服务资源访问控制-华为云

数据治理中心 DATAARTS STUDIO-配置目录权限:约束与限制

约束与限制一旦在当前工作空间内配置了数据开发、数据服务或数据架构的目录权限策略，将导致非授权对象的普通用户（即非DAYU Administrator、Tenant Administrator、数据安全管理员或预置的工作空间管理员角色的用户）无法再查看并操作数据开发、数据服务的目录及其中的资源，请您谨慎操作。仅DAYU Administrator、Tenant Administrator、数据安全管理员或预置的工作空间管理员角色的用户有权限新建、编辑或删除目录权限策略。目录权限策略中可以配置多个目录，但同一用户、用户组或角色仅能出现在一条策略中。数据服务仅专享版目录支持权限管控。

数据治理中心 DATAARTS STUDIO 服务资源访问控制

数据治理中心 DATAARTS STUDIO-配置目录权限:新建目录权限策略

新建目录权限策略在 DataArts Studio 控制台首页，选择对应工作空间的“数据安全”模块，进入数据安全页面。单击左侧导航树中的“DataArts资源权限”，进入目录权限页面。图1 进入目录权限页面单击目录权限页面的“新建” ，在弹出的策略配置页参考表1配置相关参数，配置完成单击“提交”，策略配置完成。表1 配置目录权限策略参数说明参数名参数描述 *策略名称标识目录权限策略，为便于策略管理，建议名称中包含资源对象和授权对象。授权内容数据开发（DLF）选择需要授权的数据开发脚本和作业的一级目录。说明：即使仅选择脚本目录或仅选择作业目录，策略配置后，对于非授权对象的普通用户（即非DAYU Administrator、Tenant Administrator、数据安全管理员或预置的工作空间管理员角色的用户）而言，数据开发中的所有脚本和作业目录将由于无权限而置灰。如果仅选择了数据开发的脚本或作业目录，则数据服务的目录权限不受此策略影响。数据服务（DLM）选择需要授权的数据服务API的一级目录。说明：如果仅选择了数据服务的API目录，则数据开发的目录权限不受此策略影响。数据架构（DS）选择需要授权的数据架构的物理模型或逻辑模型。说明：即使仅选择物理模型或仅选择逻辑模型，策略配置后，对于非授权对象的普通用户（即非DAYU Administrator、Tenant Administrator、数据安全管理员或预置的工作空间管理员角色的用户）而言，数据架构中的所有物理模型和逻辑模型将由于无权限而置灰。如果仅选择了数据架构的物理模型或逻辑模型目录，则数据开发或数据服务的目录权限不受此策略影响。授权对象用户选择需要授权的用户。用户列表来自于工作空间用户。用户组选择需要授权的用户组。用户组列表来自于工作空间用户组。角色选择需要授权的角色。角色列表来自于系统预置角色和自定义角色。图2 新建目录权限策略

数据治理中心 DATAARTS STUDIO 服务资源访问控制

数据治理中心 DATAARTS STUDIO-配置队列权限:相关操作

相关操作删除队列资源：在队列权限目录页面，先单击选择需要删除的队列资源，然后单击目录上方的，即可删除队列资源。删除队列资源，不会将此队列资源从 MRS / DLI 中直接删除，而是不再将当前指定的队列资源分配给此工作空间。直接删除队列资源后，队列中的授权配置依然存在，权限继续生效。需要通过删除策略或回收权限，才能删除相应队列权限。数据安全无法删除当前正在数据开发中被使用的Yarn队列资源。编辑策略：在MRS Yarn队列详情页面，单击对应策略操作栏中的“编辑”，即可编辑策略。删除策略：在MRS Yarn队列详情页面，单击对应策略操作栏中的“删除”，即可删除策略。当需要批量删除时，可以在勾选策略后，在策略列表上方单击“批量删除”。删除操作无法撤销，请谨慎操作。修改权限：在DLI队列详情页面，单击对应授权项操作栏中的“修改权限”，即可修改对该用户所授予的权限。回收权限：在DLI队列详情页面，单击对应授权项操作栏中的“回收权限”，即可删除对该用户所授予的权限。

数据治理中心 DATAARTS STUDIO 服务资源访问控制

数据治理中心 DATAARTS STUDIO-配置队列权限:约束与限制

约束与限制当前分配队列资源只支持MRS Yarn队列。队列权限管控只支持MRS Yarn和DLI队列，且由于DLI限制暂不支持为DLI default队列授权。仅当数据连接中的Agent选择的 CDM 集群为2.10.0.300及以上版本时，才支持MRS Yarn队列权限管控。仅DAYU Administrator、Tenant Administrator或者数据安全管理员有权限给当前空间分配可用的队列资源、配置MRS队列属性（离线/实时）以及为指定的队列配置用户权限策略，另外工作空间管理员用户也可以为用户组/用户配置队列权限策略。当前工作空间分配的队列资源和配置的队列权限并无绑定关系，队列权限策略实际上落在数据源配置中。因此，当删除当前工作空间的队列资源后，已配置的队列权限策略依然生效；重新添加队列资源后，权限依然可见。已配置的队列权限策略借由数据源的权限管控能力实现，因此也可以在数据源（如MRS Ranger策略和DLI队列管理）处查看已配置的策略。如果在数据源处删掉队列策略，则在数据安全组件处不会自动删除，需要您手动在数据安全组件处清理该策略。仅MRS Yarn队列支持配置队列属性（离线/实时），且同一队列在不同工作空间下支持指定为不同属性。为DLI队列的授权时，当前由于DLI限制只支持授权给用户，不支持授权给用户组。

数据治理中心 DATAARTS STUDIO 服务资源访问控制

数据治理中心 DATAARTS STUDIO-配置队列权限:前提条件

前提条件仅DAYU Administrator、Tenant Administrator或者数据安全管理员有权限给当前空间分配可用的队列资源、配置MRS队列属性（离线/实时）以及为指定的队列配置用户权限策略，另外工作空间管理员用户也可以为用户组/用户配置队列权限策略。配置队列权限前，已在管理中心创建数据湖探索（DLI）和 MapReduce服务（MRS Ranger）类型的数据连接，请参考创建DataArts Studio数据连接。配置MRS Yarn队列权限前，需要参考同步 IAM 用户到数据源将IAM上的用户信息同步到数据源上。 MRS Yarn队列权限的策略生效，需要配置YARN严格权限控制，即设置参数“yarn.acl.enable”为true，具体请参见参考：配置Yarn严格权限控制。

数据治理中心 DATAARTS STUDIO 服务资源访问控制

云服务器内容精选

服务资源访问控制

7*24

备案

专业服务

退订

建议反馈

售前咨询热线