Policy权限控制

MaxCompute的Policy权限控制方案提供了更加复杂和灵活的权限设置，适合需要细粒度控制的大型企业和复杂场景。相比ACL权限控制增加黑名单方式，即可以实现允许或禁止角色对指定对象执行指定操作，将角色绑定至用户后，用户权限即可生效。本文介绍MaxCompute支持的Policy授权命令，并提供授权示例供参考。

背景信息

Policy权限控制支持白名单和黑名单授权机制，即允许（白名单）或禁止（黑名单）角色对指定对象执行指定操作。

该授权方式可以弥补ACL授权机制无法解决的授权问题。例如用户已经被赋予了开发角色，默认具备删除表的权限，但如果需要禁止用户执行删除表操作，可以通过Policy方式进行授权。

创建MaxCompute项目后，Policy权限控制功能开关默认为打开状态。项目所有者（Project Owner）可以在MaxCompute项目中执行set CheckPermissionUsingPolicy=true|false;命令，开启或关闭Policy权限控制功能。

Policy权限控制适用于如下场景。

场景	说明	授权人	授权操作入口

场景	说明	授权人	授权操作入口
基于角色为用户授权	直接为单个角色，授予允许或禁止角色对指定对象执行单个或多个操作的权限，然后再将角色绑定至多个用户，用户即可具备角色的权限。	请参见权限一览表的支持的授权人列。	MaxCompute客户端 MaxCompute Studio 使用DataWorks连接
为被赋予内置角色的用户通过自定义角色进行精细化授权	当用户已经被赋予内置角色时，如果需要对用户的操作权限进行更精细化的管理，无法通过ACL权限控制方案解决此类授权问题。此时，您可以通过Policy权限控制方案，新增角色，允许或禁止角色操作项目中的对象，并将角色绑定至用户后，即可实现精细化管控用户权限。	请参见权限一览表的支持的授权人列。	MaxCompute客户端 MaxCompute Studio 使用DataWorks连接

前提条件

使用Policy权限控制方案前，请您确认已记录好如下信息：

被授权角色的名称，且角色已添加至MaxCompute项目。
您可以通过MaxCompute客户端执行list roles;命令获取角色信息。
如果需要新增角色，请参见角色规划。
授权对象类型、对象名称及操作。
更多对象类型及操作信息，请参见MaxCompute权限。

使用限制

Policy权限控制只支持对已存在的角色进行授权。

注意事项

使用Policy权限控制功能的注意事项如下：

当白名单和黑名单授权信息同时存在时，遵循黑名单优先原则。
Policy权限控制允许对不存在的对象授权，当删除对象时，与该对象关联的Policy授权信息不会被删除，授权人需要注意删除并重建同名对象所带来的安全风险。
当一个用户被移除后，与该用户有关的授权仍然会被保留。一旦该用户以后被再次添加到该项目时，该用户的历史授权访问权限将被重新激活。如果需要彻底清除用户的权限信息，请参见彻底清除被删除用户遗留的权限信息。

命令格式

Policy权限控制命令格式如下：

Policy授权

grant <actions> on <object_type> <object_name> 
to ROLE <role_name> 
privilegeproperties("policy" = "true", "allow"="{true|false}"[, "conditions"= "<conditions>" ]);

撤销Policy授权

revoke <actions> on <object_type> <object_name> 
from ROLE <role_name> 
privilegeproperties ("policy" = "true", "allow"="{true|false}");

参数说明如下。

参数名称		是否必填	说明

参数名称		是否必填	说明
actions		是	指定被授予的操作权限名称。单次授权可以指定多个操作。当有多个操作时，多个操作名称之间使用英文逗号（,）分隔。操作取值请参见MaxCompute权限。
object_type		是	指定被授予的对象类型，即客体。单次授权只能指定一个客体。客体取值请参见MaxCompute权限。
object_name		是	指定被授予的对象的名称。获取方式如下：项目名称：您可以登录MaxCompute控制台，左上角切换地域后，即可在项目管理页签获取具体的MaxCompute项目名称。表名称：您可以通过MaxCompute客户端执行`show tables;`命令获取表或视图名称。资源名称：您可以通过MaxCompute客户端执行`list resources;`命令获取资源名称。函数名称：您可以通过MaxCompute客户端执行`list functions;`命令获取函数名称。实例名称：您可以通过MaxCompute客户端执行`show instances;`命令获取实例ID。授权对象支持以通配符星号（）来表达。例如，`table taobao`表示所有以`taobao`开头的表。说明授权给ROLE支持使用通配符星号（*）；授权给USER不支持使用通配符。
role_name		是	指定被授权的角色名称。单次授权只能指定一个角色。您可以通过MaxCompute客户端执行`list roles;`命令获取角色名称。
privilegeproperties	policy	是	固定取值为true。表示使用Policy权限控制方案。
	allow	白名单授权必填	指定白名单授权机制。取值范围如下： true：表示允许对指定对象执行指定操作。 false：表示不允许对指定对象执行指定操作，即黑名单。
	conditions	否	从请求消息来源及访问方式等维度进行权限控制。详细参数取值请参见Conditions。