云服务器内容精选

华为云首页用户手册

统一权限治理

数据治理中心 DATAARTS STUDIO-准备工作2：使用前检查checklist:查看DWS集群guest agent版本

查看DWS集群guest agent版本登录GaussDB(DWS) 管理控制台，进入“集群管理”，在集群列表中找到所需要的集群。按下F12，打开开发者调试工具，然后选择Network功能。图1 选择Network 在DWS控制台中，单击待查看的DWS集群名称，进入集群“基本信息”页面。然后在开发者调试工具的Network请求中，寻找Name形如“clusters?type=xxxxxx”的长字符串并单击，在右侧区域中选择“Preview”，依次展开字段，查找“guest_agent_version”字段，其值即为DWS集群的guest agent版本。图2 查找“guest_agent_version”字段如果非所需版本，请联系DWS服务客服或技术支持人员。

数据治理中心 DATAARTS STUDIO 统一权限治理
数据治理中心 DATAARTS STUDIO-准备工作2：使用前检查checklist:使用前检查checklist

使用前检查checklist 表1 使用前检查checklist 检查项是否必选检查内容配置指导数据连接Agent版本 MRS/DWS权限管理时必选 CDM集群为2.10.0.300及以上版本。登录CDM管理控制台，进入“集群管理”，在集群列表中找到所需要的集群，然后单击集群名称，进入集群“基本信息”页面查看集群版本号。如果非所需版本，请创建最新版本CDM集群或联系客服或技术支持人员。 Ranger组件配置 MRS权限管理时必选 MRS非安全集群Ranger组件开启同步ldap用户功能。 MRS非安全集群，由于Ranger组件默认同步unix用户, 不会同步Manager上的用户/用户组/角色，因此需要切换用户同步策略。操作详情请参考配置Ranger组件。 Ranger连接用户权限连接中的用户具备Ranger组件Admin权限。 Ranger连接中的用户需要具备Ranger组件Admin权限，操作详情请参考准备Ranger Admin用户。 DWS集群guest_agent版本 DWS权限管理时必选 DWS集群guest_agent版本为8.2.1，或在8.2.1以上、9.0.0以下 DWS集群guest agent版本号需要通过开发者调试工具查看，操作详情请参考查看DWS集群guest agent版本。 DWS连接用户权限非三权分立模式，连接中的用户至少需具备数据库dbadmin权限，三权分立模式，连接中的用户需具备系统管理员权限。非三权分立模式，参考数据库用户设置dbadmin管理员用户。三权分立模式，参考设置三权分立设置系统管理员用户。

数据治理中心 DATAARTS STUDIO 统一权限治理
数据治理中心 DATAARTS STUDIO-配置权限集:相关操作

相关操作同步权限集：权限集需要同步到数据源中权限管控才能生效。但由于角色管理基于权限集提供了更加直观、强大的权限管控能力，因此一般无需同步权限集，实际使用中推荐通过配置角色进行权限管控。如需同步权限集，则在权限集页面，单击列表中对应权限集操作栏中的“同步”，即可将权限集同步至数据源。当需要批量同步时，可以在勾选权限集后，在列表上方单击“同步”。编辑权限集：在权限集页面，单击列表中对应权限集操作栏中的“编辑”，即可修改权限集名称、管理员、描述信息。删除权限集：在权限集页面，单击列表中对应权限集操作栏中的“删除”，即可删除权限集。当需要批量删除时，可以在勾选权限集后，在列表上方单击“删除”。注意，已配置权限、用户或有子权限集的权限集不可删除。如需删除应先清理权限集的相关配置。删除操作无法撤销，请谨慎操作。

