云原生大数据计算服务 MaxCompute：Download权限控制

使用Download权限控制方案前，请您确认已记录好如下信息：

• 被授权人的账号或角色名称，且账号或角色已添加至MaxCompute项目。阿里云账号格式为ALIYUN$阿里云账号，RAM用户账号格式为RAM$归属阿里云账号:RAM用户名。

  您可以通过MaxCompute客户端执行list users;或list roles;命令获取账号或角色信息。

  如果需要新增用户或角色，请参见用户规划与管理或角色规划。

• 授权对象类型及对象名称。

  您可以通过MaxCompute客户端执行show tables;、list resources;、list functions;或show instances;命令获取表或视图名称及实例名称。

使用Download权限控制功能的使用限制如下：

• 只支持对已存在的对象、被授权人进行授权。

• 只支持将具体对象的Download权限授予用户，不支持通过通配符为用户授权。如果需要使用通配符，可以通过角色进行授权。

使用Download权限控制功能的注意事项如下：

• 如果删除了对象，MaxCompute会自动撤销与该对象关联的所有Download授权信息。

• 当一个用户被移除后，与该用户有关的授权仍然会被保留。一旦该用户以后被再次添加到该项目时，该用户的历史授权访问权限将被重新激活。如果需要彻底清除用户的权限信息，请参见彻底清除被删除用户遗留的权限信息。

Download权限控制命令格式如下：

• Download授权

  grant Download on <object_type> <object_name> to <subject_type> <subject_name>;

• 撤销Download授权

  revoke Download on <object_type> <object_name> from <subject_type> <subject_name>;

假设username@example.com是test_project_a的项目所有者，Allen、Tom、Alice是隶属于username@example.com的RAM用户。test_project_a项目开启了Download权限控制功能。以MaxCompute客户端操作为例，授权示例如下：

• 示例一：为用户授予Download权限

  将用户Allen添加至test_project_a项目，并授予下载sale_detail表数据权限。命令示例如下。

  --Bob进入项目test_project_a。
  use test_project_a; 
  --将用户Allen添加为项目成员。
  add user RAM$username@example.com:Allen;
  --支持用户Allen下载项目test_project_a中表sale_detail的数据。
  grant Download on table sale_detail to USER RAM$username@example.com:Allen;
  --查看用户Allen的授权结果。
  show grants for RAM$username@example.com:Allen; 
  --授权结果如下。表明用户Allen已经具备Download权限。
  Authorization Type: ACL
  [user/RAM$username@example.com:Allen]
  A       projects/test_project_a/tables/sale_detail: Download

• 示例二：为用户撤销Download授权

  基于示例一，撤销对用户Allen的授权。

  --Bob进入项目test_project_a。
  use test_project_a; 
  --撤销用户Allen授权。
  revoke Download on table sale_detail from USER RAM$username@example.com:Allen;
  --查看用户Allen的撤销授权结果。权限列表无Download信息。
  show grants for RAM$username@example.com:Allen;  

• 示例三：基于角色为多个用户授予Download权限

  为Alice、Tom授予在项目test_project_a中下载以tb_开头的表数据权限。命令示例如下。

  --Bob进入项目test_project_a。
  use test_project_a; 
  --将用户Alice、Tom添加为项目成员。
  add user RAM$username@example.com:Alice;
  add user RAM$username@example.com:Tom;
  --创建角色Worker。
  create role Worker; 
  --为用户绑定角色Worker。
  grant Worker TO RAM$username@example.com:Alice; 
  grant Worker TO RAM$username@example.com:Tom; 
  --支持角色Worker下载项目test_project_a中以tb_开头的表数据。
  grant Download on table tb_* to ROLE Worker;
  --查看用户Alice的授权结果。
  describe role Worker;
  --授权结果如下。A表示允许执行Download操作。
  Authorization Type: Policy
  [role/worker]
  A       projects/test_project_a/tables/tb_*: Download

• 示例四：为多个用户撤销基于角色授予的Download权限

  基于示例三，撤销对用户Alice、Tom的授权。

  --Bob进入项目test_project_a。
  use test_project_a; 
  --收回用户Alice、Tom绑定的角色Worker。
  revoke Worker from RAM$username@example.com:Alice;
  revoke Worker from RAM$username@example.com:Tom;
  --查看用户Alice的撤销授权结果。权限列表无Download信息。
  show grants for RAM$username@example.com:Alice; 

了解Download授权机制后，您可以根据实际业务需要执行授权相关操作：

• 项目级别角色授权

• 通过命令管理用户权限

• 查询用户、角色或对象的权限信息