开启DWS数据库用户三权分立

操作场景

为了保证集群数据的安全，DWS支持对集群设置三权分立，将数据库的管理权限按职责分离，由不同类型的用户分别控制不同权限，实现权限的相互制衡。默认情况下，创建DWS集群时指定的管理员用户属于数据库的系统管理员，能够创建其他用户和查看数据库的审计日志，即权限不分立，三权分立模式为关闭。

开启三权分立后，系统管理员原先创建其他用户和查看审计日志的能力被分离，改由安全管理员和审计管理员分别承担，三类管理员各司其职、相互制约。当集群需要满足企业内部权限分离与合规审计要求（如等保测评、金融/政企行业监管要求）时，建议开启三权分立，降低单一管理员账号泄露或越权操作带来的安全风险。

默认的权限模型和开启三权分立后的权限模型，请参见《数据仓库服务开发指南》的三权分立章节。

对系统的影响

• 修改安全配置参数并保存生效可能需要重启集群，将导致集群暂时不可用。
• 存算分离集群创建时默认创建计算组，开启三权分立后，除系统管理员外的其他账户不具有对逻辑集群进行创建、修改、删除、分配的权限，访问需要被赋权。

前提条件

修改集群安全配置必须同时满足以下两个条件：

• 集群状态为“可用”、“待重启”或“非均衡”。
• 集群任务信息不能处于其他业务运行中状态，即集群当前没有正在执行的业务（如扩容、缩容、重分布等）。

操作步骤

1. 登录DWS管理控制台。
2. 在左侧导航树中，选择“集群 > 集群列表”。
3. 在集群列表中，单击指定集群的名称，然后在上侧导航栏单击“安全设置”。

   默认显示“配置状态”为“已同步”，表示页面显示的是数据库当前最新结果。

4. 在“安全设置”页面，设置三权分立。
   开启“三权分立”后，分别设置“安全管理员”和“审计管理员”的用户名和密码，系统将会创建这两个用户。使用这两个用户可以连接数据库并执行数据库的相关操作。默认为关闭状态。

   表1 安全配置参数说明

   参数名	参数解释	样例值
   安全管理员	开启三权分立后，负责用户与权限安全管理的管理员账号。用户命名要求如下： 只能由小写字母、数字或下划线组成。 必须以小写字母或下划线开头。 长度为6～64个字符。 用户名不能为DWS数据库的保留关键字。DWS数据库的关键字，具体请参见关键字章节。	security_admin
   密码	安全管理员的登录密码。密码复杂度要求如下： 密码长度为12～32个字符。 不能与用户名或倒序的用户名相同。 密码至少包含大写字母、小写字母、数字和特殊字符四类中的三类，其中可输入的特殊字符为：(~!?,.:;_(){}[]/<>@#%^&*+|\=-)。 对用户设置的密码进行弱密码检查。	-
   确认密码	再次输入安全管理员密码，两次输入的密码需保持一致。	-
   审计管理员	开启三权分立后，负责审计日志查看与管理的管理员账号。用户命名要求如下： 只能由小写字母、数字或下划线组成。 必须以小写字母或下划线开头。 长度为6～64个字符。 用户名不能为DWS数据库的保留关键字。DWS数据库的关键字，具体请参见关键字章节。	audit_admin
   密码	审计管理员的登录密码。密码复杂度要求如下： 密码长度为12～32个字符。 不能与用户名或倒序的用户名相同。 密码至少包含大写字母、小写字母、数字和特殊字符四类中的三类，其中可输入的特殊字符为：(~!?,.:;_(){}[]/<>@#%^&*+|\=-)。 弱密码检查。	-
   确认密码	再次输入审计管理员密码，两次输入的密码需保持一致。	-

5. 单击“应用”。
6. 在弹出的“保存配置”窗口中，选择是否勾选“立即重启集群”，然后单击“保存”。
   • 如果勾选“立即重启集群”，系统将保存“安全设置”页面的配置并立即重启集群，集群重启成功后安全设置将立即生效。
   • 如果不勾选“立即重启集群”，系统将只保存“安全设置”页面的配置。稍后，用户需要手动重启集群才能使安全设置生效。

   安全设置完成后，在“安全设置”页面，“配置状态”有如下三种状态：

   • “应用中”：表示系统正在保存配置。
   • “已同步”：表示配置已保存生效。
   • “需重启生效”：表示配置已保存但还未生效。如需生效，需重启集群。

7. 使用新建的安全管理员和审计管理员账户分别连接数据库，确认可以正常登录并执行各自权限范围内的操作。

相关文档

• 三权分立前的权限详情及三权分立后的权限变化：DWS三权分立
• 数据库安全设置账户说明：网络安全