非项目空间所有者（Project Owner）的用户必须被加入MaxCompute项目空间中，且被授予相应的权限，才能操作MaxCompute中的数据、作业、资源及函数。本文将为您介绍项目空间所有者如何添加、删除以及授权其他用户（云账号以及RAM子账号）。

如果您是项目空间所有者，建议您仔细阅读本文。如果您是普通用户，建议您向项目空间所有者提出申请，加入对应的项目空间后再阅读后续章节。

本文的操作均在客户端运行。

添加云账号用户

当项目空间的所有者Alice决定对另一个用户授权时，Alice需要先将该用户添加到自己的项目空间中，只有添加到项目空间中的用户才能够被授权。

添加用户的命令如下。 
add user username;
username既可以是云账号（即在阿里云官网上注册过的有效邮箱地址），也可以是执行此命令的云账号的某个RAM子账号，示例如下。 
add user ALIYUN$odps_test_user@aliyun.com;
add user RAM$ram_test_user;
假设Alice的云账号为alice@aliyun.com，那么当Alice执行上述两条语句后，验证用户是否添加成功。 
list users;
--返回结果如下，说明云账号odps_test_user@aliyun.com以及Alice通过RAM创建的子账号ram_test_user已经被加入到了该项目空间中。
RAM$alice@aliyun.com:ram_test_user
ALIYUN$odps_test_user@aliyun.com

添加RAM子账号用户

添加RAM子账号有以下两种方式：
  • 通过DataWorks进行操作，详情请参见准备RAM用户。
  • 通过MaxCompute客户端添加RAM子账号。命令如下。 
    odps@ odps_pd_inter>add accountprovider ram;
OK
    添加成功之后，项目空间所有者可以执行如下命令查看该项目所支持的账号系统，确认RAM账号是否添加成功。 
    odps@ ****>list accountproviders;
    说明
    • MaxCompute只允许主账号将自身的RAM子账号加入到项目空间中，不允许加入其它云账号的RAM子账号，因此在add user时，无需在RAM子账号前指定主账号名称，MaxCompute默认命令的执行者即是子账号对应的主账号。
    • MaxCompute只能够识别RAM的账号体系，不能识别RAM的权限体系。即用户可以将自身的任意RAM子账号加入MaxCompute的某一个项目中，但MaxCompute在对该RAM子账号做权限验证时，并不会考虑RAM中的权限定义。

云账号用户授权

添加用户后，项目空间所有者或者项目空间管理员需要给该用户进行授权，只有用户获得相应的权限后，才能在项目空间内执行操作。

MaxCompute提供了授权、跨项目空间数据分享及项目空间数据保护等多种策略。下面列举两个常见场景，更多详情请参见授权。
  • 场景一：假设Jack是项目空间prj1的管理员，一个新加入的项目组成员Alice（已拥有云账号：alice@aliyun.com）申请加入项目空间prj1，并申请查看Table列表、提交作业和创建表的权限。
    项目空间中拥有Admin角色的用户或者该项目空间的所有者在客户端执行如下命令。 
    --进入项目空间prj1。
use prj1; 
--添加用户。 
add user aliyun$alice@aliyun.com; 
--使用grant语句对用户授权。
grant List, CreateTable, CreateInstance on project prj1 to user aliyun$alice@aliyun.com;
  • 场景二：假设用户云账号为bob@aliyun.com，已经被添加到某个项目空间（$user_project_name），需要给它授予建表、获取表信息和执行的权限。
    项目空间中拥有Admin角色的用户或者该项目空间的所有者在客户端执行如下命令。 
    --向bob@aliyun.com授予名为“$user_project_name”项目空间的CreateTable（创建表）权限。
grant CreateTable on PROJECT $user_project_name to USER ALIYUN$bob@aliyun.com;
--向bob@aliyun.com授予名为“$user_table_name”的Table的Describe（获取表信息）权限。  
grant Describe on Table $user_table_name to USER ALIYUN$bob@aliyun.com;
--向bob@aliyun.com授予名为"$user_function_name"的Function的Execute（执行）权限。 
grant Execute on Function $user_function_name to USER ALIYUN$bob@aliyun.com;

给RAM子账号用户授权

为云账号bob@aliyun.com的RAM子账号Alice授权，使其可以对表src执行DESC操作。
  1. 查看项目空间的账号体系支持情况。 
    odps@ ****>list accountproviders;
ALIYUN, RAM

    由上可见，这个项目空间已经能够支持RAM账号体系，即可以向这个项目空间添加 RAM子账号。如果不支持RAM子账号，请参见查看账号体系添加RAM账号体系。

  2. 向项目空间中添加子账号用户并向其授予表src的Describe权限。 
    odps@ ****>add user ram$bob@aliyun.com:Alice;
OK: DisplayName=RAM$bob@aliyun.com:Alice
odps@ ****>grant Describe on table src to user ram$bob@aliyun.com:Alice;
OK
说明
  • 获取RAM子账号AccessKey ID及AccessKey Secret的相关操作请参见RAM 介绍。
  • 更多有关授权的操作请参见授权。

删除云账号用户

当一个用户离开此项目团队时，需要将该用户从项目空间中移除。用户一旦从项目空间中被移除，该用户将不再拥有访问该项目空间任何资源的权限。

项目空间所有者执行如下命令移除用户。 
remove user;
说明
  • 移除一个用户之前，如果该用户已被赋予某些角色，则需要先撤销该用户的所有角色之后再执行移除操作。关于角色的介绍请参见角色管理。
  • 当一个用户被移除后，与该用户有关的授权仍然会被保留。一旦该用户以后被再次添加到该项目空间时，该用户的历史授权访问权限将被重新激活。
  • MaxCompute目前不支持在项目空间中彻底移除一个用户及其所有权限数据。
示例如下。 
--移除用户。
remove user ALIYUN$odps_test_user@aliyun.com;
remove user RAM$ram_test_user;
--执行如下命令查看用户是否移除成功。返回结果中没有这两个账号，表明这两个账号已经被移出项目空间。 
LIST USERS;

删除RAM子账号

  • 通过remove user命令删除云账号自身的RAM子账号。 
    --回收子账号Alice权限。
odps@ ****>revoke describe on table src from user ram$bob@aliyun.com:Alice;
OK
--删除子账号。
odps@ ****>remove user ram$bob@aliyun.com:Alice;
Confirm to "remove user ram$bob@aliyun.com:Alice;" (yes/no)? yes
OK
  • 通过remove accountprovider命令将RAM账号系统从当前项目中删除，此命令需要项目空间所有者执行。 
    --删除RAM账号系统。
odps@ ****>remove accountprovider ram;
Confirm to "remove accountprovider ram;" (yes/no)? yes
OK
--验证删除是否成功。
odps@ ****>list accountproviders;
ALIYUN