使用說明

對(duì)于租戶對(duì)象是否有權(quán)被項(xiàng)目使用，以及在項(xiàng)目中使用權(quán)限的再分配，有如下兩種安全管理模式：

• 模式一：開啟項(xiàng)目級(jí)別租戶資源訪問控制

  說明

  目前此功能僅提供預(yù)覽，暫不支持開啟檢查。

  租戶資源創(chuàng)建者可以通過設(shè)置資源與項(xiàng)目的掛載關(guān)系，指定哪些項(xiàng)目可以使用其創(chuàng)建的資源，再由項(xiàng)目管理員通過授權(quán)方案對(duì)項(xiàng)目?jī)?nèi)部的用戶授予使用資源的權(quán)限。

  開啟項(xiàng)目級(jí)別租戶資源訪問控制，即可以指定某些項(xiàng)目是否能夠使用資源管理者的租戶對(duì)象。用戶可以按照安全管理能力要求決定使用哪種模式。目前暫無租戶管理員強(qiáng)制所有項(xiàng)目都開啟項(xiàng)目級(jí)別租戶資源訪問控制的開關(guān)，如果需要，請(qǐng)通過工單聯(lián)系MaxCompute技術(shù)支持。

  重要

  所有的租戶資源對(duì)象，一起受項(xiàng)目級(jí)別租戶資源訪問控制開關(guān)的控制，打開開關(guān)則對(duì)所有租戶資源的所有對(duì)象進(jìn)行權(quán)限檢查。

• 模式二：不開啟項(xiàng)目級(jí)別租戶資源訪問控制

  任何項(xiàng)目?jī)?nèi)有權(quán)限運(yùn)行任務(wù)的用戶，都可以使用任務(wù)相關(guān)的租戶資源。

開啟項(xiàng)目級(jí)別租戶資源訪問控制

開啟項(xiàng)目級(jí)別租戶資源訪問控制，需要執(zhí)行如下操作：

1. 進(jìn)行租戶對(duì)象與項(xiàng)目的掛載關(guān)系配置。

   單擊租戶對(duì)象（例如外部數(shù)據(jù)源）操作列的掛載項(xiàng)目，選擇掛載的項(xiàng)目，單擊確定，完成掛載關(guān)系的配置。

   掛載完成的租戶對(duì)象查看方法：

   1. 登錄MaxCompute控制臺(tái)，在左上角選擇地域。

   2. 單擊目標(biāo)Project操作列的管理。

   3. 在參數(shù)配置頁簽的權(quán)限屬性區(qū)域，單擊查看項(xiàng)目綁定租戶資源，即可查看項(xiàng)目與網(wǎng)絡(luò)連接、外部數(shù)據(jù)源、鏡像及配額組的綁定情況。

2. 對(duì)于已掛載到項(xiàng)目上的租戶對(duì)象，進(jìn)行Policy配置。詳情請(qǐng)參見Policy權(quán)限控制。

   1. 在MaxCompute控制臺(tái)的左側(cè)導(dǎo)航欄選擇工作區(qū) > 項(xiàng)目管理，單擊目標(biāo)Project操作列的管理。

   2. 在項(xiàng)目配置頁面的角色權(quán)限頁簽，單擊目標(biāo)角色操作列的編輯角色。

   3. 在編輯角色對(duì)話框中，選擇授權(quán)方式為Policy。

   4. 在Policy授權(quán)腳本框中修改角色Policy。

      示例：以計(jì)算Quota為例，項(xiàng)目project_a內(nèi)配置用戶a可以使用Quota 500 CU的Policy如下：

      {
          "Statement":[
              {
                  "Action":[
                      "odps:Usage"
                  ],
                  "Effect":"Allow",
                  "Resource":[
                      "acs:odps:*:regions/*/quotas/500cu"
                  ]
              }
          ],
          "Version":"1"
      }

      當(dāng)用戶a具有project_a內(nèi)租戶資源使用權(quán)限后，才可以在開啟項(xiàng)目級(jí)別租戶資源訪問控制模式下，進(jìn)行用戶/角色粒度的租戶資源使用權(quán)限控制。

3. 項(xiàng)目開啟租戶對(duì)象檢查開關(guān)（即開啟項(xiàng)目級(jí)別租戶資源訪問控制）。

   說明

   目前此功能僅提供預(yù)覽，暫不支持開啟檢查。

   1. 在MaxCompute控制臺(tái)的工作區(qū) > 項(xiàng)目管理頁面，單擊目標(biāo)Project操作列的管理。

   2. 在參數(shù)配置頁簽的權(quán)限屬性區(qū)域，單擊編輯。

   3. 打開開啟項(xiàng)目級(jí)別租戶資源訪問控制開關(guān)，并單擊提交。

      重要

      開啟后，項(xiàng)目將立即對(duì)正在使用和后續(xù)使用的租戶對(duì)象（包括外部數(shù)據(jù)源、網(wǎng)絡(luò)連接、自定義鏡像、配額組）進(jìn)行使用權(quán)限校驗(yàn)。因此在沒有完全完成租戶對(duì)象與項(xiàng)目的掛載關(guān)系配置，以及Policy授權(quán)之前，請(qǐng)勿輕易打開檢查開關(guān)。權(quán)限缺失可能會(huì)造成依賴權(quán)限的任務(wù)失敗。

相關(guān)文檔

更多租戶資源的信息請(qǐng)參見：

• 外部數(shù)據(jù)源

• 網(wǎng)絡(luò)連接

• 自定義鏡像

• 配額組