正在生成
详细信息:
检测到您已登录华为云国际站账号,为了您更好的体验,建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
身份认证与访问控制 身份认证 Console界面本租户IAM用户访问LakeFormation。 LakeFormation针对界面下发的HTTPS请求中IAM Token进行认证,识别出租户、IAM用户等身份。认证失败则拒绝请求。
权限及授权项说明 如果您需要对您所拥有的LakeFormation进行精细的权限管理,您可以使用统一身份认证服务(Identity and Access Management,简称IAM),如果华为云账号已经能满足您的要求,不需要创建独立的IAM用户,您可以跳过本章节,不影响您使用
在进行授权前,需确认待授权主体已存在,例如IAM用户组已提前创建。
什么是项目 云的每个区域默认对应一个项目,这个项目由系统预置,用来隔离物理区域间的资源(计算资源、存储资源和网络资源),以区域默认单位为项目进行授权,IAM用户可以访问您帐号中该区域的所有资源。
如果账号已经能满足您的要求,不需要创建独立的IAM用户,您可以跳过本章节。 本章节为您介绍对用户授权的方法,操作流程如图1所示。 前提条件 给用户组授权之前,可参考LakeFormation服务权限了解用户组可以添加的LakeFormation权限,并结合实际需求进行选择。
约束与限制 IAM用户组被删除后,LakeFormation云服务数据权限中的相关权限策略,需要用户手动清理删除。 建库时路径不能为所在Catalog父路径或相同路径,不能为同一Catalog下其他数据库(除default外)路径的父路径、子路径或相同路径。
用户可通过LakeFormation管理控制台对数据湖内的资源进行统一权限管理,对于IAM用户/用户组,也可以通过关联LakeFormation服务的细粒度权限策略进行特性权限场景的授权,参见创建LakeFormation自定义IAM策略。
如果迁移类型为DLF,其对应关系及迁移策略如下: RAM用户:IAM用户(如果对应的IAM用户不存在,该权限策略不进行迁移) RAM角色:IAM用户组(如果对应的IAM用户组不存在,该权限策略不进行迁移) DLF角色:LakeFormation角色(不存在会自动创建) 如果迁移类型为
该服务提供用户身份认证、权限分配、访问控制等功能,可以帮助您安全的控制华为云资源的访问。 通过IAM,您可以在华为云账号中给员工创建IAM用户,并授权控制其对华为云资源的访问范围。
用户(USER):华为云IAM用户 用户组(GROUP):华为云IAM用户组 角色(ROLE):LakeFormation角色 授权对象 LakeFormation中管理的元数据对象,包含Catalog、Database、Table等数据资源,如某一数据库、某些数据表的列等。
2022年11月 序号 功能名称 功能描述 阶段 相关文档 1 LakeFormation公测上线 支持基于IAM用户组统一授权管理。 元数据统一,支持与MRS集群Hive和Spark对接。 商用 LakeFormation使用流程简介
MRS对接LakeFormation后,权限策略约束限制: 通过LakeFormation授权仅支持将LakeFormation角色作为授权主体,不支持IAM用户或IAM用户组作为授权主体。
表1 LakeFormation服务与其他服务的关系 服务名称 LakeFormation服务与其他服务的关系 统一身份认证(Identity and Access Management,IAM) 通过IAM完成对IAM用户或委托的身份认证以及部分访问控制。
在“角色”页面,选择“操作”列的“添加IAM用户”或“添加委托用户”,选择绑定的角色名称勾选需要绑定的用户,单击“确定”。 也可以在左侧导航栏选择“数据权限 > 用户”,在待绑定角色的用户所在行“操作”列单击“加入角色”,选择绑定的角色名称,单击“确定”。
目前华为云支持以下两种方式创建自定义策略: 可视化视图创建自定义策略:无需了解策略语法,按可视化视图导航栏选择云服务、操作、资源、条件等策略内容,可自动生成策略。
自定义用户信息获取类 用户信息获取类(AuthenticationManager)用于获取当前访问LakeFormation的用户,可能为IAM用户或本地LDAP用户。默认用户信息获取类通过UserGroupInformation.getCurrentUser()获取当前用户。
com.huawei.cloud.dalf.lakecat.examples.LakeFormationExampleIdentityGenerator</value> </property> 自定义用户信息获取类 用户信息获取类(AuthenticationManager)用于获取当前访问LakeFormation的用户,可能为IAM
表18 RangerPermissionMigrationPrincipalRelas 参数 参数类型 描述 user_to String user转换对象, IAM_USER为iam用户, IAM_GROUP为iam群组, ROLE为角色。
表18 RangerPermissionMigrationPrincipalRelas 参数 参数类型 描述 user_to String user转换对象, IAM_USER为iam用户, IAM_GROUP为iam群组, ROLE为角色。
用户组管理 获取租户的用户组 父主题: LakeCat