更新时间：2026-10-21 GMT+08:00

创建自定义委托

在开发作业过程中，如需要访问外部服务（如OBS进行数据上传或下载），需在创建端点时配置相应的权限委托。权限委托是访问外部服务的必要条件，需用户自行创建并配置。

本节操作主要介绍如何创建自定义委托、完成服务授权，并在作业配置中添加新建的委托的操作步骤。

端点所使用的委托由用户自行把控权限范围，应采用自定义最小化权限策略，以降低越权风险并满足安全合规要求。

约束与限制

创建自定义委托时，委托名称不能设置为ai_datalake_admin_trust。

步骤1：创建委托并授权

登录IAM控制台。
鼠标悬浮至右上方登录的用户名，在下拉列表中选择“统一身份认证”。
创建委托。
1. 在左侧导航栏中，单击“委托”。
2. 在“委托”页面，单击“创建委托”。
3. 在“创建委托”页面，设置关键参数如下：
  - 委托名称：输入委托名称，例如“aidatalake_obs_agency_access”。
  - 委托类型：选择“云服务”。
  - 云服务：搜索智能数据湖服务。
  - 持续时间：即选择编程访问获取的临时访问凭证可持续的最大会话时长。例如：永久。
  关于参数的更多说明，请参考创建信任委托并授权。
4. 配置完委托参数后，单击“完成”。
新建策略并授权。
1. 在弹出的“创建成功”对话框中，单击“立即授权”。
2. 在“授权”页面的右上角，单击“新建策略”。
3. 配置策略信息。
  1. 输入策略名称，本例：aidatalake-obs-agency。
  2. 选择“JSON视图”。
  3. 在策略内容中粘贴自定义策略。具体策略，请参见常见场景的委托权限策略。
  4. 按需输入策略描述。
4. 新建策略完成后，单击“下一步”，返回委托授权页面。
5. 勾选新建的自定义身份策略名称后，单击“下一步”，然后单击“确定”。

步骤2：在作业中设置委托权限

Aura：通过AuraJobV2创建会话API时，可在请求中通过agency_name字段传入已创建的委托名称。系统会基于该委托自动获取临时凭证，供作业运行时使用。
Ray、Spark和Flink：在创建端点时选择对应的委托权限。

配置AuraJobV2委托

会话创建后不支持更换委托。如需变更委托，请重新创建会话。
修改委托权限后，您需要等待几分钟才能生效。

使用Postman等工具，调用API创建会话。

调用API的具体操作，请参见如何调用API。

请求示例如下：

POST /v2/workspaces/{workspace_id}/aura-sessions

{
  "endpoint_name" : "aura-job-iqr0",
  "catalog_context" : {
    "catalog_name" : "aurasql_default",
    "agency_name": "aidatalake_obs_agency_access"
  }
}

参数说明如表1所示，更多信息，请参见创建Session。

表1 参数说明
参数	说明	示例
workspace_id	工作空间的ID。	302ce559-9759-4586-9885-90d6c0b4****
endpoint_name	Aura端点名称。	aura-job-iqr0
catalog_name	LakeFormation的Catalog名称。	aurasql_default
agency_name	输入步骤1：创建委托并授权创建的委托名称。	aidatalake_obs_agency_access

返回响应信息，类似如下所示，表示创建会话成功。

{
  "session_id" : "ac8111bf-3601-4905-8ddd-b41d3e63****",
  "status" : "RUNNING"
}

配置Ray委托

创建RayCluster、RayJob端点时，配置History Server存储委托和端点委托。

登录AI DataLake管理控制台。
在页面左上角切换至对应的工作空间。
在左侧导航栏选择“引擎端点 > AI 计算引擎 Ray”进入端点列表页面。
单击页面右上角的“创建端点”，配置端点信息。具体操作，请参见创建Ray引擎端点。
- 在“History Server”区域勾选“History Server”，然后在“委托名”下拉框中选择步骤1：创建委托并授权中新建的委托名。
- 在“委托配置”的下拉框中选择步骤1：创建委托并授权中新建的委托名。

配置Spark委托

创建SparkSQL或SparkJob端点时，在存储配置或作业配置区域，选择新建的委托信息。

作业指定委托后，授予委托的权限要谨慎修改，委托权限变动可能会影响作业的正常运行。

登录AI DataLake管理控制台。
在页面左上角切换至对应的工作空间。
在左侧导航栏选择“引擎端点 > 批处理引擎Spark”进入端点列表页面。
单击页面右上角的“创建端点”，进入端点创建页面。
配置端点的基础信息。具体操作，请参考创建Spark引擎端点。
配置委托信息：
委托名：选择步骤1：创建委托并授权中新建的委托。
- SparkSQL端点：在存储配置区域，选择新建的委托信息。
- SparkJob端点：在存储配置区域和作业委托配置区域，分别选择新建的委托信息。

配置Flink委托

创建FlinkJob端点时，在存储配置和作业委托配置区域，选择新建的委托信息。