# 工作空间概述 #### 工作空间概述 在使用AI DataLake进行数据分析的场景中，管理员首先需要考虑的就是项目隔离、权限隔离与管理、资源分配问题。AI DataLake的工作空间正是为解决这些问题而设计，通过环境隔离、资源绑定的基本逻辑，为您提供一个独立的开发环境，并基于此环境创建计算资源、选择引擎、配置端点和开发作业，从而实现高效有序且安全隔离的数据开发。 #### 工作空间的核心功能 工作空间作为独立的数据开发和管理单元，提供了以下核心功能： - 每个工作空间拥有独立的计算资源，不同工作空间之间资源完全隔离，互不影响。所有数据分析任务均在工作空间内完成。 - 一个工作空间绑定一个LakeFormation实例，使用LakeFormation管理元数据和数据访问权限。 - 一个工作空间即可满足不同的数据处理需求，在工作空间下创建计算资源，并根据业务需求选择引擎创建端点，开发作业，每个空间可以新建不同的端点，用于连接计算引擎和计算资源，且支持专属预留资源和按需弹性资源。 - 支持通过基于IAM的细粒度权限控制不同的IAM用户对空间的访问权限。 - 不同工作空间之间的数据、权限、作业相互隔离，保障项目数据安全。 #### 工作空间约束与限制 表1工作空间约束限制 | 类型 | 说明 | |:---|:---| | 配额限制 | 每个账号在每个区域最多可创建5个工作空间。如需扩大配额参考[配额限制](https://support.huaweicloud.com/productdesc-aidatalake/aidatalake_08_0028.html)。 | | 命名规则 | 工作空间的名称长度为4\~32个字符，只能包含字母、数字、下划线和中划线。 | | 区域限制 | 工作空间创建后不能更换区域，也不支持迁移至其他区域。 | | 生命周期 | 工作空间删除后无法恢复，请谨慎操作。 | | 绑定LakeFormation实例规则 | - 一个工作空间只能绑定一个LakeFormation实例。 - 不同工作空间可以绑定同一个LakeFormation实例。 - 工作空间创建后，不支持切换绑定的LakeFormation实例。 | | 权限要求 | 开通AI DataLake服务时需要授予AI_DATALAKE_SELF_POLICY权限，否则无法创建/管理工作空间。 | #### 工作空间与LakeFormation实例的关系 在AI DataLake服务架构中工作空间是业务与权限的隔离单元，LakeFormation实例是元数据与权限的数据服务载体。 - LakeFormation实例提供元数据服务和权限管理功能。 - 工作空间是面向业务的逻辑空间，在绑定一个LakeFormation实例后才能使用元数据能力。 - 一个LakeFormation实例可被多个工作空间绑定，实现元数据共享与权限隔离。 在实际工作时： - 工作空间本身不存储元数据，所有元数据操作（建库、建表、授权）都转发给绑定的LakeFormation实例执行。 - LakeFormation实例不感知业务隔离，仅提供统一的元数据读写与权限校验。而LakeFormation管理的数据都存在OBS中，因此在创建LakeFormation实例时需要绑定OBS桶。 如[图1]所示，用户User A创建工作空间S1，并绑定LakeFormation实例L1。用户User B创建工作空间S2后，通过LakeFormation的权限授权配置，实现S2访问L1中创建的元数据与对应OBS数据，从而达成多工作空间共享同一元数据实例、按需权限隔离与互访的效果。 图1工作空间与LakeFormation实例的关系 ![](https://support.huaweicloud.com/usermanual-aidatalake/zh-cn_image_0000002540542366.png "点击放大")