Label权限控制

背景信息

Label权限控制即LabelSecurity，是项目级别的一种强制访问控制策略。创建MaxCompute项目后，LabelSecurity默认为关闭状态。项目所有者（Project Owner）可以在MaxCompute项目的Project级别，执行Set LabelSecurity=true|false;命令，开启或关闭LabelSecurity。

如果开启了LabelSecurity，项目所有者（Project Owner）需要定义明确的表或表的列敏感等级、用户访问许可等级划分标准，并分别为表或表的列、用户或角色设置敏感等级标签、访问许可等级标签。当用户访问设置了敏感等级的数据时，除必须拥有目标表的SELECT权限外，仅能访问敏感等级小于等于自身访问许可等级的表或列数据。

LabelSecurity支持的操作如下。

LabelSecurity默认权限控制策略

前提条件

使用限制

不支持对分区列设置敏感数据等级标签。

注意事项

为表或列数据设置敏感等级标签

由Project Owner或具备Admin角色的用户为表或表的列设置敏感等级标签。

• 命令格式

  SET Label <number> TO TABLE <table_name>[(<column_list>)];

• 注意事项

  • 如果只是对表设置了敏感等级标签，未对列设置敏感等级标签，则表的所有列的敏感等级都相同且等于对表设置的标签。例如对表设置的敏感等级为2，未设置列的敏感等级，则表的所有列的敏感等级都为2。

  • 对列设置的标签会覆盖对表设置的标签（与等级高低无关），对表设置的标签不会覆盖对列设置的标签。例如最初为表设置的敏感等级为2，然后对表的某一列col1设置敏感等级为3，此时表的敏感等级为2，表中col1的敏感等级为3，其他列的敏感等级为2。

  • 如果您需要修改对表或列已设置的敏感等级标签，重新执行该命令设置新的等级标签即可。

• 参数说明

  参数名称	是否必填	说明

  参数名称	是否必填	说明
  number	是	指定敏感等级。取值范围为0~9。数值越大，安全级别越高。
  table_name	是	指定目标表或视图的名称。 您可以通过MaxCompute客户端执行show tables;命令获取表或视图名称。
  column_list	否	指定列名。可以指定多个列名，列名之间用英文逗号（,）分隔。

为用户或角色设置访问许可等级标签

由Project Owner或具备Admin角色的用户为其他用户或角色设置访问许可等级标签。

• 命令格式

  SET Label <number> TO {USER|ROLE} <name>;

• 注意事项

  • 为用户设置访问许可等级标签后，用户只能访问敏感级别小于等于访问许可等级标签的数据。例如指定用户的敏感等级为3，则用户只能访问敏感等级为0~3的表数据或列数据。

  • 如果您需要修改对用户或角色已设置的敏感等级标签，只需重新执行该命令设置新的访问许可等级标签即可。

• 参数说明

  参数名称	是否必填	说明

  参数名称	是否必填	说明
  number	是	指定用户或角色可访问的最高数据敏感等级。取值范围为0~9，与数据敏感等级标签相对应。
  name	是	指定用户或角色的名称。 您可以通过MaxCompute客户端执行list users;或list roles;命令获取用户账号或角色名称。

Label显式授权

由Project Owner或具备Admin角色的用户为低级别用户授予访问高敏感等级数据的权限。

• 命令格式

  GRANT Label <number> ON TABLE <table_name> [(<column_list>)] TO {USER|ROLE} <name> [WITH exp <days>];

• 注意事项

  显式授予用户的表的列Label权限，会覆盖显式授予用户的表的Label权限。

• 参数说明

  参数名称	是否必填	说明

  参数名称	是否必填	说明
  number	是	指定用户或角色可访问的最高数据敏感等级。 取值范围为0~9，与数据敏感等级标签相对应。
  table_name	是	指定目标表或视图的名称。 您可以通过MaxCompute客户端执行show tables;命令获取表或视图名称。
  column_list	否	当需要授予目标表或视图中指定列的访问权限时，需要配置该参数。单次授权可以指定多个列名，列名之间用英文逗号（,）分隔。
  name	是	指定用户或角色的名称。 您可以通过MaxCompute客户端执行list users;或list roles;命令获取用户账号或角色名称。
  days	否	指定权限过期时间，单位为天。取值范围为：0~263-1。不指定该参数时，默认过期时间为180天。

