MaxCompute訪問控制整體架構是怎樣的

基本術語

• project：項目空間，MaxCompute提供給用戶自助管理的基本單元。

• 訪問控制：檢查一個請求是否可信并合法。

• ACL：訪問控制列表，一種授權的表達方式。

• Policy：基于規則的一種授權表達方式。

• Role：權限的集合，用于實現基于角色的權限管理方式。

• LabelSecurity：基于標簽的訪問控制，用于實現列級別的權限管理。

• ProjectProtection：項目空間保護，用于開啟數據流向訪問控制。

• TruestedProject：信任的項目空間，用于項目空間數據流向訪問控制授權。

• ExceptionPolicy：項目空間保護機制的例外情況的一種描述，項目空間數據流向訪問控制授權。

• Package：項目空間之間資源分享的媒介。

MaxCompute訪問控制整體架構

• 身份認證：訪問MaxCompute首先需要進行身份認證。

• 請求源檢查(IP白名單)：檢查提交訪問請求的IP，確保該IP在IP白名單內，方可訪問MaxCompute。

• 項目空間狀態檢查：常用于運營或運維，假設MaxCompute欠費導致項目凍結，此時任何請求都不能傳遞至MaxCompute。

• LabelSecurity檢查：列級別敏感數據的訪問控制。

• Role/Policy/ACL：最后進行對角色的權限檢查，以及Policy和ACL權限檢查。

DataWorks權限管理與MaxCompute權限管理