华为云用户手册

请求消息 表2 请求参数说明 参数名称 是否必选 参数类型 说明 name 否 String 作业名称。长度限制：0-57个字符。 desc 否 String 作业描述。长度限制：0-512个字符。 queue_name 否 String 队列名称。长度限制：0-128个字符。 sql_body 否 String Stream SQL语句，至少包含source, query, sink三个部分。长度限制：0-1024*1024个字符。 run_mode 否 String 作业运行模式： shared_cluster：共享。 exclusive_cluster：独享。 edge_node：边缘节点。 默认值为“shared_cluster”。 cu_number 否 Integer 用户为作业选择的CU数量。默认值为“2”。 parallel_number 否 Integer 用户设置的作业并行数目。默认值为“1”。 checkpoint_enabled 否 Boolean 是否开启作业自动快照功能。 开启：true 关闭：false 默认：false checkpoint_mode 否 Integer 快照模式,。两种可选： 1：表示exactly_once，数据只被消费一次。 2：at_least_once，数据至少被消费一次。 默认值为1。 checkpoint_interval 否 Integer 快照时间间隔。单位为秒，默认值为“10”。 obs_bucket 否 String 当“checkpoint_enabled”为“true”时，该参数是用户授权保存快照的OBS桶名称。 当“log_enabled” 为“true”时，该参数是用户授权保存作业日志的OBS桶名称。 log_enabled 否 Boolean 是否开启作业的日志上传到用户的OBS功能。默认为“false”。 smn_topic 否 String 当作业异常时，向该 SMN 主题推送告警信息。 restart_when_exception 否 Boolean 是否开启作业异常自动重启。默认为“false”。 idle_state_retention 否 Integer 空闲状态过期周期，单位为秒，默认值为“3600”。 edge_group_ids 否 Array of Strings 边缘计算组ID列表, 多个ID以逗号分隔。 dirty_data_strategy 否 String 作业脏数据策略。 “2:obsDir”：保存，obsDir表示脏数据存储路径。 “1”：抛出异常。 “0”：忽略。 默认值为“0”。 udf_jar_url 否 String 用户已上传到 DLI 资源管理系统的资源包名，用户sql作业的udf jar通过该参数传入。 manager_cu_number 否 Integer 用户为作业选择的管理单元（jobmanager）CU数量，默认值为“1”。 tm_cus 否 Integer 每个taskmanager的CU数，默认值为“1”。 tm_slot_num 否 Integer 每个taskmanager的slot数，默认值为“(parallel_number*tm_cus)/(cu_number-manager_cu_number)”。 operator_config 否 String 算子的并行度配置。 resume_checkpoint 否 Boolean 异常重启是否从checkpoint恢复。 resume_max_num 否 Integer 异常重试最大次数，单位：次/小时。取值范围：-1或大于0。默认值为“-1”，表示无限次数。 static_estimator_config 否 String 每个算子的流量/命中率配置，json格式的字符串。例如： {"operator_list":[{"id":"0a448493b4782967b150582570326227","rate_factor":0.55},{"id":"6d2677a0ecc3fd8df0b72ec675edf8f4","rate_factor":1},{"id":"ea632d67b7d595e5b851708ae9ad79d6","rate_factor":0.55},{"id":"bc764cd8ddf7a0cff126f51c16239658","output_rate":2000}]} runtime_config 否 String Flink作业运行时自定义优化参数。 flink_version 否 String Flink版本。当前只支持1.10和1.12。

功能介绍 该接口可以用于通过委托来获取临时访问密钥（临时AK/SK）和securitytoken。 临时AK/SK和securitytoken是系统颁发给 IAM 用户的临时访问令牌，有效期可在15分钟至24小时范围内设置，过期后需要重新获取。临时AK/SK和securitytoken遵循权限最小化原则。鉴权时，临时AK/SK和securitytoken必须同时使用，请求头中需要添加“x-security-token”字段，使用方法详情请参考：使用临时AK/SK做签名 该接口可以使用全局区域的Endpoint和其他区域的Endpoint调用。IAM的Endpoint请参见：地区和终端节点。

响应参数 表9 响应Body参数 参数 参数类型 描述 credential Object 认证结果信息。 表10 credential 参数 参数类型 描述 expires_at String AK/SK和securitytoken的过期时间。响应参数为UTC时间格式，北京时间为UTC+8小时。 如返回： "expires_at": "2020-01-08T02:56:19.587000Z" 北京时间：2020-01-08 10:56:19.587 access String 获取的AK。 secret String 获取的SK。 securitytoken String securitytoken是将所获的AK、SK等信息进行加密后的字符串。

请求示例 填写"session_user"参数，即委托方对应的企业用户信息，包含委托方对应的企业用户名。 POST https://iam.myhuaweicloud.com/v3.0/OS-CREDENTIAL/securitytokens { "auth": { "identity": { "methods": [ "assume_role" ], "assume_role": { "domain_name": "IAMDomainA", "agency_name": "IAMAgency", "duration_seconds": 3600, "session_user": { "name": "SessionUserName" } } } } } 填写"policy"参数，即用户自定义策略的信息，用于限制获取到的临时访问密钥和securitytoken的权限（当前仅适用限制OBS服务的权限）。如果填写此参数，则临时访问密钥和securitytoken的权限为：委托具有的权限和policy参数限制的权限交集。 POST https://iam.myhuaweicloud.com/v3.0/OS-CREDENTIAL/securitytokens { "auth": { "identity": { "methods": [ "assume_role" ], "policy": { "Version": "1.1", "Statement": [{ "Effect": "allow", "Action": [ "obs:object:*" ], "Resource": ["obs:*:*:object:*"], "Condition": { "StringEquals": { "obs:prefix": ["public"] } } }] }, "assume_role": { "domain_name": "IAMDomainA", "agency_name": "IAMAgency", "duration_seconds": 3600 } } } } 不填写"session_user"和policy参数。 POST https://iam.myhuaweicloud.com/v3.0/OS-CREDENTIAL/securitytokens { "auth": { "identity": { "methods": [ "assume_role" ], "assume_role": { "domain_name": "IAMDomainA", "agency_name": "IAMAgency", "duration_seconds": 3600 } } } }

响应示例 状态码为 201 时: 创建成功。 无论session_user填写与否，返回都是相同的。若填写了session_user，则在securitytoken中包含了所填写的session_user信息。 { "credential": { "access": "E6DX0TF2ZREQ4Z...", "expires_at": "2020-01-08T02:56:19.587000Z", "secret": "w9ePum0qdfac39ErLD0UdjofYkqort6Iw....", "securitytoken": "gQpjbi1ub3J0aC0..." } }

退订 DataArts Studio 基础包 DataArts Studio基础包套餐生效期间，您可以根据需要，参考云服务退订退订DataArts Studio包年包月套餐。 另外在退订DataArts Studio后，对于在DataArts Studio使用过程中可能会产生费用的以下相关服务，请分别退订其资源，避免其依然计费。 OBS服务：在数据集成或数据开发时，DataArts Studio会将脏数据或日志文件写入到OBS服务中，则会产生 对象存储服务 费用，收费标准请参见OBS价格详情。 APIG服务：在使用数据服务共享版发布API到API网关共享版后，如果调用API，则会产生API网关的调用API费用和流量费用，收费标准请参见APIG价格详情。 EIP服务：如果您为数据集成集群或数据服务专享版集群开通了公网IP，则会产生弹性公网IP服务费用，收费标准请参见EIP价格详情。 SMN服务：如果您在使用DataArts Studio各组件过程中开启了 消息通知 功能，则会产生消息通知服务费用，收费标准请参见SMN价格详情。 DEW服务：在数据集成或创建管理中心连接时，如果启用了KMS，则会产生密钥管理费用，收费标准请参见DEW价格详情。 DataArts Studio增量包 “包年包月”计费的DataArts Studio增量包 需参考云服务退订退订套餐包。 “按需计费”的批量数据迁移增量包 “按需计费”的批量数据迁移增量包，在删除数据集成集群后，则不再按需计费。 “套餐包（按需资源包）”计费的批量数据迁移增量包 按需资源包当前不支持退订，具体详情可查看不可退订。

