者身份下，用户与权限的关系示意图如下。

  
  说明

  DataWorks角色对应的MaxCompute权限是固定的。一旦某个用户通过DataWorks角色获取MaxCompute相关角色权限后，又通过命令行方式获得了其他的MaxCompute权限，会使该用户在MaxCompute上的权限与在DataWorks上查询到的不一致。