# 访问权限管理流程
访问权限管理提供了对于MRS、DWS、DLI数据湖仓中的库、表、字段的访问权限配置的核心能力，包含如下特性：
- 集中式访问控制 融合了不同的大数据服务进行统一权限管理，如MRS、DWS、DLI等，给用户带来了统一的权限配置入口，极大地提高了易用性和可维护性。
- 多级权限配置模型 权限模型分级管理，权责分明。空间权限集限定了整个工作空间用户可访问的权限范围，权限集或角色将空间权限集定义的权限范围进行拆分细化，将用户与权限关联进行权限管控。
- 精细化权限管控能力 支持界面化的RBAC数据权限精细化配置能力，按不同角色、用户、用户组进行权限分配。并支持按需高效的权限申请审批能力，权限审批后即刻生效。
- 多维度权限视角展示
- 成员视角支持以工作空间成员视角，来展示每个用户（组）所申请的数据表权限，以及展示、配置或收回每个用户（组）的权限集关系。
- 数据视角支持以库、表、字段的数据视角，来展示、配置数据在当前权限集下的权限关系。
- 权限视角支持以权限策略视角，来展示、配置或收回数据在当前权限集下的权限策略关系。
- 支持空间资源管控 除了数据权限管控外，还支持对空间资源进行管控，例如数据连接、委托等资源。
#### 使用流程
您可通过[图1]了解统一权限治理的使用流程。
图1访问权限管理使用流程图
访问权限管理支持[数据权限管控]、[服务资源管控]和[Ranger权限管理]，流程介绍如下：
**数据权限管控流程**
1. [授权dlg_agency委托](https://support.huaweicloud.com/usermanual-dataartsstudio/dataartsstudio_01_1152.html)
由于数据安全使用委托时，所需的云服务权限更高。因此在使用数据安全前，需要提前为dlg_agency委托授予相关权限。
2. [检查集群版本与权限](https://support.huaweicloud.com/usermanual-dataartsstudio/dataartsstudio_01_1153.html)
统一权限治理对数据连接Agent、数据源版本和用户权限等均有相应的要求。在使用前，您应先检查并准备相关配置。
3. [同步IAM用户到数据源](https://support.huaweicloud.com/usermanual-dataartsstudio/dataartsstudio_01_1154.html)
将IAM上的用户信息同步到数据源，以实现不同用户访问数据源时，能够根据其自身用户信息管控用户访问数据的权限。
4. [配置空间权限集](https://support.huaweicloud.com/usermanual-dataartsstudio/dataartsstudio_01_1155.html)
空间权限集作为DataArts Studio工作空间内的最大权限集合，主要用于确定整个工作空间用户可访问的权限范围。
5. [配置权限集](https://support.huaweicloud.com/usermanual-dataartsstudio/dataartsstudio_01_1156.html)
权限集将用户与权限直接关联，可以新建多个用于给不同使用场景的用户关联不同的权限，可通过权限同步进行权限管控（实际使用时，更推荐通过权限集关联角色进行权限管控）。
6. [配置通用角色](https://support.huaweicloud.com/usermanual-dataartsstudio/dataartsstudio_01_1157.html)
配置通用角色即在数据源上创建新角色，用于承载用户和权限之间的关联关系，可以更加直观地管理权限关系、进行权限管控。
7. [配置纳管角色](https://support.huaweicloud.com/usermanual-dataartsstudio/dataartsstudio_01_1157.html)
配置纳管角色即为纳管MRS数据源上已有的角色，并继承已有角色的MRS数据源权限。
8. [配置行级访问控制](https://support.huaweicloud.com/usermanual-dataartsstudio/dataartsstudio_01_1163.html)
配置行级访问控制策略，为不同开发者按照行数据进行授权。
9. [同步MRS Hive和Hetu权限](https://support.huaweicloud.com/usermanual-dataartsstudio/dataartsstudio_01_1164.html)
配置hetu权限同步策略，使Hive权限自动同步至Hetu端，增强权限管理一致性和易用性，无需重复配置。
10. [申请权限](https://support.huaweicloud.com/usermanual-dataartsstudio/dataartsstudio_01_1159.html)
进行访问权限管理时，除了可以自上而下地通过权限集/角色方式为用户授权外，也支持自下而上的用户权限申请、审批流程。
11. [审批权限](https://support.huaweicloud.com/usermanual-dataartsstudio/dataartsstudio_01_1159.html)
审批人来自权限集/角色的管理员，权限审批后即刻生效。
