访问控制-华为云

内容分发网络 CDN-区域访问控制:配置示例

配置示例示例1：域名 www.example.com配置了如下区域访问控制规则。配置效果：由于黑名单优先，所以此配置的结果是黑名单生效。中国大陆用户访问“/test”文件夹下的资源（例：www.example.com/test/abc.jpg）时命中黑名单，返回403状态码。位于中国香港的用户访问“/test”文件夹下的资源（例：www.example.com/test/abc.jpg）时黑白名单均未命中，此时默认是拒绝访问，返回403状态码。示例2：域名www.example.com配置了如下区域访问控制规则。配置效果：位于中国香港的用户访问“/test”文件夹下的资源（例：www.example.com/test/abc.jpg）时命中黑名单，返回403状态码。位于中国大陆的用户访问“/test”文件夹下的资源（例：www.example.com/test/abc.jpg）时命中白名单，返回对应的资源给用户。位于中国澳门的用户访问“/test”文件夹下的资源（例：www.example.com/test/abc.jpg）时黑白名单均未命中，此时默认是拒绝访问，返回403状态码。示例3：域名www.example.com配置了如下区域访问控制规则。配置效果：位于中国香港的用户访问“/test/abc”文件夹下的资源（例：www.example.com/test/abc/1.jpg）时命中黑名单，返回403状态码。位于中国大陆的用户访问“/test”文件夹下的资源（例：www.example.com/test/cat.jpg）时命中白名单，返回对应的资源给用户。位于中国香港的用户访问“/test”文件夹下的资源（例：www.example.com/test/cat.jpg）时黑白名单均未命中，此时默认是拒绝访问，返回403状态码。位于中国澳门的用户访问“/test”文件夹下的资源（例：www.example.com/test/cat.jpg）时黑白名单均未命中，此时默认是拒绝访问，返回403状态码。

内容分发网络 CDN 访问控制

内容分发网络 CDN-区域访问控制:支持的区域

支持的区域表2 支持配置的区域大区具体区域亚洲中国大陆、中国香港、中国澳门、中国台湾、阿拉伯联合酋长国、阿富汗、亚美尼亚、阿塞拜疆、孟加拉国、巴林、不丹、格鲁吉亚、印度尼西亚、以色列、印度、伊拉克、伊朗、约旦、日本、吉尔吉斯斯坦、柬埔寨、朝鲜民主主义人民共和国、大韩民国、科威特、哈萨克斯坦、老挝人民民主共和国、黎巴嫩、斯里兰卡、缅甸、蒙古、马尔代夫、马来西亚、尼泊尔、阿曼、菲律宾、巴基斯坦、巴勒斯坦、卡塔尔、沙特阿拉伯、新加坡、阿拉伯叙利亚共和国、泰国、塔吉克斯坦、东帝汶、土库曼斯坦、土耳其、乌兹别克斯坦、越南、也门欧洲安道尔、阿尔巴尼亚、奥地利、波斯尼亚和黑塞哥维那、比利时、保加利亚、白俄罗斯、瑞士、塞浦路斯、捷克、丹麦、爱沙尼亚、西班牙、芬兰、法罗群岛、法国、大不列颠及北爱尔兰联合王国、希腊、克罗地亚、匈牙利、爱尔兰、冰岛、意大利、立陶宛、卢森堡、拉脱维亚、摩纳哥、摩尔多瓦共和国、黑山、北马其顿、马耳他、荷兰、挪威、波兰、葡萄牙、罗马尼亚、塞尔维亚、瑞典、斯洛文尼亚、斯洛伐克、圣马力诺非洲安哥拉、布基纳法索、布隆迪、贝宁、博茨瓦纳、刚果民主共和国、中非共和国、刚果、科特迪瓦、喀麦隆、吉布提、阿尔及利亚、埃及、厄立特里亚、埃塞俄比亚、加蓬、加纳、冈比亚、几内亚、赤道几内亚、几内亚比绍、肯尼亚、科摩罗、利比里亚、莱索托、利比亚、摩洛哥、马达加斯加、马里、毛里塔尼亚、毛里求斯、马拉维、莫桑比克、纳米比亚、尼日尔、尼日利亚、卢旺达、塞舌尔、苏丹、塞拉利昂、塞内加尔、索马里、南苏丹、圣多美和普林西比、斯威士兰、乍得、多哥、突尼斯、坦桑尼亚联合共和国、乌干达、南非、赞比亚、津巴布韦北美洲安提瓜和巴布达、巴巴多斯、巴哈马、伯利兹、加拿大、哥斯达黎加,古巴、多米尼克,多米尼加共和国、格林纳达,洪都拉斯、海地,牙买加、圣基茨和尼维斯,圣卢西亚、墨西哥、尼加拉瓜、巴拿马、萨尔瓦多、特立尼达和多巴哥、美利坚合众国、圣文森特和格林纳丁斯大洋洲澳大利亚、库克群岛、斐济、密克罗尼西亚、基里巴斯、马绍尔群岛、瑙鲁、纽埃、新西兰、巴布亚新几内亚、所罗门群岛、托克劳、汤加、图瓦卢、瓦努阿图、萨摩亚南美洲阿根廷、玻利维亚、巴西、智利、哥伦比亚、厄瓜多尔、圭亚那、秘鲁、巴拉圭、苏里南、委内瑞拉

内容分发网络 CDN 访问控制

内容分发网络 CDN-区域访问控制:适用场景

适用场景当您的业务因为某些地方性法规而无法对当地用户放开访问或者因业务原因不能对某些区域的用户开放时，可以使用区域访问控制来达到目的。CDN通过识别客户端IP来判断用户访问来源，工作原理如下：您的域名www.example.com业务范围不包含W市，并且在CDN控制台为W市配置了黑名单。 CDN收到一个来自W市的IP请求访问www.example.com，DNS将该请求解析至W市的某个CDN节点。节点检测当前IP没有权限下载您域名下的资源。 CDN向该用户返回HTTP 状态代码 403 (Forbidden)。