到期与欠费 DataArts Studio基础包 DataArts Studio基础包套餐采用包年包月计费模式，套餐到期后进入宽限期，宽限期内您可正常访问及使用DataArts Studio，且正常计费。您需要在宽限期内购买套餐时长，否则会进入保留期。 保留期内，数据仍予以保留，但是您将无法访问DataArts Studio实例，您无法在DataArts Studio管理控制台进行操作，相关接口也无法调用。如果在保留期结束时您没有续费，DataArts Studio将终止服务，系统中的数据也将被永久删除。 系统会根据用户等级赋予不同的宽限期和保留期，详见宽限期保留期。 DataArts Studio增量包 “包年包月”计费的DataArts Studio增量包 包年包月计费模式的增量包到期后进入宽限期，宽限期内您可正常使用增量包，且正常计费。您需要在宽限期内购买套餐时长，否则会进入保留期。 保留期内，数据仍予以保留，但是您将无法使用增量包功能。如果在保留期结束时您没有续费，增量包将终止服务，系统中的数据也将被永久删除。 系统会根据用户等级赋予不同的宽限期和保留期，详见宽限期保留期。 “按需计费”的批量数据迁移增量包 按每小时扣费，没有到期的概念，只要账户中有余额就可以继续使用。当余额不足，无法对上一个小时的费用进行扣费，就会导致DataArts Studio增量包欠费，欠费后进入宽限期，宽限期内您可正常访问及使用DataArts Studio增量包的服务，但处于宽限期的资源是继续计费的。您需要在宽限期内续费，否则会进入保留期。 保留期内，数据仍予以保留，但是您将无法访问DataArts Studio增量包的服务，也无法进行相关操作，相关接口无法调用。如果在保留期结束时您没有续费，DataArts Studio将终止服务，系统中的数据也将被永久删除。 系统会根据用户等级赋予不同的宽限期和保留期，详见宽限期保留期。 “套餐包（按需资源包）”计费的批量数据迁移增量包 所购买的时长到期后套餐结束，会自动转为“按需计费”方式继续计费。

计费模式 DataArts Studio不同计费项所支持的计费模式，如表2所示。 表2 DataArts Studio支持的计费模式 计费模式 模式介绍 适用场景 支持的计费项 包年包月 通过预付费，以包年或包月模式购买云资源。 购买成功后，系统分配云资源给账户使用。 使用中的云资源支持退订。 使用期限到期后，如未续费则进入宽限期以及保留期，直到资源被回收。 适用于业务量稳定、需长期使用固定云资源的场景，可以享受更低的包周期资费。 DataArts Studio基础包 数据服务专享集群增量包 作业节点调度次数/天增量包 技术资产数量增量包 数据模型数量增量包 按需计费 不需要预付费，可直接创建、使用按需资源。 按照资源使用量或使用时间进行计费。 适用于业务量激增、短期或间断性使用云资源的场景，使用时长不固定，资费较高。 批量数据迁移增量包 数据集成资源组增量包 套餐包（按需资源包） 通过预付费，购买一定时间期限内的云资源使用量配额。 购买后，系统不会自动分配云资源。 使用中的按需资源包不支持退订，详情可查看不可退订。 使用期限或使用量到期后，还可以继续使用云资源，超出部分按需计费。 适用于使用期限不固定、但需要长期使用云资源的客户，可以享受套餐包的低资费。 批量数据迁移增量包 数据集成资源组增量包

变更配置 在购买DataArts Studio时，有多种基础包或增量包规格供您选择，您可根据业务需要选择合适的基础包或增量包。当您完成DataArts Studio基础包或增量包的购买后，DataArts Studio提供如下变更配置的方式。 DataArts Studio基础包升级：DataArts Studio基础包套餐允许升级，升级时，已经产生的费用按天结算。升级成功后，按新订购套餐进行计费。 如需升级，请登录DataArts Studio控制台，找到需要升级的DataArts Studio实例，单击“升级”，然后根据页面提示购买更高规格的套餐。 套餐升级后，系统会根据升级后的套餐创建一个新的数据集成集群。原基础包中的数据集成集群仍为您保留，但是不会再产生费用。您需要将原集群的数据连接、作业等信息手动迁移到新集群，具体操作请参见批量管理作业。 若DataArts Studio提供的变更配置方式不满足您的要求，您也可以重新购买DataArts Studio基础包或增量包，退订当前基础包或增量包。

续费 DataArts Studio基础包 DataArts Studio基础包套餐采用包年包月计费模式，套餐到期后相继进入宽限期和保留期（详情请参见到期与欠费），建议请在所购买的套餐包时长用完前进行续费。 DataArts Studio基础包支持自动续费，自动续费的默认续费周期为： 按月购买：自动续费周期为1个月。 按年购买：自动续费周期为1年。 您可以通过以下两种方式开通自动续费： 登录DataArts Studio控制台，在购买DataArts Studio实例的页面中，勾选“自动续费”选项。 如果您已购买DataArts Studio实例，请进入续费管理页面，在实例列表中查找所需续费的DataArts Studio实例，单击其所在行的“开通自动续费”，然后请根据页面提示完成自动续费的开通。 您也可以进行手动续费，请进入续费管理页面，在列表中查找所需续费的DataArts Studio实例，单击其所在行的“续费”，进行手动续费操作。有关续费的更多信息，请参见续费管理。 DataArts Studio增量包 “包年包月”计费的DataArts Studio增量包 包年包月计费的DataArts Studio增量包，当时长到期后相继进入宽限期和保留期（详情请参见到期与欠费），因此在欠费前请及时充值。 如需充值，请进入续费管理页面，在左侧导航树单击“总览”，在总览页面单击“充值”对账户进行充值。 “按需计费”的批量数据迁移增量包 按需计费是按每小时扣费，当余额不足后会相继进入宽限期和保留期（详情请参见到期与欠费），因此在欠费前请及时充值。 如需充值，请进入续费管理页面，在左侧导航树单击“总览”，在总览页面单击“充值”对账户进行充值。 “套餐包（按需资源包）”计费的批量数据迁移增量包 套餐包（按需资源包）计费的批量数据迁移增量包，所购买的时长到期后套餐结束，会自动转为“按需计费”方式。如果希望继续享受“套餐包”的优惠方式，请在所购买的套餐包时长用完前进行再次购买。 如需再次购买，请进入续费管理页面，找到所需购买的DataArts Studio增量包，然后单击“再次购买”。

使用场景 通常您的业务系统可能使用了华为云的多种云服务，您可以为这些云服务下不同的资源实例分别设置标签（对于DataArts Studio而言，标签作用于其实例上），各服务产生的计费详单中都会体现这些资源实例和实例上设置的标签。如果您的业务系统是由多个不同的应用构成，为同一种应用拥有的资源实例设置统一的标签将很容易帮助您对不同的应用进行使用量分析和成本核算。 对DataArts Studio来说，标签用于标识购买的实例，以此来达到对购买的DataArts Studio实例进行分类的目的。当为实例添加标签时，该实例上所有请求产生的计费话单里都会带上这些标签，从而可以针对话单报表做分类筛选，进行更详细的成本分析。例如：某个实例作用于A部门，我们可以用该部门名称做为标签，设置到被使用的实例上。在分析话单时，就可以通过该部门名称的标签来分析此部门的开发使用成本。 DataArts Studio以键值对的形式来描述标签。一个实例默认最大拥有20个标签。每个标签有且只有一对键值。键和值可以任意顺序出现在标签中。同一个实例标签的键不能重复，但是值可以重复，并且可以为空。

