湖仓构建 LAKEFORMATION-数据权限概述

时间：2024-01-05 15:42:56

湖仓构建 LAKEFORMATION 管理数据权限

数据权限概述

数据湖权限支持配置数据库、数据表、函数等维度的权限。

用户自定义创建的Catalog对象及其子元数据对象，暂不支持授权和细粒度权限控制。

云服务管理员可针对不同的管理对象配置不同IAM用户组的权限，统一对数据湖资源进行管理。

用户可通过LakeFormation管理控制台对数据湖内的资源进行统一权限管理，对于IAM用户/用户组，也可以通过关联LakeFormation服务的细粒度权限策略进行特性权限场景的授权，参见创建LakeFormation自定义IAM策略。当湖内数据资源较多时，建议通过LakeFormation管理控制台对数据湖内的资源进行统一权限管理。

LakeFormation配置权限时需要包含如下要素：

表1 LakeFormation权限要素
权限要素	描述
授权主体	被授予权限的对象，使其具备针对某数据资源的指定访问权限的用户/用户组/角色等身份，如某一用户组、某一角色等。授权主体（用户、用户组、角色）名称中不能包含中划线（-），否则可能造成操作失败。
授权类型	数据湖中管理的资源：数据目录（Catalog）数据库（Database）数据表（Table）数据列（Column）函数（Function） OBS路径。
授权权限	主体对授权类型的访问权限，不同授权类型支持的访问方式各不相同，可参见表2。

表2 不同授权类型的操作权限
授权类型	操作类型	权限说明
Catalog	ALL	Catalog的所有操作权限。
	ALTER	修改Catalog。
	CREATE_DATABASE	创建数据库。
	DROP	删除Catalog。
	DESCRIBE	查看Catalog的元数据信息或切换Catalog。
	LIST_DATABASE	查看Catalog下资源列表。
数据库	ALL	数据库的所有操作权限。
	ALTER	修改数据库。
	DROP	删除数据库。
	DESCRIBE	查看数据库的元数据信息或切换数据库。
	LIST_TABLE	查看数据库下资源列表。
	LIST_FUNC	查看某一数据库下的函数。
	CREATE_TABLE	在数据库中创建表。
	CREATE_FUNC	在数据库中创建函数。
表	ALL	表的所有操作权限。
	ALTER	修改表。
	DROP	删除表。
	DESCRIBE	查看表的元数据信息。
	UPDATE	更新表数据。
	INSERT	插入表数据。
	SELECT	查询表内数据。
	DELETE	删除表的数据。
列	SELECT	查询表内的列数据。
函数	ALL	函数的所有操作权限。
	ALTER	修改函数。
	DROP	删除函数。
	DESCRIBE	查看函数的元数据信息。
	EXEC	执行函数。
路径	READ	路径下文件的读权限。
路径	WRITE	路径下文件的写权限。