企业级权限管理与规范化数据开发

核心架构

DataArts Studio支持两种工作空间模式：简单模式和企业模式，两种类型在权限管理上有细分差异。

简单模式介绍

简单模式是DataArts Studio传统的工作空间模式，也是默认的工作空间模式。其核心特点是简单、方便、易用：

• 单环境架构：只有一个生产环境，所有脚本和作业直接在生产环境中开发和执行。
• 无发布流程：提交脚本或作业后无需发布，即可直接进入调度系统周期性执行。
• 快速上手：仅需授权开发者角色即可完成所有数据开发工作。

图1 简单模式工作空间

优势

无审批等待，开发效率高。

劣势

1. 数据安全风险：开发者可直接访问和修改生产环境的数据表，可能导致数据被误删或篡改。
2. 流程失控风险：开发者可以不经过审批直接发布代码到生产调度系统，给业务带来不稳定因素。
3. 环境同步困难：无法便捷地完成开发和生产环境的代码同步，缺少审批管控环节。

企业模式介绍

企业模式是为解决简单模式存在的风险而新增的工作空间模式。其核心特点是安全、规范、可控：

• 双环境架构：支持开发环境和生产环境隔离，有效防止开发者对生产环境的误操作。
• 发布审批流程：脚本和作业必须经过“开发 > 提交 > 审批 > 发布”的完整流程才能上线到生产环境。
• 角色分工明确：通过管理员、开发者、部署者、运维者等角色的分工协作，实现规范化的数据开发流程。

图2 企业模式工作空间

优势

生产环境受保护，变更可控可追溯。

劣势

增加审批环节，上线周期较长。

目前仅管理中心和数据开发组件支持企业模式。

工作空间模式对比

本章节从架构设计、工作流程、权限管控三个核心维度，系统对比简单模式与企业模式的差异，帮助您快速理解两种模式的本质区别。

创建企业模式工作空间实现环境隔离

简单模式下为实现开发环境和生产环境隔离，需要创建两个工作空间，一个是开发环境工作空间，一个是生产环境工作空间，然后将开发工作空间导出的脚本或作业，导入到生产工作空间。在这种方式下，无法简单便捷地完成生产环境和开发环境同步，缺少审批管控环节。

企业空间模式，在一个工作空间实现开发环境与生产环境隔离、不同环境计算资源隔离、权限隔离、任务发布流程管控等需求。

1. 创建企业模式工作空间。

   若您当前使用简单模式工作空间，但希望使用开发环境与生产环境隔离机制，您可以将简单模式工作空间升级为企业模式工作空间，如果您之前未使用过简单模式、无需继承业务数据，则可以直接新建企业模式工作空间。

   • 简单模式升级企业模式
   • 新建企业模式工作空间
2. 准备两套相互隔离的数据湖引擎，用于隔离开发环境和生产环境。
   不同工作空间模式对于数据湖引擎存在一定的要求，企业模式工作空间需要分别为开发环境和生产环境进行数据湖引擎配置，才可以实现开发环境和生产环境隔离。配置开发环境和生产环境隔离包含以下方式：

   图5 配置开发生产环境隔离
   

   • 配置两套数据湖服务，进行开发与生产环境隔离。

     对于集群化的数据源（例如MRS、DWS、RDS、MySQL、Oracle、DIS、ECS等），DataArts Studio通过管理中心的创建数据连接区分开发环境和生产环境的数据湖服务，在开发和生产流程中自动切换对应的数据湖。因此您需要准备两套数据湖服务，且两套数据湖服务的版本、规格、组件、区域、VPC、子网以及相关配置等信息，均应保持一致，详细操作请参见创建DataArts Studio数据连接。

     创建数据连接时，通过不同的集群来进行开发与生产环境的隔离，如图6所示。

     图6 创建数据连接时选择不同集群
     
   • 配置DLI环境隔离。

     配置企业模式环境隔离，包含DLI队列配置和DB配置。

     对于Serverless服务（例如DLI），DataArts Studio通过管理中心的环境隔离来配置生产环境和开发环境数据湖服务的对应关系，在开发和生产流程中自动切换对应的数据湖。因此您需要在Serverless数据湖服务中准备两套队列、两套数据库资源，建议通过名称后缀进行区分，详细操作请参见配置DataArts Studio企业模式环境隔离。