数据安全 权限点 管理员 开发者 运维者 访客 新建数据溯源任务 Y Y N N 删除数据溯源任务 Y Y N N 操作数据溯源任务 Y Y N N 查询数据溯源任务 Y Y Y Y 编辑数据溯源任务 Y Y N N 新建数据分类权限 Y Y Y N 删除数据分类权限 Y Y Y N 查询数据分类权限 Y Y Y Y 编辑数据分类权限 Y Y Y N 新建访问权限管理 Y Y N N 删除访问权限管理 Y Y N N 查询访问权限管理 Y Y Y Y 编辑访问权限管理 Y Y N N 新建动态策略 Y N N N 删除动态策略 Y N N N 查询动态策略 Y Y Y Y 编辑动态策略 Y N N N 新建密级 Y Y N N 删除密级 Y Y N N 查询密级 Y Y Y Y 编辑密级 Y Y N N 新建动态脱敏策略 Y N N N 删除动态脱敏策略 Y N N N 查询动态脱敏策略 Y Y Y Y 编辑动态脱敏策略 Y N N N 新建动态脱敏订阅策略 Y N N N 删除动态脱敏订阅策略 Y N N N 查询动态脱敏订阅策略 Y Y Y Y 新建资源权限策略 Y N N N 删除资源权限策略 Y N N N 查询资源权限策略 Y Y Y Y 编辑资源权限策略 Y N N N 操作安全任务调度 Y Y Y N 新建权限申请审批 Y Y Y N 查询权限申请审批 Y Y Y Y 编辑权限申请审批 Y Y Y N 新建用户同步任务 Y Y Y N 删除用户同步任务 Y Y Y N 查询用户同步任务 Y Y Y Y 编辑用户同步任务 Y Y Y N 新建数据脱敏任务 Y Y N N 删除数据脱敏任务 Y Y N N 操作数据脱敏任务 Y Y N N 查询数据脱敏任务 Y Y Y Y 编辑数据脱敏任务 Y Y N N 操作数据安全细粒度权限控制 Y N N N 查询数据安全细粒度权限控制 Y Y Y Y 编辑数据安全细粒度权限控制 Y N N N 新建权限集权限 Y Y Y N 删除权限集权限 Y Y Y N 查询权限集权限 Y Y Y Y 编辑权限集权限 Y Y Y N 查询总览 Y Y Y Y 新建权限跨源同步策略 Y N N N 删除权限跨源同步策略 Y N N N 查询权限跨源同步策略 Y Y Y Y 编辑权限跨源同步策略 Y N N N 查询成员管理 Y Y Y Y 编辑成员管理 Y Y Y N 新建权限集成员 Y Y Y N 删除权限集成员 Y Y Y N 查询权限集成员 Y Y Y Y 查询获取委托 Y Y Y Y 新建脱敏策略 Y Y N N 删除脱敏策略 Y Y N N 操作脱敏策略 Y Y Y Y 查询脱敏策略 Y Y Y Y 编辑脱敏策略 Y Y N N 查询数据访问审计 Y N N N 新建规则分组 Y Y Y N 删除规则分组 Y Y N N 操作规则分组 Y Y Y N 查询规则分组 Y Y Y Y 编辑规则分组 Y Y Y N 查询权限同步失败日志 Y Y Y Y 新建敏感发现任务 Y Y Y N 删除敏感发现任务 Y Y N N 操作敏感发现任务 Y Y Y N 查询敏感发现任务 Y Y Y Y 编辑敏感发现任务 Y Y N N 新建权限集 Y Y Y N 删除权限集 Y Y Y N 查询权限集 Y Y Y Y 编辑权限集 Y Y Y N 查询数据源 Y Y Y Y 查询目录权限策略 Y Y Y Y 新建行级访问策略 Y N N N 删除行级访问策略 Y N N N 查询行级访问策略 Y Y Y Y 编辑行级访问策略 Y N N N 新建队列策略 Y N N N 删除队列策略 Y N N N 查询队列策略 Y Y Y Y 编辑队列策略 Y N N N 新建安全诊断 Y N N N 查询安全诊断 Y Y Y Y 查询资源权限配置 Y Y N N 新建数据水印嵌入 Y Y N N 删除数据水印嵌入 Y Y N N 操作数据水印嵌入 Y Y N N 查询数据水印嵌入 Y Y Y Y 编辑数据水印嵌入 Y Y N N

数据服务 权限点 管理员 开发者 运维者 访客 新建流控策略 Y Y N N 删除流控策略 Y Y N N 操作流控策略 Y Y Y N 查询流控策略 Y Y Y Y 编辑流控策略 Y Y N N 新建应用 Y Y N N 删除应用 Y Y N N 操作应用 Y Y Y N 查询应用 Y Y Y Y 编辑应用 Y Y N N 操作审核 Y Y Y N 查询审核 Y Y Y Y 新建API目录 Y Y Y N 删除API目录 Y Y Y N 查询API目录 Y Y Y Y 编辑API目录 Y Y Y N 操作集群 Y Y N N 查询集群 Y Y Y Y 新建审核人 Y N N N 删除审核人 Y N N N 操作审核人 Y Y Y N 查询审核人 Y Y Y N 新建API Y Y N N 删除API Y Y N N 操作API Y Y Y N 查询API Y Y Y Y 编辑API Y Y N N 查询数据源 Y Y N N 查询总览 Y Y Y Y

数据目录 权限点 管理员 开发者 运维者 访客 查询数据源数据 Y Y Y N 操作任务实例 Y Y Y N 查询任务实例 Y Y Y Y 新建采集任务 Y Y N N 删除采集任务 Y Y N N 操作采集任务 Y Y Y N 查询采集任务 Y Y Y Y 编辑采集任务 Y Y N N 编辑审批单 Y Y N N 编辑资产报告 Y Y N N 新建标签 Y Y N N 删除标签 Y Y N N 查询标签 Y Y Y Y 编辑标签 Y Y N N 新建资产 Y Y N N 删除资产 Y Y N N 操作资产 Y Y Y N 查询资产 Y Y Y Y 编辑资产 Y Y N N 新建目录 Y Y N N 删除目录 Y Y N N 查询目录 Y Y Y Y 编辑目录 Y Y N N 新建分类 Y Y N N 删除分类 Y Y N N 查询分类 Y Y Y Y 编辑分类 Y Y N N 新建数据权限规则 Y N N N 删除数据权限规则 Y N N N 查询数据权限规则 Y Y Y Y 编辑数据权限规则 Y N N N

数据质量 权限点 管理员 开发者 运维者 访客 数据质量监控 查询总览 Y Y Y Y 操作实例 Y Y Y N 查询实例 Y Y Y Y 新建规则模板 Y N N N 删除规则模板 Y N N N 操作规则模板 Y N N N 查询规则模板 Y Y Y Y 编辑规则模板 Y N N N 查询运行结果 Y Y N N 新建规则 Y Y N N 删除规则 Y Y N N 操作规则 Y Y Y N 查询规则 Y Y Y Y 编辑规则 Y Y N N 编辑质量评分 Y N N N 新建目录 Y Y N N 删除目录 Y Y N N 查询目录 Y Y Y Y 编辑目录 Y Y N N 业务指标监控 查询总览 Y Y Y Y 操作实例 Y Y Y N 查询实例 Y Y Y Y 新建业务场景 Y Y N N 删除业务场景 Y Y N N 操作业务场景 Y Y Y N 查询业务场景 Y Y Y Y 编辑业务场景 Y Y N N 新建指标 Y Y N N 删除指标 Y Y N N 查询指标 Y Y Y Y 编辑指标 Y Y N N 新建规则 Y Y N N 删除规则 Y Y N N 查询规则 Y Y Y Y 编辑规则 Y Y N N 新建目录 Y Y N N 删除目录 Y Y N N 查询目录 Y Y Y Y 编辑目录 Y Y N N

数据开发 权限点 管理员 开发者 部署者 运维者 访客 新建Schema Y Y N N N 删除Schema Y Y N N N 查询Schema Y Y N Y Y 编辑Schema Y Y N N N 操作备份 Y Y N Y N 查询备份 Y Y N Y Y 新建补数据 Y Y N N N 操作补数据 Y Y N Y N 查询补数据 Y Y N Y Y 操作脏数据 Y Y N Y N 操作恢复备份 Y N N Y N 查询恢复备份 Y Y N Y Y 新建目录 Y Y N N N 删除目录 Y Y N N N 查询目录 Y Y N Y Y 编辑目录 Y Y N N N 新建通知 Y Y N N N 删除通知 Y Y N N N 查询通知 Y Y N Y Y 编辑通知 Y Y N N N 新建数据库 Y Y N N N 删除数据库 Y Y N N N 查询数据库 Y Y N Y Y 编辑数据库 Y Y N N N 新建解决方案 Y Y N N N 删除解决方案 Y Y N N N 操作解决方案 Y Y N Y N 查询解决方案 Y Y N Y Y 编辑解决方案 Y Y N N N 查询IAM代理 Y Y Y Y Y 更新IAM代理 Y N N N N 操作环境变量 Y Y N N N 查询环境变量 Y Y N Y Y 编辑环境变量 Y Y N N N 操作作业节点 Y Y N Y N 查看发布包 Y Y Y Y Y 操作发布包 Y N Y Y N 新建数据连接 Y Y N N N 删除数据连接 Y Y N N N 操作数据连接 Y Y N Y N 查询数据连接 Y Y N Y Y 编辑数据连接 Y Y N N N 撤销发布 Y Y Y Y N 新建数据表 Y Y N N N 删除数据表 Y Y N N N 查询数据表 Y Y N Y Y 编辑数据表 Y Y N N N 操作作业实例 Y Y N Y N 查询作业实例 Y Y N Y Y 新建资源 Y Y N N N 删除资源 Y Y N N N 操作资源 Y Y N Y N 查询资源 Y Y N Y Y 编辑资源 Y Y N N N 编辑环境变量映射 N N N N N 操作脚本编辑锁 Y Y N Y N 新建脚本 Y Y N N N 删除脚本 Y Y N N N 操作脚本 Y Y N Y N 查询脚本 Y Y N Y Y 编辑脚本 Y Y N N N 新建作业标签 Y Y N Y N 删除作业标签 Y Y N Y N 查询作业标签 Y Y N Y Y 新建作业 Y Y N N N 删除作业 Y Y N N N 操作作业 Y Y N Y N 查询作业 Y Y N Y Y 编辑作业 Y Y N Y N 查询作业编辑锁详情 Y Y N Y Y 操作作业编辑锁 Y Y N Y N

