数智融合计算服务-权限管理:角色与策略权限管理

时间：2025-02-12 15:01:14

数智融合计算服务

角色与策略权限管理

Fabric服务支持角色与策略授权。默认情况下，管理员创建的 IAM 用户没有任何权限，需要将其加入用户组，并给用户组授予策略或角色，才能使得用户组中的用户获得对应的权限，这一过程称为授权。授权后，用户就可以基于被授予的权限对云服务进行操作。

Fabric部署时通过物理区域划分，为项目级服务。授权时，“授权范围”需要选择“指定区域项目资源”，然后在指定区域（如华北-北京四）对应的项目（cn-north-4）中设置相关权限，并且该权限仅对此项目生效；如果“授权范围”选择“所有资源”，则该权限在所有区域项目中都生效。访问Fabric时，需要先切换至授权区域。

下表列出了Fabric所有的系统权限。

表2 Fabric系统权限
系统角色/策略名称	描述	类别	依赖关系
DataArtsFabricFullPolicy	Fabric服务的所有权限。	系统策略	IAM Agency Management FullAccess OBS OperateAccess LakeFormation ReadOnlyAccess
DataArtsFabricConsoleFullPolicy	在控制台页面使用Fabric服务的所有权限，包含DataArtsFabricFullPolicy的全部权限，以及部分在控制台页面需要的权限。	系统策略	IAM Agency Management FullAccess OBS OperateAccess LakeFormation ReadOnlyAccess
DataArtsFabricReadOnlyPolicy	Fabric服务的只读访问权限。	系统策略	LakeFormation ReadOnlyAccess

下表列出了Fabric常用操作与系统权限的授权关系，您可以参照该表选择合适的系统权限。

表3 Fabric常用操作与系统权限的授权关系
操作	DataArtsFabricConsoleFullPolicy	DataArtsFabricFullPolicy	DataArtsFabricReadOnlyPolicy
查询Workspace列表	√	√	√
创建Workspace	√	√	×
修改Workspace	√	√	×
修改Workspace监控配置	√	√	×
删除Workspace	√	√	×
查询计算资源	√	√	√
创建计算资源	√	√	×
修改计算资源	√	√	×
删除计算资源	√	√	×
查询Workspace的Endpoint列表	√	√	√
创建Workspace的Endpoint	√	√	×
查询Workspace的Endpoint详情	√	√	√
修改Workspace的Endpoint	√	√	×
删除Workspace的Endpoint	√	√	×
查询作业列表	√	√	√
创建作业	√	√	×
查询作业	√	√	√
修改作业	√	√	×
删除作业	√	√	×
查询服务列表	√	√	√
创建服务	√	√	×
修改服务	√	√	×
查询服务	√	√	√
删除服务	√	√	×
创建模型	√	√	×
查询模型列表	√	√	√
查询模型	√	√	√
删除模型	√	√	×
修改模型	√	√	×
创建标签	√	√	×
删除标签	√	√	×
获取标签列表	√	√	√
查询指定资源标签	√	√	√
标签查询资源列表	√	√	√
创建消息通知策略	√	√	×
查询消息通知策略列表	√	√	√
删除消息通知策略	√	√	×
查询运行作业列表	√	√	√
运行作业	√	√	×
查询运行作业	√	√	√
删除运行作业	√	√	×
取消运行作业	√	√	×
调用推理服务实例	√	√	×
查询路由列表	√	√	√
查询Session信息	√	√	√
订阅公共端点	√	√	×