   • 配置DB，在同一个数据湖服务下配置两套数据库，进行开发与生产环境隔离。
     对于DWS、MRS Hive和MRS Spark这三种数据源，如果在创建数据连接时选择同一个集群，如图7所示，则需要配置数据源资源映射的DB数据库映射关系进行开发生产环境隔离，如图8所示。详细操作请参见DB配置。

     图7 创建数据连接时选择同一个集群
     

     图8 DB配置
     

建立DataArts Studio权限管理体系

DataArts Studio采取统一身份认证服务（Identity and Access Management，简称IAM）的角色与策略授权（RBAC）/身份策略授权（ABAC）+工作空间角色的细粒度权限管理体系。此外，数据安全权限管理以数据为中心，构建覆盖全链路的数据湖安全解决方案，并支持对服务资源的管控，从而全方位保障数据湖安全。

1. 统一身份认证IAM权限管理
   目前IAM支持两类授权，一类是角色与策略授权，另一类为身份策略授权。了解更多两类授权详情请参见权限管理。

   • 创建IAM用户并授予DataArts Studio权限-角色与策略
   • 创建IAM用户并授予DataArts Studio权限-身份策略。

   实际生产过程中，项目管理员可以按照用户授权最小化权限实践进行权限最小化配置，这样既能满足实际业务使用，也避免了权限过大的风险。

2. 用户角色和权限管理

   对于非DAYU Administrator或Tenant Administrator账号权限的IAM用户而言，DataArts Studio工作空间角色决定了其在工作空间内的权限。请采取统一身份认证IAM权限管理准备IAM用户，然后将该用户添加为工作空间成员并配置工作空间角色。详细操作步骤请参见添加工作空间成员和角色。各角色权限的详细说明请参见权限列表章节。

   • 分配角色

     当前可分配的预置角色有管理员、开发者、部署者、运维者和访客这几种。

     • 管理员：建议将项目负责人、开发责任人、运维管理员设置为管理员角色。
     • 开发者：建议将任务开发、任务处理的用户设置为开发者。
     • 运维者：建议将运维管理、状态监控的用户设置为运维者。
     • 部署者：在企业模式中，开发者提交脚本或作业版本后，系统会对应产生发布任务。开发者确认发包后，需要部署者审批通过，才能将修改后的作业同步到生产环境。
     • 访客：建议将只查看空间内容、不进行操作的用户设置为访客。
   • 分配权限
     不同的工作空间角色决定了该用户在工作空间内的权限。

     • 管理员：工作空间管理员拥有工作空间内所有的业务操作权限。
     • 开发者：开发者拥有工作空间内创建、管理工作项的业务操作权限。
     • 运维者：运维者具备工作空间内运维调度等业务的操作权限，但无法更改工作项及配置。
     • 部署者：企业模式独有，具备工作空间内任务包发布的相关操作权限。
     • 访客：访客可以查看工作空间内的数据，但无法操作业务。

   如果预置角色不能满足您的需求，您也可以创建自定义角色。自定义角色的权限可自由配置，实现业务操作权限最小化。可以参考（可选）自定义工作空间角色章节创建自定义角色。

3. 数据安全权限管理

   DataArts Studio数据安全访问权限控制，为用户配置数据访问权限和服务资源访问权限，控制资源使用范围，进一步保障数据的安全。

   • 配置数据权限访问控制

     按不同角色、用户、用户组进行数据权限分配，保障数据的访问安全。

   • 配置服务资源访问控制

     对队列权限、数据连接、委托等资源进行管控，对各组件目录权限、数据下载权限进行限制，保障资源不被滥用。

标准化数据开发流程

当前DataArts Studio企业模式，主要涉及管理中心和数据开发组件，数据开发流程由管理员、开发者、部署者、运维者等角色共同完成。标准化的开发流程应遵循“设计 > 开发 > 测试 > 审核 > 发布 > 运维”的闭环。

图9 企业模式角色架构

在进行数据开发与生产前，您还需要了解一项重要的操作：配置调度身份。

作业执行机制默认以启动作业的用户身份执行该作业。然而，在实际作业执行中可能因权限不足导致作业执行失败，需要通过配置作业调度身份来解决。调度身份分为委托和IAM账户两大类。系统按照作业委托>公共委托>执行用户>公共IAM账号>调度作业的用户的顺序来获取权限，然后以该权限来执行作业。配置调度身份详情请参考配置调度身份。