数据架构 权限点 管理员 开发者 运维者 访客 新建原子指标 Y Y N N 删除原子指标 Y Y N N 查询原子指标 Y Y Y Y 编辑原子指标 Y Y N N 操作备份管理 Y Y Y N 新建逻辑实体/物理表 Y Y N N 删除逻辑实体/物理表 Y Y N N 查询逻辑实体/物理表 Y Y Y Y 编辑逻辑实体/物理表 Y Y N N 新建配置中心 Y N N N 删除配置中心 Y N N N 查询配置中心 Y Y Y Y 编辑配置中心 Y N N N 操作审批中心 Y Y N N 新建主题设计 Y Y N N 删除主题设计 Y Y N N 查询主题设计 Y Y Y Y 编辑主题设计 Y Y N N 新建业务指标 Y Y N N 删除业务指标 Y Y N N 查询业务指标 Y Y Y Y 编辑业务指标 Y Y N N 新建汇总表 Y Y N N 删除汇总表 Y Y N N 查询汇总表 Y Y Y Y 编辑汇总表 Y Y N N 新建通用配置 Y Y N N 删除通用配置 （指已发布状态的逻辑实体或表，对其在编辑并保存后产生的草稿的删除操作） Y Y N N 操作通用配置 （指逻辑实体或表的导入、导出、发布、下线、同步、逆向等操作） Y Y Y N 查询通用配置 （指已发布状态的逻辑实体或表，对其在编辑并保存后产生的草稿的查询操作） Y Y Y Y 编辑通用配置 （指已发布状态的逻辑实体或表，对其在编辑并保存后产生的草稿的编辑操作） Y Y N N 删除维度表 Y Y N N 查询维度表 Y Y Y Y 新建流程设计 Y Y N N 删除流程设计 Y Y N N 查询流程设计 Y Y Y Y 编辑流程设计 Y Y N N 新建码表管理 Y Y N N 删除码表管理 Y Y N N 查询码表管理 Y Y Y Y 编辑码表管理 Y Y N N 新建模型 Y Y N N 删除模型 Y Y N N 查询模型 Y Y Y Y 编辑模型 Y Y N N 新建衍生/复合指标 Y Y N N 删除衍生/复合指标 Y Y N N 操作衍生/复合指标 Y Y N N 查询衍生/复合指标 Y Y Y Y 编辑衍生/复合指标 Y Y N N 新建关联质量规则 Y Y N N 删除关联质量规则 Y Y N N 查询关联质量规则 Y Y Y Y 编辑关联质量规则 Y Y N N 新建事实表 Y Y N N 删除事实表 Y Y N N 查询事实表 Y Y Y Y 编辑事实表 Y Y N N 新建目录 Y Y N N 删除目录 Y Y N N 查询目录 Y Y Y Y 编辑目录 Y Y N N 新建维度 Y Y N N 删除维度 Y Y N N 查询维度 Y Y Y Y 编辑维度 Y Y N N 新建时间限定 Y Y N N 删除时间限定 Y Y N N 查询时间限定 Y Y Y Y 编辑时间限定 Y Y N N 新建数据标准 Y Y N N 删除数据标准 Y Y N N 查询数据标准 Y Y Y Y 编辑数据标准 Y Y N N

管理中心 权限点 管理员 开发者 运维者 访客 查询集群列表( MRS &DWS& CDM ) Y Y Y Y 新建数据库 Y Y N N 删除数据库 Y Y N N 查询数据库 Y Y Y Y 编辑数据库 Y Y N N 新建数据表 Y Y N N 删除数据表 Y Y N N 查询数据表 Y Y Y Y 编辑数据表 Y Y N N 新建资源迁移 Y Y N N 操作资源迁移 Y Y Y N 查询资源迁移 Y Y Y Y 新建数据连接 Y Y N N 删除数据连接 Y Y N N 操作数据连接 Y Y Y N 查询数据连接 Y Y Y Y 编辑数据连接 Y Y N N 删除RDS驱动包 Y N N N 操作RDS驱动包 Y N N N 查询RDS驱动包 Y Y Y Y 新建DLI资源映射配置 N N N N 删除DLI资源映射配置 N N N N 查询DLI资源映射配置 N N N N

如何选择DataArts Studio版本 DataArts Studio新版本模式下包含免费版、初级版、专家版和企业版，各版本的建议使用场景如表2所示。 表2 DataArts Studio各版本建议使用场景 版本 建议使用场景 免费版 需要体验DataArts Studio初级版功能，对规格和SLA无要求，适用于开发者试用、小规模验证等场景。 初级版 建设初期 数据湖 项目，主要为大数据开发场景的数据ETL任务管理，不涉及 数据治理 。 专家版 中小企业规模，具备全职数据开发治理人员，需要轻量数据治理能力，如数据质量、数据目录和数据服务等，性价比首选。 企业版 有完善的数据管理团队和体系，中大型企业规模，需要进行企业信息架构、数据标准、数据模型、数据指标的落地，匹配完整的DAYU数据治理方法论。

DataArts Studio版本规格说明 DataArts Studio新版本模式下包含免费版、初级版、专家版和企业版，各版本支持的组件组件功能和规格不同，如表3和表4所示。 表3 DataArts Studio版本支持的组件 DataArts Studio组件 免费版 初级版 专家版 企业版 数据集成 √ √ √ √ 管理中心 √ √ √ √ 数据架构 x x x √ 数据开发 √ √ √ √ 数据质量 x x 支持，但不支持业务指标监控、对账作业和质量报告。 √ 数据目录 x x 支持，但不支持通过管理中心资源迁移进行数据目录（分类、标签、采集任务）导出。 √ 数据服务 x x √ √ 数据安全（公测） x x 支持，但不支持数据水印嵌入和溯源。 √ 表4 DataArts Studio版本规格说明（单实例规格） DataArts Studio规格 免费版[5] 初级版 专家版 企业版 DataArts Studio数据集成集群[1] 赠送36小时cdm.large规格的CDM集群折扣套餐，需通过“ 云数据迁移 CDM”服务使用，详见CDM用户指南。 集群数量：1个 规格名称：cdm.medium vCPUs/内存：4核 8GB 集群数量：1个 规格名称：cdm.medium vCPUs/内存：4核 8GB 集群数量：1个 规格名称：cdm.medium vCPUs/内存：4核 8GB 作业节点调度次数/天[2] 500次/天 5,000次/天 5,000次/天 5,000次/天 技术资产数量[3] 不支持 不支持 500 5000 数据模型数量[4] 不支持 不支持 不支持 100 注释： [1] DataArts Studio数据集成集群：DataArts Studio实例赠送的数据集成集群，推荐作为管理中心数据连接的Agent代理使用，不建议同时作为Agent代理和运行数据迁移作业使用。用于运行数据迁移作业的其他规格数据集成集群推荐通过“批量数据迁移增量包”进行购买（免费版需通过“云数据迁移 CDM”服务购买CDM集群），如何购买请参考购买批量数据迁移增量包。 [2] 作业节点调度次数/天：该规格是以每天执行的数据开发作业、质量作业、对账作业、业务场景和元数据采集作业的调度次数之和计算的，可以通过“作业节点调度次数/天增量包”进行扩容，如何购买请参考购买作业节点调度次数/天增量包。其中数据开发作业的每天调度次数，是以节点（包含Dummy节点）为粒度进行度量的，另外补数据任务也会计入度量次数，但测试运行、失败重试不会计入。例如某作业包含2个DWS SQL节点和1个Dummy节点，每天00:00开始执行，隔10小时调度一次，当天额外进行了过去10天的补数据，则该作业当天调度次数为2*3+2*3*10=66，后续每天调度次数为2*3=6。 另外，当作业节点调度的已使用次数+运行中次数+本日将运行次数之和大于此版本规格，执行调度批处理作业或者启动实时作业时就会提示作业节点调度次数/天超过配额。 [3] 技术资产数量：该规格指的是数据目录中表和OBS文件的数量，可以通过“技术资产数量增量包”进行扩容，如何购买请参考购买技术资产数量增量包。 [4] 数据模型数量：该规格指的是数据架构中逻辑模型、物理模型、维度表、事实表和汇总表的数量，可以通过“数据模型数量增量包”进行扩容，如何购买请参考购买数据模型数量增量包。 [5] 免费版：免费版定位于试用场景，每个账号在每个区域下仅能有一个免费版实例。使用免费版前，请您了解如下约定： 免费版不自带数据集成集群，而是首次购买时赠送36小时cdm.large规格的CDM集群折扣套餐，1年内有效。使用折扣套餐包时，您需要在“云数据迁移 CDM”服务创建一个与DataArts Studio实例区域一致的cdm.large规格集群，集群运行时会自动扣除折扣套餐包时长，折扣套餐包时长到期后需要删除此集群，否则会产生相关费用。关于CDM服务的计费详情可参见CDM用户指南。 免费版不支持购买增量包，例如无法购买批量数据迁移增量包或作业节点调度次数/天增量包。 免费版数据开发组件的脚本数和作业数的配额限制分别为20。 免费版仅用于试用场景，在业务负荷大的场景下，无法保证免费版实例上业务的正常运行。 免费版不支持通过API调用的方式使用，仅支持控制台方式使用。 免费版受成本、资源等因素限制，提供的总数量有限。当全网免费版数量超过限额时，将无法继续创建免费版实例。 免费版支持升级到其他付费版本。升级到其他版本或删除当前免费版实例后，您可以再次购买免费版，但不能再勾选“CDM套餐包”，折扣套餐仅在首次购买免费版时赠送。