数据治理中心 DATAARTS STUDIO 统一权限治理
数据治理中心 DATAARTS STUDIO-配置权限集:配置权限集

配置权限集在DataArts Studio控制台首页，选择实例，单击“进入控制台”，选择对应工作空间的“数据安全”模块，进入数据安全页面。图4 选择数据安全单击数据安全左侧导航树中的“权限集”，进入权限集页面。在“权限集”页面，找到需要配置的权限集，单击权限集名称进入详情页面。图5 进入权限集详情基本信息：在权限集详情页面，基本信息区域可以查看权限集名称、ID、管理员等信息，详见图6。图6 权限集基本信息权限配置：在权限集详情页面，权限配置页签默认展示数据视角，可手动切换到权限视角。在这两种视角下，配置的权限数据是互通的，差异仅为展示视角的不同，推荐您使用权限视角进行批量授权。数据视角：数据视角下，系统从数据的角度为您提供权限配置入口（当前仅支持MRS数据源）。在授权时可选的数据范围为父权限集中已授权的数据。图7 数据视角权限配置配置权限时，您可以选择“整库”、“整表”或“整列”等层级，然后在数据源信息中勾选对应层级，进行批量授权。另外，也可以在展开的导航树中，单击对应数据操作列中的“授权”，进行单一授权。数据视图授权时，系统也提供了“快速模式”和“显示无权限的数据”功能。开启快速模式的情况下，库表列的元数据会从数据目录获取，否则会从数据源获取元数据。已完成元数据采集的场景下推荐开启快速模式。值得注意的是，库、表、列的权限是分层管理的，例如仅授予库权限后，则被授权用户对表和列依然是无权限的，如需对表或列授权，要再次按照对应层级进行授权。例如，选择数据库授权，当手动填写数据表表名、或者填写“*”作为通配符（当前仅DWS数据源的库/schema/表不支持填写“*”作为通配符）时，此授权实际为对表进行授权；当手动填写数据列名、或者填写“*”作为通配符时，此授权实际为对列进行授权。进行授权时，授权对象名（库表列名）当前仅支持包含数字、英文、下划线、中划线和通配符*，暂不支持中文以及其他特殊字符。图8 数据视角授权权限视角：权限视角下，系统从权限的角度为您提供权限配置入口。在授权时可选的数据范围为父权限集中已授权的数据。配置权限时，您需要直接单击“新建”，然后依次选择数据层级，进行权限配置。在权限视角下，同一层级（例如数据库、数据表或数据列）不允许选择多个对象进行批量授权。当前权限类型暂不支持选择为“禁止”。值得注意的是，库、表、列的权限是分层管理的，例如仅授予库权限后，则被授权用户对表和列依然是无权限的，如需对表或列授权，要再次按照对应层级进行授权。例如，选择数据库授权，当手动填写数据表表名、或者填写“*”作为通配符（当前仅DWS数据源的库/schema/表不支持填写“*”作为通配符）时，此授权实际为对表进行授权；当手动填写数据列名、或者填写“*”作为通配符时，此授权实际为对列进行授权。进行授权时，授权对象名（库表列名）当前仅支持包含数字、英文、下划线、中划线和通配符*，暂不支持中文以及其他特殊字符。配置权限后，在权限视角下支持您对所配置的权限进行编辑、同步或删除等操作。图9 权限视角权限配置用户配置：在权限集详情页面，单击“用户配置”进入用户配置页签。用户配置的含义即为将权限配置中定义的数据权限，与此处的用户绑定起来。您可以单击“添加”，按照用户或用户组（当前暂不支持选择“工作空间角色”）的维度将用户添加到权限集中。其中的用户和用户组来自于当前工作空间中已添加的用户和用户组。图10 用户配置子权限集：在权限集详情页面，单击“子权限集”进入子权限集页签。在子权限集页签，您可以查看到当前权限集下的子权限集。图11 查看子权限集日志：在权限集详情页面，单击“日志”进入日志页签。在日志页签，当权限同步失败后，您可以查看到日志详情。系统每天0点定时删除30天前的日志。图12 查看日志权限集配置完成后，并不会直接生效。需要您将权限集手动同步到数据源中，同步成功后权限管控才能生效，详见同步权限集。但由于角色管理基于权限集提供了更加直观、强大的权限管控能力，因此一般无需同步空间权限集，实际使用中推荐通过配置角色进行权限管控。

