用户管理

add user username;

add user ALIYUN$odps_test_user@aliyun.com;
add user RAM$ram_test_user;

list users;
--返回结果如下，说明云账号odps_test_user@aliyun.com以及Alice名下的RAM用户ram_test_user已经被加入到了该项目空间中。
RAM$alice@aliyun.com:ram_test_user
ALIYUN$odps_test_user@aliyun.com

• 通过DataWorks进行操作，详情请参见准备RAM用户。
• 通过MaxCompute客户端添加RAM用户，命令如下：

  add accountprovider ram;
  OK

  添加成功之后，项目空间所有者可以执行如下命令查看该项目所支持的账号系统，确认RAM账号是否添加成功：

  list accountproviders;

  说明

  • MaxCompute只允许主账号将自身的RAM用户加入到项目空间中，不允许加入其它云账号的RAM用户，因此在add user时，无需在RAM用户前指定主账号名称，MaxCompute默认命令的执行者即是RAM用户对应的主账号。
  • MaxCompute只能够识别RAM的账号体系，不能识别RAM的权限体系。即用户可以将自身的任意RAM用户加入MaxCompute的某一个项目中，但MaxCompute在对该RAM用户做权限验证时，并不会考虑RAM中的权限定义。

1. 创建RAM角色，操作详情请参见创建可信实体为阿里云账号的RAM角色、创建可信实体为身份提供商的RAM角色或创建可信实体为阿里云服务的RAM角色。

   假设新建RAM角色名称为vuser1。

2. 定义RAM角色的权限策略，操作详情请参见修改RAM角色的信任策略。
   需要注意的是，由于后续涉及到需要在DataWorks上操作，您需要把RAM角色同时授权给DataWorks服务，以便在DataWorks上能够提交周期性调度作业至MaxCompute。信任策略示例如下：

   {
       "Statement": [
           {
               "Action": "sts:AssumeRole",
               "Effect": "Allow",
               "Principal": {
                   "Service": [
                       "dataworks.aliyuncs.com"
                   ]
               }
           }
       ],
       "Version": "1"
   }

3. 将RAM角色添加至MaxCompute项目空间。您可以自行选择如下两种方式之一进行操作：
   • 方式一：使用MaxCompute客户端（odpscmd）或登录MaxCompute控制台（查询编辑器），在MaxCompute项目空间下执行如下命令：

     add user `RAM$<云账号>:role/RAM角色名称`;

     例如，将RAM角色vuser1授权给RAM用户abc@example.com，完整格式为RAM$abc@example.com:role/vuser1。

     添加完成后，您可以通过list users;命令查看RAM角色是否已添加至MaxCompute项目空间。

   • 方式二：登录MaxCompute控制台，在项目管理页签，单击MaxCompute项目空间右侧的成员管理进入成员管理页面，添加RAM角色为成员。在成员管理页面添加成员的操作详情请参见添加工作空间成员和角色。

• 场景一：假设Jack是项目空间prj1的管理员，一个新加入的项目组成员Alice（已拥有云账号：alice@aliyun.com）申请加入项目空间prj1，并申请查看Table列表、提交作业和创建表的权限。
  项目空间中拥有Admin角色的用户或者该项目空间的所有者在客户端执行如下命令：

  --进入项目空间prj1。
  use prj1; 
  --添加用户。 
  add user aliyun$alice@aliyun.com; 
  --使用grant语句对用户授权。
  grant List, CreateTable, CreateInstance on project prj1 to user aliyun$alice@aliyun.com; 

• 场景二：假设用户云账号为bob@aliyun.com，已经被添加到某个项目空间（$user_project_name），需要给它授予建表、获取表信息和执行的权限。
  项目空间中拥有Admin角色的用户或者该项目空间的所有者在客户端执行如下命令：

  --向bob@aliyun.com授予名为“$user_project_name”项目空间的CreateTable（创建表）权限。
  grant CreateTable on PROJECT $user_project_name to USER ALIYUN$bob@aliyun.com;
  --向bob@aliyun.com授予名为“$user_table_name”的Table的Describe（获取表信息）权限。  
  grant Describe on Table $user_table_name to USER ALIYUN$bob@aliyun.com;
  --向bob@aliyun.com授予名为"$user_function_name"的Function的Execute（执行）权限。 
  grant Execute on Function $user_function_name to USER ALIYUN$bob@aliyun.com;  

1. 查看项目空间的账号体系支持情况。

   list accountproviders;
   --返回结果。
   ALIYUN, RAM

   由上可见，这个项目空间已经能够支持RAM账号体系，即可以向这个项目空间添加RAM用户。如果不支持RAM用户，请执行add accountprovider ram;命令添加RAM账号体系。

2. 向项目空间中添加RAM用户并向其授予表src的Describe权限。

   add user ram$bob@aliyun.com:Alice;
   --返回结果。
   OK: DisplayName=RAM$bob@aliyun.com:Alice
   --给RAM用户授权。
   grant Describe on table src to user ram$bob@aliyun.com:Alice;
   --返回结果。
   OK

remove user;

--移除用户。
remove user ALIYUN$odps_test_user@aliyun.com;
remove user RAM$ram_test_user;
--执行如下命令查看用户是否移除成功。返回结果中没有这两个账号，表明这两个账号已经被移出项目空间。 
list users;