内容分发网络 CDN 访问控制

镜像服务 IMS-服务的访问控制

服务的访问控制镜像服务支持通过 IAM 权限策略进行访问控制。IAM权限是作用于云资源的，IAM权限定义了允许和拒绝的访问操作，以此实现云资源权限访问控制。管理员创建IAM用户后，需要将用户加入到一个用户组中，IAM可以对这个组授予IMS所需的权限，组内用户自动继承用户组的所有权限。 IMS权限管理入门，详情请参见IMS权限管理。 IMS授权使用，详情参见创建用户并授权使用IMS。策略制定，详情参见IMS自定义策略。具体权限信息，详情参见权限及授权项说明。父主题：身份认证与访问控制

镜像服务 IMS 身份认证与访问控制

数据治理中心 DATAARTS STUDIO-配置空间权限集:配置空间权限集

配置空间权限集在 DataArts Studio 控制台首页，选择对应工作空间的“数据安全”模块，进入数据安全页面。单击数据安全左侧导航树中的“空间权限集”，进入空间权限集页面。在“空间权限集”页面，找到需要配置的空间权限集，单击权限集名称进入详情页面。图3 进入空间权限集详情基本信息：在空间权限集详情页面，基本信息区域可以查看空间权限集名称、ID、管理员等信息，详见图4。图4 空间权限集基本信息权限配置：在权限集详情页面，权限配置页签默认展示数据视角，可手动切换到权限视角。在这两种视角下，配置的权限数据是互通的，差异仅为展示视角的不同，推荐您使用权限视角进行批量授权。数据视角：数据视角下，系统从数据的角度为您提供权限配置入口，当前仅支持 MRS 数据源。图5 数据视角权限配置配置权限时，您可以选择“整库”、“整表”或“整列”等层级，然后在数据源信息中勾选对应层级，进行批量授权。另外，也可以在展开的导航树中，单击对应数据操作列中的“授权”，进行单一授权。数据视图授权时，系统也提供了“快速模式”和“显示无权限的资源”功能。开启快速模式的情况下，库表列的元数据会从数据目录获取，否则会从数据源获取元数据。已完成元数据采集的场景下推荐开启快速模式。值得注意的是，库、表、列的权限是分层管理的，例如仅授予库权限后，则被授权用户对表和列依然是无权限的，如需对表或列授权，要再次按照对应层级进行授权。例如，选择数据库授权，当手动填写数据表的表名、或者填写“*”作为通配符时，此授权实际为对表进行授权；当手动填写数据列名、或者填写“*”作为通配符时，此授权实际为对列进行授权。进行授权时，授权对象名（库表列名）当前仅支持包含数字、英文、下划线、中划线和通配符*，暂不支持中文以及其他特殊字符。图6 数据视角授权权限视角：权限视角下，系统从权限的角度为您提供权限配置入口。配置权限时，您需要直接单击“新建”，然后依次选择数据层级，进行权限配置。在权限视角下，同一层级（例如数据库、数据表或数据列）不允许选择多个对象进行批量授权。当前权限类型暂不支持选择为“禁止”。值得注意的是，库、表、列的权限是分层管理的，例如仅授予库权限后，则被授权用户对表和列依然是无权限的，如需对表或列授权，要再次按照对应层级进行授权。例如，选择数据库授权，当手动填写数据表的表名、或者填写“*”作为通配符时，此授权实际为对表进行授权；当手动填写数据列名、或者填写“*”作为通配符时，此授权实际为对列进行授权。进行授权时，授权对象名（库表列名）当前仅支持包含数字、英文、下划线、中划线和通配符*，暂不支持中文以及其他特殊字符。 MRS Hive授权时，数据库可修改为URL，用于为存算分离场景下的OBS路径授权。存算分离场景下，使用Hive额外所需如下URL权限：创建库：write 权限创建表/写入数据/删除表：read权限 DWS授权时，数据库可修改为逻辑集群，用于为DWS数据源开启逻辑集群功能后的授权。逻辑集群场景下，使用DWS额外所需如下逻辑集群权限：允许在子集群中创建表对象：create 允许访问子集群下的表对象：usage 允许用户在具有compute权限的计算子集群上进行弹性计算：compute 配置权限后，在权限视角下支持您对所配置的权限进行编辑、同步或删除等操作。图7 权限视角权限配置用户配置：在权限集详情页面，单击“用户配置”进入用户配置页签。用户配置的含义即为将权限配置中定义的数据权限，与此处的用户绑定起来。您可以单击“添加”，按照用户或用户组（当前暂不支持选择“工作空间角色”）的维度将用户添加到权限集中。其中的用户和用户组来自于当前工作空间中已添加的用户和用户组。图8 用户配置子权限集：在权限集详情页面，单击“子权限集”进入子权限集页签。在子权限集页签，您可以查看到当前权限集下的子权限集。图9 查看子权限集日志：在权限集详情页面，单击“日志”进入日志页签。在日志页签，当权限同步失败后，您可以查看到日志详情。系统每天0点定时删除30天前的日志。图10 查看日志权限集配置完成后，权限管控并不会直接生效。需要您手动将权限同步到数据源中，同步成功后权限管控才能生效，详见同步权限集。实际上，由于空间权限集主要用于确定工作空间权限范围，而非权限管控，因此一般无需同步空间权限集，实际使用中推荐通过配置角色进行权限管控。