12. [启用细粒度认证](https://support.huaweicloud.com/usermanual-dataartsstudio/dataartsstudio_01_1160.html)
配置细粒度认证后，在DataArts Studio数据开发执行脚本、测试运行作业或调度作业时，数据源将不再使用数据连接上的账号，而是使用当前用户身份认证鉴权，从而做到实现不同用户具有不同的数据权限，使角色/权限集或队列权限中的权限管控生效。
**服务资源管控流程**
1. [配置队列权限](https://support.huaweicloud.com/usermanual-dataartsstudio/dataartsstudio_01_1162.html)
队列权限可以为当前工作空间分配可使用的MRS Yarn和DLI队列资源，并为用户组/用户配置对应的队列权限策略。
- 当为工作空间分配队列资源后，在数据开发组件在为作业节点配置队列资源时，可选择的队列为当前空间下已分配的队列资源。
- 当为用户组/用户配置队列权限策略后，授权对象将按照策略内容被授予相应权限。
2. [配置空间资源权限策略](https://support.huaweicloud.com/usermanual-dataartsstudio/dataartsstudio_01_1161.html)
数据安全支持对空间资源进行管控，例如数据连接、委托等资源。空间资源管控后，对于非授权对象的普通用户，则无权再查看并使用此资源。
**Ranger权限管理流程**
1. [配置资源权限](https://support.huaweicloud.com/usermanual-dataartsstudio/dataartsstudio_01_1006.html)
通过统一入口创建MRS各个组件的权限策略，由Ranger组件实现权限控制。
2. [查看权限报告](https://support.huaweicloud.com/usermanual-dataartsstudio/dataartsstudio_01_1007.html)
通过全面的权限报告，查看资源配置权限策略及其详情。
#### 数据权限管控说明
当前数据权限管控为白名单机制，是在待授权用户原有权限的基础上增加允许操作条件，不会影响用户的原有权限。如果仅需要当前数据权限管控所赋予的权限生效，则需要您手动去除待授权用户的原有权限。默认情况下，DataArts Studio用户的原有数据权限如下：
- 对于DLI数据源，DAYU Administrator或DAYU User用户默认具备DLI Service Admin权限，因此待授权用户默认具备DLI库表的所有数据权限。如果需要去除授权用户的默认权限，则需要删除用户的DLI Service Admin权限。
- 对于DWS数据源，即使DAYU Administrator或DAYU User用户默认具备DWS Administrator权限，但是由于DWS的数据库权限跟控制台IAM权限相互分离，因此默认情况下，待授权用户不具备DWS库表的数据权限，仅当前数据权限管控所赋予的数据权限生效。
- 对于MRS数据源，DAYU Administrator或DAYU User用户默认具备MRS Administrator权限，该用户同步到MRS后会被赋予对应角色（详见[IAM用户同步MRS说明](https://support.huaweicloud.com/usermanual-mrs/mrs_01_0495.html)），然后由Ranger组件提供默认策略放通权限（详见[配置组件权限策略](https://support.huaweicloud.com/cmpntguide-mrs/mrs_01_1851.html)），因此待授权用户默认具备MRS Hive库表的数据权限。如果需要去除授权用户的默认权限，则需要您在Ranger组件上去除系统默认策略中的**public** 用户组，操作步骤如下：
1. 使用admin账户登录MRS服务的Manager页面。
2. 在Manager页面选择"集群 \> 服务 \> Ranger"，进入Ranger概览页面，单击RangerAdmin进入Ranger WebUI。
图2进入Ranger WebUI
3. 注销当前账号，使用Ranger管理员账号再次登录。注意，普通集群使用登录Manager页面的admin账号即可作为Ranger管理员账号，安全集群需要使用rangeradmin作为Ranger管理员账号，rangeradmin默认密码请参考[用户账号一览表](https://support.huaweicloud.com/usermanual-mrs/admin_guide_000239.html)章节。
图3登出当前账号
4. 在首页中单击"HADOOP SQL"区域的组件插件名称如"Hive"。
5. 在"Access"页签，找到列表中**Groups** 列包含**public** 的默认策略（即**Default Policy** 列为**True** 的策略），然后分别进行编辑，移除其中的**public** 用户组。
图4策略列表
#### 操作视频
本视频为您介绍如何通过数据安全的统一权限治理，管控不同分级用户对DLI数据湖中的库、表、字段的访问权限。
本视频为您介绍如何通过数据安全的统一权限治理，管控不同分级用户对MRS数据湖中的库、表、字段的访问权限。