使用場景
企業(yè)用戶在華為云上使用DLI服務時，需要對不同部門的員工使用DLI資源（隊列）進行管理，包括資源的創(chuàng)建、刪除、使用、隔離等。同時，也需要對不同部門的數(shù)據(jù)進行管理，包括數(shù)據(jù)的隔離、共享等。
DLI使用 統(tǒng)一身份認證 服務（Identity and Access Management，簡稱 IAM ）進行精細的企業(yè)級多租戶管理。該服務提供用戶身份認證、權限分配、訪問控制等功能，可以幫助您安全地控制華為云資源的訪問。
通過IAM，您可以在華為云賬號中給員工創(chuàng)建IAM用戶，并使用策略來控制他們對華為云資源的訪問范圍。例如您的員工中有負責軟件開發(fā)的人員，您希望他們擁有DLI的使用權限，但是不希望他們擁有刪除DLI等高危操作的權限，那么您可以使用IAM為開發(fā)人員創(chuàng)建用戶，通過授予僅能使用DLI，但是不允許刪除DLI的權限策略，控制他們對DLI資源的使用范圍。
IAM是華為云提供權限管理的基礎服務，無需付費即可使用，您只需要為您賬號中的資源進行付費。關于IAM的詳細介紹，請參見《IAM產(chǎn)品介紹》。
如果華為云賬號已經(jīng)能滿足您的需求，不需要創(chuàng)建獨立的IAM用戶進行權限管理，您可以跳過本章節(jié)，不影響您使用DLI服務的其他功能。
DLI權限
如表1所示，包括了DLI的所有系統(tǒng)權限。
權限類別：根據(jù)授權精程度分為角色和策略。
角色：IAM最初提供的一種根據(jù)用戶的工作職能定義權限的粗粒度授權機制。該機制以服務為粒度，提供有限的服務相關角色用于授權。由于華為云各服務之間存在業(yè)務依賴關系，因此給用戶授予角色時，可能需要一并授予依賴的其他角色，才能正確完成業(yè)務。角色并不能滿足用戶對精細化授權的要求，無法完全達到企業(yè)對權限最小化的安全管控要求。
策略：IAM最新提供的一種細粒度授權的能力，可以精確到具體服務的操作、資源以及請求條件等?；诓呗缘氖跈嗍且环N更加靈活的授權方式，能夠滿足企業(yè)對權限最小化的安全管控要求。例如：針對DLI服務，管理員能夠控制IAM用戶僅能對某一類 云服務器 資源進行指定的管理操作。
了解DLI SQL常用操作與系統(tǒng)策略的授權關系，請參考常用操作與系統(tǒng)權限關系。
表1 DLI系統(tǒng)權限
權限分類
表2權限分類
場景舉例
某互聯(lián)網(wǎng)公司，主要有游戲和音樂兩大業(yè)務，使用DLI服務進行用戶行為分析，輔助決策。
如圖1所示，“基礎平臺組組長”在華為云上申請了一個“租戶管理員”（Tenant Administrator）賬號，用于管理和使用華為云的各個服務。因為“ 大數(shù)據(jù) 平臺組”需要使用DLI進行數(shù)據(jù)分析，所有“基礎平臺組組長”增加了一個權限為“DLI服務管理員”（DLI Service Admin）的子賬號用于管理和使用DLI服務。“基礎平臺組組長”按照公司兩個業(yè)務對于數(shù)據(jù)分析的要求，創(chuàng)建了“隊列A”分配給“數(shù)據(jù)工程師A”運行游戲數(shù)據(jù)分析業(yè)務，“隊列B”分配給“數(shù)據(jù)工程師B”運行音樂數(shù)據(jù)分析業(yè)務，并分別賦予“DLI普通用戶”（DLI Service User）權限，具有隊列使用權限，數(shù)據(jù)（除 數(shù)據(jù)庫 ）的管理和使用權限。
圖1權限分配
“數(shù)據(jù)工程師A”創(chuàng)建了一個gameTable表用于存放游戲道具相關數(shù)據(jù)，userTable表用于存放游戲用戶相關數(shù)據(jù)。因為音樂業(yè)務是一個新業(yè)務，想在存量的游戲用戶中挖掘一些潛在的音樂用戶，所以“數(shù)據(jù)工程師A”把userTable表的查詢權限賦給了“數(shù)據(jù)工程師B”。同時，“數(shù)據(jù)工程師B”創(chuàng)建了一個musicTable用于存放音樂版權相關數(shù)據(jù)。
“數(shù)據(jù)工程師A”和“數(shù)據(jù)工程師B”對于隊列和數(shù)據(jù)的使用權限如表3所示。
表3使用權限說明
