使用流程
统一权限治理提供了对于MRS、DWS、DLI数据湖仓中的库、表、字段的访问权限配置的核心能力，包含如下特性：
- 集中式访问控制
融合了不同的大数据服务进行统一权限管理，如MRS、DWS、DLI等，给用户带来了统一的权限配置入口，极大的提高了易用性和可维护性。
- 多级权限配置模型
权限模型分级管理，权责分明。空间权限集限定了整个工作空间用户可访问的权限范围，权限集或角色将空间权限集定义的权限范围进行拆分细化，将用户与权限关联进行权限管控。
- 精细化权限管控能力
支持界面化的RBAC数据权限精细化配置能力，按不同角色、用户、用户组进行权限分配。并支持按需高效的权限申请审批能力，权限审批后即刻生效。
- 多维度权限视角展示
- 成员视角支持以工作空间成员视角，来展示每个用户（组）所申请的数据表权限，以及展示、配置或收回每个用户（组）的权限集关系。
- 数据视角支持以库、表、字段的数据视角，来展示、配置数据在当前权限集下的权限关系。
- 权限视角支持以权限策略视角，来展示、配置或收回数据在当前权限集下的权限策略关系。
- 支持空间资源管控
使用流程
您可通过图1了解统一权限治理的使用流程。
统一权限治理支持数据权限管控、服务资源管控和Ranger权限管理，流程介绍如下：
- 准备工作
在正式开始配置数据权限管控前，按照准备工作1和准备工作2（DLI权限管理仅涉及准备工作1），为委托配置相应权限、检查使用前提等。
- 同步用户
将IAM上的用户信息同步到数据源，以实现不同用户访问数据源时，能够根据其自身用户信息管控用户访问数据的权限。
- 配置空间权限集
空间权限集作为DataArts Studio工作空间内的最大权限集合，主要用于确定整个工作空间用户可访问的权限范围。
- 配置权限集
权限集将用户与权限直接关联，可以新建多个用于给不同使用场景的用户关联不同的权限，可通过权限同步进行权限管控（实际使用时，更推荐通过权限集关联角色进行权限管控）。
- 配置通用角色
配置通用角色即在数据源上创建新角色，用于承载用户和权限之间的关联关系，可以更加直观地管理权限关系、进行权限管控。
- 配置纳管角色
配置纳管角色即为纳管MRS数据源上已有的角色，并继承已有角色的MRS数据源权限。
- 管理成员
数据安全支持成员管理视图，支持查看当前工作空间内成员的权限，并进行角色/权限集管理。
- 申请权限
进行访问权限管理时，除了可以自上而下地通过权限集/角色方式为用户授权外，也支持自下而上的用户权限申请、审批流程。
- 审批权限
审批人来自权限集/角色的管理员，权限审批后即刻生效。
- 启用权限应用
配置权限应用后，在DataArts Studio数据开发执行脚本、测试运行作业时，数据源将不再使用数据连接上的账号，而是使用当前用户身份认证鉴权，从而做到实现不同用户具有不同的数据权限，使角色/权限集或队列权限中的权限管控生效。
- 配置队列权限
队列权限可以为当前工作空间分配可使用的MRS Yarn和DLI队列资源，并为用户组/用户配置对应的队列权限策略。
- 当为工作空间分配队列资源后，在数据开发组件在为作业节点配置队列资源时，可选择的队列列表为当前空间下已分配的队列资源。
- 当为用户组/用户配置队列权限策略后，授权对象将按照策略内容被授予相应权限。
- 配置空间资源权限策略
数据安全支持对空间资源进行管控，例如数据连接、委托等资源。空间资源管控后，对于非授权对象的普通用户，则无权再查看并使用此资源。
数据权限管控说明
- 对于DLI数据源，DAYU Administrator或DAYU User用户默认具备DLI Service Admin权限，因此待授权用户默认具备DLI库表的所有数据权限。如果需要去除授权用户的默认权限，则需要删除用户的DLI Service Admin权限。
- 对于DWS数据源，即使DAYU Administrator或DAYU User用户默认具备DWS Administrator权限，但是由于DWS的数据库权限跟控制台IAM权限相互分离，因此默认情况下，待授权用户不具备DWS库表的数据权限，仅当前数据权限管控所赋予的数据权限生效。
- 对于MRS数据源，DAYU Administrator或DAYU User用户默认具备MRS Administrator权限，该用户同步到MRS后会被赋予对应角色（详见IAM用户同步MRS说明），然后由Ranger组件提供默认策略放通权限（详见配置组件权限策略），因此待授权用户默认具备MRS Hive库表的数据权限。如果需要去除授权用户的默认权限，则需要您在Ranger组件上去除系统默认策略中的public用户组，操作步骤如下：
- 使用admin账户登录MRS服务的Manager页面。
- 在Manager页面选择“集群 > 服务 > Ranger”，进入Ranger概览页面，单击RangerAdmin进入Ranger WebUI。
图2 进入Ranger WebUI
- 注销当前账号，使用Ranger管理员账号再次登录。注意，普通集群使用Manager页面的admin账号即可作为Ranger管理员账号，安全集群需要使用rangeradmin作为Ranger管理员账号，rangeradmin默认密码请参考用户账号一览表章节。
图3 登出当前账号
- 在首页中单击“HADOOP SQL”区域的组件插件名称如“Hive”。
- 在“Access”页签，找到列表中Groups列包含public的默认策略（即Default Policy列为True的策略），然后分别进行编辑，移除其中的public用户组。
图4 策略列表