DataArts Studio版本模式升级 对于已开通的旧版本模式实例，需要您手动将旧模式升级到新模式。模式升级的处理原则如下： 旧版本模式的初级版直接切换到新版本模式的初级版，功能体验、版本规格和计费标准均保持不变。 旧版本模式除初级版外的其他版本升级到新版本模式，为保证数据治理功能体验一致，会转换为新版本模式下的非标准企业版（与标准企业版的支持组件一致，但规格不同）；同时版本规格相比旧模式有所提升，且计费标准不变或下降（如果计费标准下降，DataArts Studio会自动将后期使用时长的差价原路返回到您的付款账户中）。 因此，我们强力推荐您将已有DataArts Studio实例从旧模式升级为新模式。各版本切换前后的情况对比如图1所示。 图1 模式切换前后对比 版本模式升级操作不可回退，升级过程及升级后对功能、业务操作和运行均无任何影响。值得注意的是，切换到新商业模式后，不再支持免费试用基础版。建议您通过体验活动进行功能试用。 如果您需要将旧版本模式升级为新版本模式，可以参考如下步骤进行操作： 以华为账号、拥有DAYU Administrator或Tenant Administrator权限的用户登录华为云控制台。在控制台左上方，单击“服务列表”按钮，选择“ 数据治理中心 ”，进入DataArts Studio控制台。 在DataArts Studio控制台，单击实例名右侧的，进入实例管理页面。 在需要升级版本模式的实例卡片上，找到“模式切换”按钮并单击进入模式切换界面。 图2 模式切换按钮 在模式切换界面，您可以看到当前旧版本模式切换前后的对比和询价情况。如果您确认切换，单击右下方“切换”按钮，随系统提示进行升级即可。 图3 模式切换 版本模式升级完成需要约5分钟，升级过程及升级后对功能、业务操作和运行均无任何影响。在切换成功后，如果计费标准有所下降，DataArts Studio会自动将后期使用时长的差价原路返回到您的付款账户中。升级完成后，则您可以基于新的版本模式继续使用DataArts Studio。

新版本模式说明 为了提供轻量化的数据治理能力、满足资源按需灵活配置的需求，DataArts Studio提供了全新的版本模式供您选择。新版本模式相对于旧版本模式，价格门槛更低、资源拓展更加灵活，强力推荐您将已开通的旧版本模式升级至新版本模式。 对于已开通的旧版本模式实例，需要您手动将旧模式升级到新模式，详见DataArts Studio版本模式升级。版本模式升级过程及升级后，对功能、业务操作和运行均无任何影响。我们承诺在相同资源下，新版本模式价格更低。 对于新开通的DataArts Studio实例，默认使用新版本模式，不支持回退到旧版本模式。 新版本模式提供了初级版、专家版和企业版三大版本供您选择。关于新版本模式与旧版本模式相比的变化，详见表1。 表1 新旧版本模式对比 差异项 旧版本模式 新版本模式 提供的版本 初级版：数据集成+数据开发 基础版：数据集成+数据开发+数据治理 高级版：数据集成+数据开发+数据治理 专业版：数据集成+数据开发+数据治理 企业版：数据集成+数据开发+数据治理 免费版：数据集成+数据开发 初级版：数据集成+数据开发 专家版：数据集成+数据开发+轻量数据治理 企业版：数据集成+数据开发+数据治理 免费版本 不支持。 支持。提供免费版本，以供试用。 轻量数据治理能力 不支持。除初级版外，均提供全功能数据治理能力，使用成本高。 支持。专家版提供轻量数据治理能力，满足中小企业数据治理需求。 支持的增量包 仅提供功能增量包： 批量数据迁移增量包 数据服务专享集群增量包 提供功能增量包和规格增量包（如何购买请参考购买DataArts Studio增量包，免费版不支持）： 功能增量包： 批量数据迁移增量包 数据服务专享集群增量包 规格增量包： 作业节点调度次数/天增量包 技术资产数量增量包 数据模型数量增量包 版本模式变更 支持升级到新版本模式。 不支持回退到旧版本模式。

访问控制 您可以使用 统一身份认证 服务（Identity and Access Management，简称IAM）进行精细的权限管理。该服务提供用户身份认证、权限分配、访问控制等功能，可以帮助您安全的控制华为云资源的访问。关于IAM的详细介绍，请参见IAM产品介绍。 DataArts Studio仅支持基于系统角色的授权，不支持策略授权。为了实现精细的权限管控，DataArts Studio提供了系统角色+工作空间角色授权的能力，由工作空间角色授权具体的操作权限，并支持自定义不同权限点的工作空间角色。 如图1和表1所示，DataArts Studio的IAM系统角色包括DAYU Administrator和DAYU User；工作空间角色是基于IAM角色DAYU User进一步授予的，权限列表列出了DataArts Studio常用操作与工作空间角色的授权关系，您可以参照这些权限列表选择合适的角色。 图1 权限体系 表1 DataArts Studio系统角色 系统角色名称 描述 类别 DAYU Administrator 实例管理员，拥有对DataArts Studio实例及工作空间的所有管理权限、依赖服务权限，以及所有工作空间内的所有业务操作权限。 说明： Tenant Administrator具有除统一身份认证服务外，其他所有服务的所有执行权限。即Tenant Administrator权限的用户也拥有对DataArts Studio的所有执行权限。 系统角色 DAYU User 普通用户，具备DataArts Studio实例及工作空间的查看权限，以及依赖服务权限。普通用户需要被授予任一工作空间角色后，才能拥有对应角色的业务操作权限。 工作空间有管理员、开发者、部署者、运维者和访客五种预置角色和自定义角色，每种角色的介绍如下，具体操作权限请参见权限列表。 管理员：工作空间管理员，拥有工作空间内所有的业务操作权限。建议将项目负责人、开发责任人、运维管理员设置为管理员角色。 开发者：开发者拥有工作空间内创建、管理工作项的业务操作权限。建议将任务开发、任务处理的用户设置为开发者。 运维者：运维者具备工作空间内运维调度等业务的操作权限，但无法更改工作项及配置。建议将运维管理、状态监控的用户设置为运维者。 访客：访客可以查看工作空间内的数据，但无法操作业务。建议将只查看空间内容、不进行操作的用户设置为访客。 部署者：企业模式独有，具备工作空间内任务包发布的相关操作权限。在企业模式中，开发者提交脚本或作业版本后，系统会对应产生发布任务。开发者确认发包后，需要部署者审批通过，才能将修改后的作业同步到生产环境。 自定义角色：如果预置角色不能满足您的需求，您也可以创建自定义角色。自定义角色的权限可自由配置，实现业务操作权限最小化。 系统角色

