权限及授权项说明

权限体系说明

如果您需要对您所拥有的DataArts Studio进行精细的权限管理，您可以使用统一身份认证服务（Identity and Access Management，简称IAM），如果华为账号账号所具备的权限功能已经能满足您的要求，您可以跳过本章节，不影响您使用DataArts Studio服务的其他功能。

通过IAM，您可以通过授权控制主体（IAM用户、用户组、IAM委托或信任委托）对华为云云服务资源的访问范围。目前IAM支持两类授权，一类是角色与策略授权，另一类为身份策略授权。

两者有如下的区别和关系：

表1 两类授权的区别
名称	核心关系	涉及的权限	授权方式	适用场景
角色与策略授权	用户-权限-授权范围	系统角色系统策略自定义策略说明： DataArts Studio支持角色与策略授权中的系统角色（DAYU Administrator、DAYU User和DataArts Studio User），但不支持其中的系统策略和自定义策略。	为主体授予角色或策略	核心关系为“用户-权限-授权范围”，每个用户根据所需权限和所需授权范围进行授权，无法直接给用户授权，需要维护更多的用户组，且支持的条件键较少，难以满足细粒度精确权限控制需求，更适用于对细粒度权限管控要求较低的中小企业用户。
身份策略授权	用户-策略	系统策略自定义身份策略	为主体授予身份策略身份策略附加至主体	核心关系为“用户-策略”，管理员可根据业务需求定制不同的访问控制策略，能够做到更细粒度更灵活的权限控制，新增资源时，对比角色与策略授权，基于身份策略的授权模型可以更快速地直接给用户授权，灵活性更强，更方便，但相对应的，整体权限管控模型构建更加复杂，对相关人员专业能力要求更高，因此更适用于中大型企业。

例如：如果需要对IAM用户授予可以创建华北-北京四区域的ECS和华南-广州区域的OBS的权限，基于角色与策略授权的场景中，管理员需要创建两个自定义策略，并且为IAM用户同时授予这两个自定义策略才可以实现权限控制。在基于身份策略授权的场景中，管理员仅需要创建一个自定义身份策略，在身份策略中通过条件键“g:RequestedRegion”的配置即可达到身份策略对于授权区域的控制。将身份策略附加主体或为主体授予该身份策略即可获得相应权限，权限配置方式更细粒度更灵活。

DataArts Studio限体系如图1所示，支持角色与策略授权和身份策略授权两种授权模型，但不支持角色与策略授权模型下的系统策略和自定义策略方式。两种授权模型下的策略/身份策略、授权项等并不互通，对比如图2所示，推荐您使用身份策略授权（ABAC）方式，可以实现细粒度授权并确保授予最小化权限。具体授权方法请参见创建IAM用户并授予DataArts Studio权限。

当为某IAM用户同时配置角色与策略权限（DAYU Administrator、DAYU User或DataArts Studio User系统角色）和身份策略权限（DataArtsStudioFullAccessPolicy、DataArtsStudioOperatorPolicy、DataArtsStudioReadOnlyPolicy系统策略或自定义身份策略）时，出于兼容性考虑，此IAM用户最终所拥有的权限如下：

如果二者配置的权限中存在拒绝（deny）授权项，则拒绝策略优先生效。
对于二者配置的权限中的允许（allow）授权项，则允许策略取二者并集。

图1 权限体系

图2 两种授权模型对比

API调用权限说明

账号下的IAM用户发起API请求时，该IAM用户必须具备调用该接口所需的权限，否则，API请求将调用失败。

表2 API调用权限说明
授权方式	权限要求	授权内容	举例
角色与策略授权	必须具备接口对应操作所需的相关角色权限（DataArts Studio不支持角色与策略授权模型下的系统策略和自定义策略方式）时，才能成功调用该接口。	相关角色权限可以配置为如下方式之一： DAYU Administrator：实例管理员，拥有对DataArts Studio实例及工作空间的所有管理权限、依赖服务权限，以及所有工作空间内的所有业务操作权限。 DAYU User+工作空间角色：普通用户，具备DataArts Studio实例及工作空间的查看权限，以及依赖服务权限。普通用户需要被授予任一工作空间角色后，才能拥有对应角色的业务操作权限。工作空间有管理员、开发者、部署者、运维者和访客五种预置角色和自定义角色，每种角色的具体操作权限请参见权限列表章节。 DataArts Studio User+工作空间角色+依赖服务权限：普通用户，具备DataArts Studio实例及工作空间的查看权限，但不具备依赖服务权限。普通用户需要被授予依赖服务权限+任一工作空间角色后，才能拥有对应角色的业务操作权限。工作空间有管理员、开发者、部署者、运维者和访客五种预置角色和自定义角色，每种角色的具体操作权限请参见权限列表章节。	例如，IAM用户要调用接口来查询DataArts Studio实例列表，在角色与策略授权的场景中，只有当用户被授予DAYU Administrator、DAYU User或DataArts Studio User角色之一时，该接口才能调用成功。
身份策略授权	必须具备接口对应所需的相关系统策略权限，或在调用某些接口时具备授权项所对应的策略，才能成功调用该接口。	相关系统策略权限可以配置为如下方式之一： DataArtsStudioFullAccessPolicy+工作空间角色+依赖服务权限：拥有对DataArts Studio实例及工作空间的所有管理权限，在被授予任一工作空间角色和依赖服务权限后，才拥有对应角色的业务操作权限，并正常进行业务操作。每种角色的具体操作权限请参见权限列表章节。 DataArtsStudioOperatorPolicy+工作空间角色+依赖服务权限：拥有对DataArts Studio实例及工作空间的普通操作权限，在被授予任一工作空间角色和依赖服务权限后，才拥有对应角色的业务操作权限，并正常进行业务操作。每种角色的具体操作权限请参见权限列表章节。 DataArtsStudioReadOnlyPolicy+工作空间角色+依赖服务权限：拥有对DataArts Studio实例及工作空间的查看权限，在被授予任一工作空间角色和依赖服务权限后，才拥有对应角色的业务操作权限，并正常进行业务操作。每种角色的具体操作权限请参见权限列表章节。	例如，IAM用户要调用接口来查询DataArts Studio实例列表，在身份策略授权的场景中，只有当用户被授予DataArtsStudioFullAccessPolicy系统策略，或自定义策略中包含“DataArtsStudio:instance:list”授权项时，该接口才能调用成功。
身份策略授权	必须具备接口对应所需的相关系统策略权限，或在调用某些接口时具备授权项所对应的策略，才能成功调用该接口。	当仅调用如下接口时，支持按照对应授权项的策略进行授权，详见表2。 DataArtsStudio实例一键购买接口：DataArtsStudio:instance:create 获取工作空间列表：DataArtsStudio:workspace:list 创建工作空间：DataArtsStudio:workspace:create 获取单个工作空间信息：DataArtsStudio:workspace:get 获取实例列表：DataArtsStudio:instance:list 规格变更接口：DataArtsStudio:instance:resize