GeminiDB兼容DynamoDB接口鉴权

GeminiDB兼容DynamoDB接口支持的权限

鉴权功能支持通过GeminiDB兼容DynamoDB接口的API来控制表级别的部分权限（不支持更细粒度的权限控制，例如行或列级别），如支持的权限及其范围所示。

使用cql语句设置用户权限

• 创建新用户

  -- 创建普通用户
  CREATE USER <username> WITH PASSWORD 'your_password' NOSUPERUSER;

  

  • 新创建的用户未授权前没有任何权限。
  • 新用户密码必须为8~32位，必须是大写字母、小写字母、数字、特殊字符中至少两种的组合，其中可输入~!@#%^*-_=+?特殊字符。更多信息，请参见重置管理员密码。
• 为用户添加权限

  -- 赋予用户创建表权限：
  GRANT CREATE ON ALL KEYSPACES TO <username>;

  -- 赋予用户表级别查询权限：
  GRANT SELECT ON TABLE <table_name>.<table_name> TO <username>;

  -- 赋予用户表级别插入/更新/删除权限：
  GRANT MODIFY ON TABLE <table_name>.<table_name> TO <username>;

• 查看用户权限

  LIST ALL PERMISSIONS OF <username>;

• 移除用户权限

  -- 撤销用户对某个表的 SELECT 权限
  REVOKE SELECT ON TABLE <table_name>.<table_name> FROM <username>;

  -- 撤销用户对某个 keyspace 的所有权限
  REVOKE ALL PERMISSIONS ON KEYSPACE <table_name> FROM <username>;

• 删除用户

  DROP USER <username>;

  

  • 创建实例时预置的用户rwuser，拥有创建所有表的权限。
  • 创建表的用户，默认拥有该表全部权限。
  • 推荐使用rwuser执行DynamoDB表和用户创建操作，再为新创建的用户赋予不同权限，以实现权限控制。

GeminiDB兼容DynamoDB接口对应的用户权限

鉴权失败报错信息

{
    "__type": "AccessDeniedException",
    "message": "User <user_name> has no <permission_name> permission on <data_resource> or any of its parents"
}

GeminiDB兼容DynamoDB接口其他权限控制

• 创建用户并授权使用GeminiDB兼容DynamoDB接口
• GeminiDB兼容DynamoDB接口自定义策略