撤销Label显式授权

由Project Owner或具备Admin角色的用户撤销Label显式授权。

• 命令格式

  REVOKE Label ON TABLE <table_name> [(<column_list>)] FROM {USER|ROLE} <name>;

• 注意事项

  • 撤销显式授予用户的表的Label权限，会同时撤销显式授予用户的表列的Label权限。

  • 撤销显式Label授权信息，不会影响为用户设置的访问许可等级标签。例如用户的访问许可等级为2，为用户显式授予访问某张表敏感等级不超过3的数据，撤销授权后，用户仍然可以访问表中敏感等级小于等于2的数据。

• 参数说明

  参数名称	是否必填	说明

  参数名称	是否必填	说明
  table_name	是	指定目标表或视图的名称。 您可以通过MaxCompute客户端执行show tables;命令获取表或视图名称。
  column_list	否	当需要撤销目标表或视图中指定列的敏感数据访问权限时，需要配置该参数。可以指定多个列名，列名之间用英文逗号（,）分隔。
  name	是	指定用户或角色的名称。 您可以通过MaxCompute客户端执行list users;或list roles;命令获取用户账号或角色名称。

清理过期权限

当Label显式授权信息过期后，需要由Project Owner或具备Admin角色的用户执行如下命令清理过期权限信息。

clear expired grants;

Label权限控制示例

假设项目test_project_a中存在一张表sale_detail，shop_name、customer_id和total_price为表的列。Bob@aliyun.com是test_project_a的项目所有者。Allen为隶属于Bob的RAM用户，已被添加至项目test_project_a中。

• 示例一：为表sale_detail或表的列设置敏感等级标签，命令示例如下。

  --Bob进入项目test_project_a。
  USE test_project_a;
  --设置表sale_detail的Label为1级。此时表中所有列的敏感等级为1级。
  SET Label 1 TO TABLE sale_detail; 
  --设置sale_detail的shop_name和customer_id两列的Label为2级。此时其他列的Label仍为1。
  SET Label 2 TO TABLE sale_detail(shop_name, customer_id); 
  --修改表sale_detail的Label为3级。需要注意的是：此时shop_name和customer_id两列的Label仍为2级，其他列的Label修改为3。
  SET Label 3 TO TABLE sale_detail; 
  --修改表sale_detail的shop_name和customer_id两列的Label为4级。此时其他列的Label仍为3。
  SET Label 4 TO TABLE sale_detail(shop_name, customer_id); 
  --查看表的Label信息。
  DESCRIBE sale_detail;
  --返回结果如下。
  +------------------------------------------------------------------------------------+
  | Owner: ALIYUN$****@test.aliyun.com | Project: ****                                 |
  | TableComment:                                                                      |
  +------------------------------------------------------------------------------------+
  | CreateTime:               2021-12-13 11:27:04                                      |
  | LastDDLTime:              2021-12-13 11:27:04                                      |
  | LastModifiedTime:         2021-12-13 11:27:26                                      |
  +------------------------------------------------------------------------------------+
  | TableLabel:               3                                                        |  --表的敏感等级为3。
  | MaxLabel:                 L4                                                       |
  +------------------------------------------------------------------------------------+
  | InternalTable: YES      | Size: 784                                                |
  +------------------------------------------------------------------------------------+
  | Native Columns:                                                                    |
  +------------------------------------------------------------------------------------+
  | Field           | Type       | Label | Comment                                     |
  +------------------------------------------------------------------------------------+
  | shop_name       | string     | 4     |                                             |  --列的敏感等级为4。
  | customer_id     | string     | 4     |                                             |  --列的敏感等级为4。
  | total_price     | double     | 3     |                                             |  --列的敏感等级为3。
  +------------------------------------------------------------------------------------+
  | Partition Columns:                                                                 |
  +------------------------------------------------------------------------------------+
  | sale_date       | string     |                                                     |
  | region          | string     |                                                     |
  +------------------------------------------------------------------------------------+

