MaxCompute/DataWorks權(quán)限問(wèn)題排查建議

__前提：__MaxCompute與DataWorks為兩個(gè)產(chǎn)品，在權(quán)限體系上既有交集又要一定的差別。在權(quán)限問(wèn)題之前需了解兩個(gè)產(chǎn)品獨(dú)特的權(quán)限體系。

MaxCompute：計(jì)算引擎

MaxCompute底層計(jì)算引擎有自己的安全權(quán)限體系，包括ACL、Policy授權(quán)體系。具體可以了解：https://help.aliyun.com/document_detail/27924.html

DataWorks：數(shù)據(jù)工場(chǎng)

DataWorks為MaxCompute上層的云數(shù)倉(cāng)開(kāi)發(fā)工具，擁有自身的權(quán)限模型外還支持底層MaxCompute底層數(shù)據(jù)授權(quán)體系。具體詳見(jiàn)：https://help.aliyun.com/document_detail/92594.html

查看MaxCompute上的角色

通過(guò)MaxCompute Console命令list roles;可以看到角色體系,role_開(kāi)頭都為DataWorks基于MaxCompute封裝的角色及權(quán)限體系。介紹如下：

?

?

• __admin：__MaxCompute計(jì)算引擎的默認(rèn)admin角色，可以訪問(wèn)項(xiàng)目空間內(nèi)的所有對(duì)象、對(duì)用戶或角色進(jìn)行管理、對(duì)用戶或角色進(jìn)行授權(quán)。與項(xiàng)目空間 Owner 相比，admin 角色不能將 admin 權(quán)限指派給用戶，不能設(shè)定項(xiàng)目空間的安全配置，不能修改項(xiàng)目空間的鑒權(quán)模型，admin 角色所對(duì)應(yīng)的權(quán)限不能被修改。一般情況下，如未修改過(guò)權(quán)限，一般情況下admin角色用戶只有一個(gè)為project owner賬號(hào)。

odps@?clouder_bi>describe?role?admin;
[users]
ALIYUN$***@aliyun-test.com
Authorization?Type:?Admin

MaxCompute project owner可以將admin角色授予其他子賬號(hào)，用于進(jìn)行MaxCompute底層的權(quán)限模型管理。

• role_開(kāi)頭的角色也可以通過(guò)describe role 方式查看其角色所具備的權(quán)限點(diǎn)及角色里的用戶列表。以開(kāi)發(fā)者角色為例：

odps@?clouder_bi>describe?role?role_project_dev;

[users]
RAM$yangyi.pt@aliyun-test.com:yangyitest

Authorization?Type:?Policy
A????projects/clouder_bi:?*
A????projects/clouder_bi/instances/*:?*
A????projects/clouder_bi/jobs/*:?*
A????projects/clouder_bi/offlinemodels/*:?*
A????projects/clouder_bi/packages/*:?*
A????projects/clouder_bi/registration/functions/*:?*
A????projects/clouder_bi/resources/*:?*
A????projects/clouder_bi/tables/*:?*
A????projects/clouder_bi/volumes/*:?*

排查問(wèn)題建議：

在普及完兩個(gè)產(chǎn)品的權(quán)限體系之外，更多的用戶會(huì)遇到各種權(quán)限的疑問(wèn)或者問(wèn)題。通?？梢酝ㄟ^(guò)如下方式來(lái)排查：

• 首先，查看當(dāng)前用戶或指定用戶所擁有的權(quán)限。

show?grants;?--查看當(dāng)前用戶自己的訪問(wèn)權(quán)限
show?grants?for?;?--查看指定用戶的訪問(wèn)權(quán)限，僅由ProjectOwner和Admin才能有執(zhí)行權(quán)限?。
show?grants?for?RAM$主帳號(hào):子帳號(hào);

可以看到用戶所具有的角色及相關(guān)權(quán)限點(diǎn)。

• 查看指定對(duì)象的授權(quán)列表，一般獲取表到人。

show?acl?for??[on?type?];--查看指定對(duì)象上的用戶和角色授權(quán)列表
支持的objecTtype:?PROJECT,?TABLE,?JOB,?VOLUME,?INSTANCE,?RESOURCE,?FUNCTION,PACKAGE,TOPOLOGY,MATRIX,XFLOW,OFFLINEMODEL,STREAMJOB

• 查看ACL是否生效（常常發(fā)生在授權(quán)之后返回OK，但是權(quán)限校驗(yàn)還是失敗）

show?SecurityConfiguration;--查看項(xiàng)目空間的安全配置

除了通過(guò)命令行方式，也可以通過(guò)__++DataWorks>項(xiàng)目管理>MaxCompute高級(jí)配置++__里的ACL開(kāi)關(guān)來(lái)確認(rèn)是否打開(kāi)。

Policy授權(quán)的查詢

policy授權(quán)一般常見(jiàn)有兩種，一個(gè)是項(xiàng)目級(jí)別的，一個(gè)是role級(jí)別的。

get?policy;--獲取項(xiàng)目級(jí)別的policy配置；
get?policy?on?role?;--獲取指定的role?policy設(shè)置。

?