企业数字化转型面临的挑战 企业在进行数据管理时，通常会遇到下列挑战。 数据治理的挑战 缺乏企业数据体系标准和数据规范定义的方法论，数据语言不统一。 缺乏面向普通业务人员的高效、准确的数据搜索工具，数据找不到。 缺乏技术元数据与业务元数据的关联，数据读不懂。 缺乏数据的质量管控和评估手段，数据不可信。 数据运营的挑战 数据运营效率低，业务环境的快速变化带来大量多样化的数据分析报表需求，因为缺乏高效的数据运营工具平台，数据开发周期长、效率低，不能满足业务运营决策人员的诉求。 数据运营成本高，数据未服务化，导致数据复制多、数据口径不一致，同时数据重复开发，造成资源浪费。 数据创新的挑战 企业内部存在大量数据孤岛，导致数据不共享、不流通，无法实现跨领域的数据分析与数据创新。 数据的应用还停留在数据分析报表阶段，缺乏基于数据反哺业务推动业务创新的解决方案。

什么是DataArts Studio？ 数据治理中心DataArts Studio是为了应对上述挑战，针对企业数字化运营诉求提供的具有数据全生命周期管理和智能数据管理能力的一站式治理运营平台，包含数据集成、数据开发、数据架构、数据质量监控、数据资产管理、数据服务、数据安全等功能，支持行业知识库智能化建设，支持大数据存储、大数据计算分析引擎等数据底座，帮助企业快速构建从数据接入到数据分析的端到端智能数据系统，消除数据孤岛，统一数据标准，加快数据变现，实现数字化转型。 产品架构如图1所示。 图1 产品架构 如图所示，DataArts Studio基于数据湖底座，提供数据集成、开发、治理等能力。DataArts Studio支持对接所有华为云的数据湖与数据库云服务作为数据湖底座，例如MRS Hive、 数据仓库 服务DWS等，也支持对接企业传统数据仓库，例如Oracle、MySQL等。 DataArts Studio包含如下功能组件： 管理中心 提供DataArts Studio数据连接管理的能力，将DataArts Studio与数据湖底座进行对接，用于数据开发与数据治理等活动。 数据集成 数据集成提供20+简单易用的迁移能力和多种数据源到数据湖的集成能力，全向导式配置和管理，支持单表、整库、增量、周期性数据集成。 数据架构 作为数据治理的一个核心模块，承担数据治理过程中的数据加工并业务化的功能，提供智能数据规划、自定义主题数据模型、统一数据标准、可视化数据建模、标注数据标签等功能，有利于改善数据质量，有效支撑经营决策。 数据开发 大数据开发环境，降低用户使用大数据的门槛，帮助用户快速构建大数据处理中心。支持数据建模、数据集成、脚本开发、工作流编排等操作，轻松完成整个数据的处理分析流程。 数据质量 数据全生命周期管控，数据处理全流程质量监控，异常事件实时通知。 数据目录 提供企业级的元数据管理，厘清信息资产。通过数据地图，实现数据血缘和数据全景可视，提供数据智能搜索和运营监控。 数据服务 数据服务定位于标准化的数据服务平台，提供一站式数据服务开发、测试部署能力，实现数据服务敏捷响应，降低数据获取难度，提升数据消费体验和效率，最终实现数据资产的变现。 数据安全 数据安全为数据治理中心提供数据生命周期内统一的数据使用保护能力。通过访问权限管理、敏感数据识别、隐私保护管理等措施，帮助用户建立安全预警机制，增强整体安全防护能力，让数据可用不可得和安全合规。

