检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
DEFAULT：默认权限策略。 ROW_FILTER：行过滤权限策略，包含行过滤条件。 授权主体 被授权的主体名称。 主体类型 被授权的主体类型。“GROUP”为用户组，“ROLE”为角色、“USER”为用户。 主体来源 被授权的主体来源。“IAM”表示来自IAM（用户、用户组），“LOCAL”表示来自
例界面，针对该实例下的所有Catalog、Database、Table等数据资源，授予用户组等主体细粒度的数据访问权限。 经过以上授权操作，形成一条或多条权限策略，权限策略包含授权主体、授权对象、权限、授权权限等。 表1介绍了不同元数据类型的LakeFormation权限： 表1
同时支持IAM项目和企业项目，表示此授权项对应的自定义策略，可以在IAM和企业管理两个服务中给用户组授权并生效。如果仅支持IAM项目，不支持企业项目，表示仅能在IAM中给用户组授权并生效，如果在企业管理中授权，则该自定义策略不生效。关于IAM项目与企业项目的区别，详情请参见：IAM与企业管理的区别。
新增授权 用户可通过LakeFormation管理控制台对数据湖内的资源进行统一权限管理，针对不同的授权主体进行授权。 在进行授权前，需确认待授权主体已存在，例如IAM用户组已提前创建。 用户可通过LakeFormation管理控制台对数据湖内的资源进行统一权限管理，对于IAM用
[数组元素] 是 Array of Principal objects 主体列表。最小元素数为1，最大元素数为100。 表4 Principal 参数 是否必选 参数类型 描述 principal_type 是 String 主体类型： USER-用户、 GROUP-组、 ROLE-角色、 SHARE-共享、
[数组元素] 是 Array of Principal objects 主体列表。最小元素数为1，最大元素数为100。 表4 Principal 参数 是否必选 参数类型 描述 principal_type 是 String 主体类型： USER-用户、 GROUP-组、 ROLE-角色、 SHARE-共享、
[数组元素] 是 Array of Principal objects 主体列表。最小元素数为1，最大元素数为100。 表4 Principal 参数 是否必选 参数类型 描述 principal_type 是 String 主体类型： USER-用户、 GROUP-组、 ROLE-角色、 SHARE-共享、
元数据基于Hive元数据模型，支持Catalog、数据库、表、函数等元数据对象。 数据权限管理提供权限策略的配置和对应的权限访问控制。 授权主体支持IAM用户和用户组以及LakeFormation角色。 授权对象支持Catalog、数据库、表及列、函数等元数据对象，也支持OBS并行文件系统路径。
使用LakeFormation权限，向各个主体（包括用户、用户组、角色等）授予对于元数据、OBS路径以及其中的数据的访问权限。 IAM权限模型由IAM策略组成。LakeFormation权限模型使用LakeFormation定义的权限主体、授权对象、权限组成，详细介绍请参考基本概念。
本章节介绍IAM服务基于策略授权场景中自定义策略和组织服务中SCP使用的元素，这些元素包含了操作（Action）、资源（Resource）和条件（Condition）。 操作（Action） 操作（Action）即为策略中支持的操作项。 “访问级别”列描述如何对操作进行分类（list、read和write等）。
予用户组等主体细粒度的数据访问权限。 经过以上授权操作，形成一条或多条权限策略。 权限策略包含授权主体、授权对象、权限、授权权限，支持取消本条权限策略的操作。 授权主体 使其具备针对某数据资源的指定访问权限的用户/用户组/角色等身份，如某一用户组、某一角色等。 授权主体类型包括“
“权限策略类型”选择“DLF”时配置该参数。 授权主体转换关系 手动指定对应的权限策略的授权主体的转换关系，前、后缀值会为最终授权主体名称添加对应的前缀、后缀。 需要分别配置“用户转换对象”、“用户组转换对象”、“角色转换对象”，及其“前缀”和“后缀”。建议非IAM用户、非IAM用户组授权主体转换为角色。 “权
源的权限。 云服务授权操作 使用注册华为云账号创建的用户登录管理控制台。 在服务列表中选择“大数据 > 湖仓构建 LakeFormation”，进入“服务授权”页面。 IAM ReadOnlyAccess：实例运行的过程中需要有获取用户的用户组和用户信息的权限。 OBS Oper
ble，包含基本信息、格式与序列化信息、字段信息、属性信息，支持创建、修改、删除以及授权和查看权限等操作。 函数（Function） 在SQL查询中使用函数对数据进行特定处理，包括内置函数和用户自定义函数UDF。 分区（Partition） 分区是对数据表按照行维度进行分割，目的
MRS对接LakeFormation后，权限策略约束限制： 通过LakeFormation授权仅支持将LakeFormation角色作为授权主体，不支持IAM用户或IAM用户组作为授权主体。 PolicySync进程不会修改集群内RangerAdmin Hive模块的默认策略，默认策略仍然生效。 Pol
符。 表2 Query参数 参数 是否必选 参数类型 描述 principal_pattern 否 String 模糊匹配主体名称。只能包含中文、字母、数字和_|*.-特殊字符，且长度为1~49个字符。 limit 否 Integer 查询返回条数。默认值为100。最小值为1，最大值为1000。
数据列（Column） 函数（Function） OBS路径。 操作类型 主体对授权类型的访问权限，不同授权类型支持的操作类型各不相同，可参见表2。 赋予授权权限 是否赋予授权权限，赋予授权权限后，授权主体便可以将拥有将权限授权给其他授权主体。 表2 不同授权类型的操作权限 授权类型 操作类型 权限说明
小时”）并配置对应参数。 主体类型 （可选）选择了主体后将默认为主体赋予数据存储位置的读权限。 可选择为“用户组”、“角色”、“IAM用户”、“委托用户”，并选择具体授权的主体。 如果选择的授权主体名称中带有中划线，此功能可能有失败风险。 如果需要对主体授予写权限，可勾选“赋予写权限”。
String 终端节点服务名称。最大长度为64个字符。 domain 否 String 接入域名，通过IP接入访问Lakeformation API时，需在请求头中添加HOST参数并传入该域名。 响应参数 状态码： 202 表5 响应Body参数 参数 参数类型 描述 id String
AccessRequest objects 主体信息。 表4 AccessRequest 参数 是否必选 参数类型 描述 resource 是 ResourceInput object 资源信息。 principal 是 Array of Principal objects 授权主体信息。 action
长按/截图保存，微信识别二维码
或者关注公众号“华为云”