• 示例二：为项目test_project_a中的用户Kate@aliyun.com及RAM用户RAM$Bob@aliyun.com:Allen，设置访问许可等级标签，命令示例如下。

  --Bob进入项目test_project_a。
  USE test_project_a;
  --设置Kate的访问许可等级标签为3级，则Kate能访问敏感等级为0~3级的数据。 
  SET Label 3 TO USER ALIYUN$Kate@aliyun.com; 
  --设置RAM用户Allen的访问许可等级标签为1级，则Allen能访问敏感等级为0~1级的数据。
  SET Label 1 TO USER RAM$Bob@aliyun.com:Allen; 
  --查看Allen的访问许可等级信息。
  SHOW LABEL GRANTS FOR RAM$Bob@aliyun.com:Allen;
  --返回结果如下。
  User Label: 1
  
  (granted label list is empty)

• 示例三：为Allen显式授予访问高敏感级数据的权限，命令示例如下。

  --Bob进入项目test_project_a。
  USE test_project_a;
  --显式授权Allen访问sale_detail表中敏感度不超过3级的数据，授权有效期为4天。
  GRANT LABEL 3 ON TABLE sale_detail TO USER RAM$Bob@aliyun.com:Allen WITH exp 4; 
  --查看Allen的显式授权结果。
  SHOW LABEL GRANTS ON TABLE sale_detail FOR USER RAM$Bob@aliyun.com:Allen;
  --返回结果如下。
  User Label: 1
  +-------------+--------------+--------------------------+
  | Column      | GrantedLabel | Expires                  |
  +-------------+--------------+--------------------------+
  | total_price | 3            | 2021-12-31T19:56:18+0800 |
  +-------------+--------------+--------------------------+
  --显式授权Allen访问sale_detail表的shop_name、customer_id和total_price列中敏感度不超过4级的数据，授权有效期为10天。
  GRANT LABEL 4 ON TABLE sale_detail(shop_name, customer_id, total_price) TO USER RAM$Bob@aliyun.com:Allen WITH exp 10;
  --查看Allen的显式授权结果。
  SHOW LABEL GRANTS ON TABLE sale_detail FOR USER RAM$Bob@aliyun.com:Allen;
  --返回结果如下。
  User Label: 1
  +-------------+--------------+--------------------------+
  | Column      | GrantedLabel | Expires                  |
  +-------------+--------------+--------------------------+
  | customer_id | 4            | 2022-01-06T19:58:00+0800 |
  +-------------+--------------+--------------------------+
  | shop_name   | 4            | 2022-01-06T19:58:00+0800 |
  +-------------+--------------+--------------------------+
  | total_price | 4            | 2022-01-06T19:58:00+0800 |
  +-------------+--------------+--------------------------+

• 示例四：撤销为Allen授予的访问高敏感级数据权限，命令示例如下。

  --撤销Allen访问sale_detail表的shop_name、customer_id和total_price列中敏感度不超过3级的数据权限。
  REVOKE LABEL ON TABLE sale_detail(shop_name, customer_id, total_price) FROM USER RAM$Bob@aliyun.com:Allen;
  --查看Allen的撤销授权结果。
  SHOW LABEL GRANTS ON TABLE sale_detail FOR USER RAM$Bob@aliyun.com:Allen;
  --返回结果如下。
  User Label: 1
  +-------------+--------------+--------------------------+
  | Column      | GrantedLabel | Expires                  |
  +-------------+--------------+--------------------------+
  | total_price | 3            | 2021-12-31T19:56:18+0800 |
  +-------------+--------------+--------------------------+
  --撤销Allen访问sale_detail表中敏感数据的权限。
  REVOKE LABEL ON TABLE sale_detail FROM USER RAM$Bob@aliyun.com:Allen; 
  --查看Allen的撤销授权结果。
  SHOW LABEL GRANTS ON TABLE sale_detail FOR USER RAM$Bob@aliyun.com:Allen;
  --返回结果如下。
  User Label: 1

后续指引