DataArts Studio控制台功能依赖的角色或策略 DataArts Studio服务各组件功能所需依赖服务的权限如表2所示。在实际授权场景中，推荐为开发者用户配置DataArts Studio服务级别的依赖服务最小权限（可参考如何最小化授权IAM用户使用DataArts Studio，为用户配置最小权限），开发者用户的最小依赖服务权限如表3所示。 在实际授权场景中，DAYU Administrator和DAYU User系统角色已经预置了依赖服务的管理员权限。为了避免普通用户/用户组被授予DAYU User系统角色导致其拥有的依赖服务权限过大的风险，您可以在为用户组授权DAYU User系统角色后，手动删除用户组的周边依赖权限，再为用户组授予所需依赖服务的最小权限合集。 表2 DataArts Studio控制台依赖服务的角色或策略 控制台功能 依赖服务 需配置角色/策略 具体功能 管理中心 BSS bss:coupon:view bss:renewal:update bss:discount:view bss:order:view bss:order:pay bss:order:update 创建增量包或DataArts Studio实例 KMS kms:cmk:get kms:cmk:list kms:cmk:create kms:cmk:decrypt kms:cmk:encrypt kms:dek:create kms:dek:encrypt kms:dek:decrypt 创建数据连接时，使用KMS加解密 DWS dws:cluster:list dws:cluster:getDetail dws:openAPICluster:getDetail 创建DWS数据连接 MRS mrs:cluster:get mrs:cluster:list 创建MRS数据连接 VPC vpc:publicIps:get vpc:publicIps:list vpc:vpcs:get vpc:subnets:get 创建MRS数据连接 RDS rds:*:get rds:*:list 创建RDS数据连接 数据集成 VPC vpc:publicIps:get vpc:publicIps:list vpc:vpcs:get vpc:vpcs:list vpc:subnets:get vpc:securityGroups:get vpc:firewalls:list vpc:routeTables:list vpc:subNetworkInterfaces:list 创建CDM集群或DataArts Studio实例 E CS ecs:flavors:get ecs:cloudServerFlavors:get ecs:availabilityZones:list 创建CDM集群或DataArts Studio实例 CDM cdm:cluster:create 创建CDM集群 KMS kms:cmk:get kms:cmk:list kms:cmk:create kms:cmk:decrypt kms:cmk:encrypt kms:dek:create kms:dek:encrypt kms:dek:decrypt 创建数据连接时，使用KMS加解密 MRS mrs:cluster:get mrs:cluster:list mrs:job:get mrs:job:list 创建MRS数据连接 DWS dws:cluster:list dws:cluster:getDetail dws:openAPICluster:getDetail 创建DWS数据连接 CDM cdm:cluster:get cdm:cluster:list cdm:link:operate cdm:job:operate 通过CDM控制台操作时，需要CDM服务权限 CES ces:*:get ces:*:list 查看CES监控 CSS css:*:get css:*:list 创建CSS连接 CloudTable cloudtable:*:get cloudtable:*:list 创建CloudTable连接 RDS rds:*:get rds:*:list 创建RDS连接 RMS rms:resources:list 创建CDM集群 数据开发 OBS obs:object:GetObject obs:object:PutObject obs:bucket:GetBucketLocation obs:bucket:ListAllMyBuckets obs:bucket:ListBucket obs:bucket:CreateBucket 运行脚本、运行作业以及备份作业 SMN smn:topic:publish smn:topic:list 作业通知 KMS kms:cmk:get kms:cmk:list kms:cmk:create kms:cmk:decrypt kms:cmk:encrypt kms:dek:create kms:dek:encrypt kms:dek:decrypt 创建数据连接时，使用KMS加解密 MRS mrs:cluster:get mrs:cluster:list mrs:job:submit mrs:job:delete mrs:job:stop mrs:sql:execute mrs:sql:cancel mrs:job:get mrs:job:list MRS类型作业节点运行： MRS Presto SQL、MRS Spark、MRS Spark Python、MRS Flink Job、 MRS MapReduce MRS Spark SQL、MRS Hive SQL DLI dli:queue:submitJob dli:jobs:create dli:jobs:update dli:jobs:get dli:jobs:list dli:jobs:listAll DLI类型作业节点运行： DLI SQL、DLI Spark OBS obs:object:GetObject obs:object:PutObject obs:object:DeleteObject obs:bucket:GetBucketLocation obs:bucket:ListAllMyBuckets obs:bucket:ListBucket obs:bucket:ListBucketVersions obs:bucket:CreateBucket obs:bucket:DeleteBucket OBS类型作业节点运行： Create OBS、Delete OBS、OBS Manager DWS dws:cluster:list dws:cluster:getDetail dws:openAPICluster:getDetail 创建DWS数据连接 CDM cdm:cluster:get cdm:cluster:list cdm:job:operate 数据连接需要Agent的相关脚本、作业，以及CDM作业运行： RDS SQL、DWS SQL、Hive SQL、SPARK SQL、Shell、Python CES ces:metricData:list 运维概览，查询DLI队列CPU GES ges:graph:access ges:graph:operate ges:graph:list ges:graph:getDetail ges:metadata:create ges:metadata:operate ges:metadata:delete ges:metadata:list ges:metadata:getDetail ges:jobs:list ges:jobs:getDetail Import GES作业节点运行 ECS ecs:servers:list ecs:servers:get ecs:servers:stop ecs:servers:start ecs:cloudServers:list Open/Close Resource作业节点运行，创建主机连接 DLI dli:queue:submitJob dli:queue:cancelJob dli:group:useGroup dli:group:getGroup dli:group:updateGroup dli:group:deleteGroup dli:group:listAllGroup dli:database:createDatabase dli:database:dropDatabase dli:database:displayDatabase dli:database:displayAllDatabases dli:database:explain dli:database:createView dli:database:createTable dli:database:displayAllTables dli:database:createFunction dli:database:describeFunction dli:database:showFunctions dli:database:dropFunction dli:table:select dli:table:update dli:table:delete dli:table:dropTable dli:table:describeTable dli:table:showCreateTable dli:table:showPartitions dli:table:showSegments dli:table:showTableProperties dli:table:insertOverwriteTable dli:table:insertIntoTable dli:table:compaction dli:table:truncateTable dli:table:alterView dli:table:alterTableRename dli:table:alterTableAddColumns dli:table:alterTableDropColumns dli:table:alterTableChangeColumn dli:table:alterTableSetLocation dli:table:alterTableAddPartition dli:table:alterTableRenamePartition dli:table:alterTableSetProperties dli:table:alterTableRecoverPartition dli:table:alterTableDropPartition dli:column:select dli:jobs:create dli:jobs:delete dli:jobs:start dli:jobs:stop dli:jobs:update dli:jobs:export dli:jobs:get dli:jobs:list dli:jobs:listAll dli:resource:useResource dli:resource:updateResource dli:resource:deleteResource dli:resource:getResource dli:resource:listAllResource dli:variable:update dli:variable:delete DLI类型作业/脚本运行 IAM iam:agencies:listAgencies 获取作业委托 DIS DIS Operator DIS User DIS类型作业节点运行： DIS Stream、DIS Dump、DIS Client SWR SWR Admin 仅当在数据开发组件作业中使用DLI Spark节点选择 自定义镜像 时，需要 容器镜像服务 中的镜像读取权限。 推荐通过镜像授权管理，添加所需镜像的读取权限。不推荐直接为用户授予SWR Admin系统角色， 可能存在权限过大的风险。 数据目录 OBS obs:object:GetObject obs:bucket:GetBucketStorage obs:bucket:GetBucketLocation obs:bucket:ListAllMyBuckets obs:bucket:ListBucket OBS元数据采集 DIS dis:streams:list dis:transferTasks:list DIS元数据采集 CSS css:cluster:list CSS元数据采集 GES ges:graph:list ges:graph:getDetail ges:metadata:list ges:metadata:getDetail GES元数据采集 DLI dli:database:displayDatabase dli:database:displayAllDatabases dli:table:select dli:table:describeTable dli:table:showPartitions dli:table:showTableProperties dli:jobs:create dli:jobs:get DLI元数据采集&数据概要分析 CDM cdm:cluster:list CSS元数据采集 数据质量 SMN smn:topic:publish smn:topic:list 配置作业通知 OBS obs:object:GetObject obs:object:PutObject obs:bucket:GetBucketLocation obs:bucket:ListAllMyBuckets obs:bucket:ListBucket obs:bucket:CreateBucket 导出质量报告 MRS mrs:job:submit mrs:sql:execute mrs:sql:cancel mrs:job:get MRS质量作业运行 DLI dli:queue:submitJob dli:jobs:get dli:jobs:listAll DLI质量作业运行 数据安全 DLI dli:queue:submitJob dli:queue:cancelJob dli:database:displayDatabase dli:database:displayAllDatabases dli:database:displayAllTables dli:table:describeTable dli:jobs:create dli:jobs:stop dli:jobs:get dli:resource:deleteResource dli:resource:getResource dli:resource:listAllResource DLI权限管控 DWS dws:cluster:list dws:cluster:getDetail dws:openAPICluster:getDetail DWS权限管控 MRS mrs:cluster:list mrs:job:submit mrs:job:stop MRS权限管控 KMS kms:cmk:list kms:cmk:encrypt kms:cmk:decrypt 使用KMS加解密 CDM 任意cdm权限，例如cdm:cluster:get DWS和MRS权限管控 表3 开发者用户的依赖服务最小权限合集 权限类型 角色与策略权限-系统角色 角色与策略权限-自定义策略 角色与策略权限-自定义策略 是否必配 必配 必配 必配 权限 DIS Operator DIS User （可选，不推荐）SWR Admin 说明： 仅当在数据开发组件作业中使用DLI Spark节点选择自定义镜像时，需要容器 镜像服务 中的镜像读取权限。 推荐通过镜像授权管理，添加所需镜像的读取权限。不推荐直接为用户授予SWR Admin系统角色， 可能存在权限过大的风险。 依赖的全局级（global级）云服务的自定义策略DataArtsStudio_PermissionsOfDependentServices_global： { "Version": "1.1", "Statement": [ { "Effect": "Allow", "Action": [ "obs:object:GetObject", "obs:object:PutObject", "obs:object:DeleteObject", "obs:bucket:GetBucketStorage", "obs:bucket:GetBucketLocation", "obs:bucket:ListAllMyBuckets", "obs:bucket:ListBucket", "obs:bucket:ListBucketVersions", "obs:bucket:CreateBucket", "obs:bucket:DeleteBucket", "rms:resources:list", "iam:agencies:listAgencies" ] } ] } 依赖的项目级（region级）云服务的自定义策略DataArtsStudio_PermissionsOfDependentServices_region： { "Version": "1.1", "Statement": [ { "Effect": "Allow", "Action": [ "cdm:cluster:get", "cdm:cluster:list", "cdm:cluster:create", "cdm:link:operate", "cdm:job:operate", "ces:*:get", "ces:*:list", "cloudtable:*:get", "cloudtable:*:list", "css:*:get", "css:*:list", "dis:streams:list", "dis:transferTasks:list", "dli:queue:submitJob", "dli:queue:cancelJob", "dli:table:insertOverwriteTable", "dli:table:insertIntoTable", "dli:table:alterView", "dli:table:alterTableRename", "dli:table:compaction", "dli:table:truncateTable", "dli:table:alterTableDropColumns", "dli:table:alterTableSetProperties", "dli:table:alterTableChangeColumn", "dli:table:showSegments", "dli:table:alterTableRecoverPartition", "dli:table:dropTable", "dli:table:update", "dli:table:alterTableDropPartition", "dli:table:alterTableAddPartition", "dli:table:alterTableAddColumns", "dli:table:alterTableRenamePartition", "dli:table:delete", "dli:table:alterTableSetLocation", "dli:table:describeTable", "dli:table:showPartitions", "dli:table:showCreateTable", "dli:table:showTableProperties", "dli:table:select", "dli:resource:updateResource", "dli:resource:useResource", "dli:resource:getResource", "dli:resource:listAllResource", "dli:resource:deleteResource", "dli:database:explain", "dli:database:createDatabase", "dli:database:dropFunction", "dli:database:createFunction", "dli:database:displayAllDatabases", "dli:database:displayAllTables", "dli:database:displayDatabase", "dli:database:describeFunction", "dli:database:createView", "dli:database:createTable", "dli:database:showFunctions", "dli:database:dropDatabase", "dli:group:useGroup", "dli:group:updateGroup", "dli:group:listAllGroup", "dli:group:getGroup", "dli:group:deleteGroup", "dli:column:select", "dli:jobs:start", "dli:jobs:export", "dli:jobs:update", "dli:jobs:list", "dli:jobs:listAll", "dli:jobs:get", "dli:jobs:delete", "dli:jobs:create", "dli:jobs:stop", "dli:variable:update", "dli:variable:delete", "dws:cluster:list", "dws:cluster:getDetail", "dws:openAPICluster:getDetail", "ecs:servers:get", "ecs:servers:list", "ecs:servers:stop", "ecs:servers:start", "ecs:flavors:get", "ecs:cloudServerFlavors:get", "ecs:cloudServers:list", "ecs:availabilityZones:list", "ges:graph:access", "ges:metadata:create", "ges:jobs:list", "ges:graph:operate", "ges:jobs:getDetail", "ges:graph:getDetail", "ges:graph:list", "ges:metadata:list", "ges:metadata:getDetail", "ges:metadata:delete", "ges:metadata:operate", "kms:cmk:get", "kms:cmk:list", "kms:cmk:create", "kms:cmk:decrypt", "kms:cmk:encrypt", "kms:dek:create", "kms:dek:encrypt", "kms:dek:decrypt", "mrs:cluster:get", "mrs:cluster:list", "mrs:job:get", "mrs:job:list", "mrs:job:submit", "mrs:job:stop", "mrs:job:delete", "mrs:sql:execute", "mrs:sql:cancel", "rds:*:get", "rds:*:list", "smn:topic:publish", "smn:topic:list", "vpc:publicIps:list", "vpc:publicIps:get", "vpc:vpcs:get", "vpc:vpcs:list", "vpc:subnets:get", "vpc:securityGroups:get", "vpc:firewalls:list", "vpc:routeTables:list", "vpc:subNetworkInterfaces:list" ] } ] }