数据治理中心 DATAARTS STUDIO 统一权限治理
数据治理中心 DATAARTS STUDIO-配置权限集:约束与限制

约束与限制 DAYU Administrator、Tenant Administrator、数据安全管理员和父权限集管理员可以创建、修改或同步权限集，权限集管理员支持同步空间权限集，其他普通用户无权限操作。当前通过权限集管控权限时，仅支持DLI、MRS Hive和DWS数据源。权限集权限配置中，特殊情况下可能会出现子权限集权限超出父权限集范围的情况。例如当子权限集已配置某条权限记录后，父权限集中再删除此权限，会导致出现此情况，当前不支持级联删除权限。权限集配置完成后，权限管控并不会直接生效，而是需要将权限集手动同步到数据源后，权限管控才能生效。由于角色管理基于权限集提供了更加直观、强大的权限管控能力，因此除DLI数据源外，一般无需同步权限集，实际使用中推荐通过配置角色进行权限管控。如果需要同步，则需注意以下限制：进行授权时，授权对象名（库表列名）当前仅支持包含数字、英文、下划线、中划线和通配符*，暂不支持中文以及其他特殊字符。 DWS权限集授权时，只支持配置到具体的某一个存在的库/schema/表，不支持填写“*”作为通配符。对于列则支持通配符，若要对表里所有列进行授权，可将列填写为“*”。 DLI权限集同步时会将权限由IAM创建自定义策略绑定到用户/用户组中。IAM最多可创建自定义策略200条，同步前请确保配额充足。进行权限同步时，需要为dlg_agency委托配置相关权限，请参考准备工作1：授权dlg_agency委托。当前数据权限管控为白名单机制，是在待授权用户原有权限的基础上增加允许操作条件，不会影响用户的原有权限。如果仅需要当前数据权限管控所赋予的权限生效，则需要您手动去除待授权用户的原有权限。详见数据权限管控说明。默认在DataArts Studio数据开发组件执行脚本、测试运行作业时，数据源（此处指MRS/DWS数据源）会使用数据连接上的账号进行认证鉴权。因此在数据开发时，权限管控依然无法生效。需要您启用权限应用，使得在数据开发执行脚本、测试运行作业时，使用当前用户身份认证鉴权，从而做到实现不同用户具有不同的数据权限，使角色/权限集中的权限管控生效。

数据治理中心 DATAARTS STUDIO 统一权限治理
数据治理中心 DATAARTS STUDIO-配置权限集:创建权限集

创建权限集在DataArts Studio控制台首页，选择实例，单击“进入控制台”，选择对应工作空间的“数据安全”模块，进入数据安全页面。图1 选择数据安全单击数据安全左侧导航树中的“权限集”，进入权限集页面。在“权限集”页面单击“新建”，创建权限集。图2 创建权限集新建权限集配置请参考表1，参数配置完成单击“确定”即可。表1 参数设置参数名参数设置 *权限集名称标识权限集，实例下唯一。建议名称中包含含义，避免无意义的描述，以便于快速识别所需权限集。 *父权限集选择对应的父权限集，父权限集可以是空间权限集或其他权限集。注意选择父权限集后，当前权限集的权限也为其父权限集的子集。 *管理员管理员为当前权限集的负责人，具有配置当前权限集内权限的能力。管理员职能范围：权限配置：为权限集分配数据源权限。用户配置：将当前集合内权限分配给用户、用户组或工作空间角色。创建权限集：基于当前权限集新建权限集和角色，新建权限集的权限不会大于当前权限集。描述为更好地识别权限集，此处加以描述信息。图3 创建权限集配置

数据治理中心 DATAARTS STUDIO 统一权限治理