DataArts Studio权限 默认情况下，管理员创建的IAM用户没有任何权限，需要将其加入用户组，并给用户组授予策略或角色，才能使得用户组中的用户获得对应的权限，这一过程称为授权。授权后，用户就可以基于被授予的权限对云服务进行操作。 DataArts Studio部署时通过物理区域划分，为项目级服务。授权时，“作用范围”需要选择“区域级项目”，然后在指定区域对应的项目中设置相关权限，并且该权限仅对此项目生效；如果在“所有项目”中设置权限，则该权限在所有区域项目中都生效。访问DataArts Studio时，需要先切换至授权区域。 DataArts Studio仅支持基于系统角色的授权，不支持策略授权。为了实现精细的权限管控，DataArts Studio提供了系统角色+工作空间角色授权的能力，由工作空间角色授权具体的操作权限，并支持自定义不同权限点的工作空间角色。 IAM提供了以下两种授权机制。注意，DataArts Studio仅支持其中的IAM角色方式，不支持IAM策略。 IAM角色：IAM最初提供的一种根据用户的工作职能定义权限的粗粒度授权机制。该机制以服务为粒度，提供有限的服务相关角色用于授权。传统的IAM角色并不能满足用户对精细化授权的要求，无法完全达到企业对权限最小化的安全管控要求。 IAM策略：IAM最新提供的一种细粒度授权的能力，可以精确到具体服务的操作、资源以及请求条件等。基于策略的授权是一种更加灵活的授权方式，能够满足企业对权限最小化的安全管控要求。 如图1和表1所示，DataArts Studio的IAM系统角色包括DAYU Administrator和DAYU User；工作空间角色是基于IAM角色DAYU User进一步授予的，权限列表列出了DataArts Studio常用操作与工作空间角色的授权关系，您可以参照这些权限列表选择合适的角色。 图1 权限体系 表1 DataArts Studio系统角色 系统角色名称 描述 类别 DAYU Administrator 实例管理员，拥有对DataArts Studio实例及工作空间的所有管理权限、依赖服务权限，以及所有工作空间内的所有业务操作权限。 说明： Tenant Administrator具有除统一身份认证服务外，其他所有服务的所有执行权限。即Tenant Administrator权限的用户也拥有对DataArts Studio的所有执行权限。 系统角色 DAYU User 普通用户，具备DataArts Studio实例及工作空间的查看权限，以及依赖服务权限。普通用户需要被授予任一工作空间角色后，才能拥有对应角色的业务操作权限。 工作空间有管理员、开发者、部署者、运维者和访客五种预置角色和自定义角色，每种角色的介绍如下，具体操作权限请参见权限列表。 管理员：工作空间管理员，拥有工作空间内所有的业务操作权限。建议将项目负责人、开发责任人、运维管理员设置为管理员角色。 开发者：开发者拥有工作空间内创建、管理工作项的业务操作权限。建议将任务开发、任务处理的用户设置为开发者。 运维者：运维者具备工作空间内运维调度等业务的操作权限，但无法更改工作项及配置。建议将运维管理、状态监控的用户设置为运维者。 访客：访客可以查看工作空间内的数据，但无法操作业务。建议将只查看空间内容、不进行操作的用户设置为访客。 部署者：企业模式独有，具备工作空间内任务包发布的相关操作权限。在企业模式中，开发者提交脚本或作业版本后，系统会对应产生发布任务。开发者确认发包后，需要部署者审批通过，才能将修改后的作业同步到生产环境。 自定义角色：如果预置角色不能满足您的需求，您也可以创建自定义角色。自定义角色的权限可自由配置，实现业务操作权限最小化。 系统角色

为什么登录指令执行失败？ 登录指令执行失败有以下几种情况： 容器引擎未安装正确，报如下所示错误： “docker: command not found” 解决方法：重新安装容器引擎，安装方法请参见安装容器引擎。 由于容器镜像服务支持容器引擎1.11.2及以上版本上传镜像，建议下载对应版本。 安装容器引擎需要连接互联网，内网服务器需要绑定弹性公网IP后才能访问。 临时登录指令已过期或登录指令中区域项目名称、AK、登录密钥错误，报如下所示错误： “unauthorized: authentication required” 解决方法：登录容器镜像服务控制台，在左侧菜单栏选择“我的镜像”，单击右侧“客户端上传”获取登录指令。 获取临时的登录指令：单击“生成临时登录指令”，在弹出的页面中单击复制登录指令。 获取长期有效的登录指令：单击“如何获取长期有效登录指令”，具体方法请参见获取长期有效登录指令。 登录指令中镜像仓库地址错误，报如下所示错误： “Error llgging in to v2 endpoint, trying next endpoint: Get https://{{endpoint}}/v2/: dial tcp: lookup {{endpoint}} on xxx.xxx.xxx.xxx:53 : no such host” 解决方法： 修改登录指令中的镜像仓库地址。 镜像仓库地址格式 : swr.区域项目名称.myhuaweicloud.com，如“华北-北京四”对应的镜像仓库地址为swr.cn-north-4.myhuaweicloud.com。 获取临时的登录指令：方法请参见2。 x509: certificate has expired or is not yet valid 长期有效登录指令中AK/SK被删除导致，请使用有效的AK/SK生成登录指令。 x509: certificate signed by unknown authority 问题原因： 容器引擎客户端和SWR之间使用HTTPS的方式进行通信，客户端会对服务端的证书进行校验。如果服务端证书不是权威机构颁发的，则会报如下错误：x509: certificate signed by unknown authority 解决方法： 如果用户信赖服务端，跳过证书认证，那么可以手动配置Docker的启动参数，配置方法如下： CentOS： 修改“/etc/docker/daemon.json”文件（如果没有，可以手动创建），在该文件内添加如下内容： { "insecure-registries": ["{镜像仓库地址}"] } Ubuntu： 修改“/etc/default/docker”文件，在DOCKER_OPTS配置项中增加如下内容： DOCKER_OPTS="--insecure-registry {镜像仓库地址}" EulerOS： 修改“/etc/sysconfig/docker”文件，在INSECURE_REGISTRY配置项中增加如下内容： INSECURE_REGISTRY='--insecure-registry {镜像仓库地址}' 镜像仓库地址支持 域名 和IP形式。 域名：swr.区域项目名称.myhuaweicloud.com。例如“华北-北京四”的镜像仓库地址为：swr.cn-north-4.myhuaweicloud.com。 IP：可通过ping镜像仓库地址（域名形式）获取。 配置完成后，执行systemctl restart docker重启容器引擎。 denied: Authenticate Error 用户无编程访问权限，需要使用管理员账号登录IAM，修改用户访问方式。 denied: Not allow to login、upload or download image 用户大批量并发上传镜像或者攻击服务，系统把用户拉黑，用户无法登录和上传下载镜像。请在30分钟之后重新尝试或通过提工单的形式，由运维工程师进行处理。 父主题： 故障类

tag does not exist: xxxxxx或An image does not exist locally with the tag: xxxxxx 问题现象：使用客户端上传镜像，报如下所示错误： “tag does not exist: xxxxxx” 或 “An image does not exist locally with the tag: xxxxxx” 问题原因：上传的镜像或镜像版本不存在。 解决方法：通过docker images查看本地镜像，确认要上传的镜像名称及版本后，重新上传镜像。

name invalid: 'repository' is invalid 问题现象：使用客户端上传镜像，报如下所示错误： “name invalid: 'repository' is invalid” 问题原因：组织命名或镜像命名不规范。 解决方法：以下分别是组织名（namespace）和仓库名（repository）的命名正则表达式： namespace：^([a-z]+(?:(?:(?:_|__|[-]*)[a-z0-9]+)+)?)$，长度范围为：1-64； repository：^([a-z0-9]+(?:(?:(?:_|__|[-]*)[a-z0-9]+)+)?)$，长度范围为：1-128。 您可以按照上述命名规范，重新指定上传的组织和镜像名称。