LAS 为您提供元数据对象权限管理功能，可以管理 LAS 的 Catalog/Schema/Table/UDF等元数据对象的权限，包括权限的添加、展示、编辑和删除等功能。本文为您介绍权限管理的操作要点和详细权限列表。

前置条件

在 LAS 权限管理页面对某用户/组进行授权的前置条件：

某用户/组已经在 IAM 中被授予了相关的 Policy，可访问 LAS服务。

用户仅可管理其具有 Admin 角色的对象的权限。

操作步骤

新增授权

登录并进入 LAS 控制台，单击左侧导航栏 “元数据”>"权限管理”，进入元数据权限管理页面。单击页面右上角的新增授权”按钮。

在弹出的侧边栏中配置权限管控详情。

参数	配置说明
授权资源	选择授权对象类型及具体的授权对象。授权范围：当前支持以下层级：数据目录(Catalog)、数据库(Schema) 和数据表(Table)或者函数(UDF)，您可选择不同的授权对象，对其进行权限管控。选择完成授权范围后，在对应授权范围逐层选择对应范围内的待授权对象。
被授权对象	选择需要为哪个用户、用户组、角色进行授权。当前支持选择为同主账号下、已在 “访问控制 IAM”中创建好的用户、用户组、角色进行授权。
授予权限	选择给对应目标用户授予什么权限角色的权限范围。 LAS 为您预置了 Admin、Developer、Viewer、Read等多种权限角色，各权限角色分别拥有不同范围的元数据对象操作权限。不同元数据对象支持的权限角色不一致，各个元数据对象支持的角色权限类型、权限范围详情请参见下文的权限列表说明。您可参考权限列表，选择授权的权限角色。

编辑/删除权限

如果该授予对象已经有权限角色则无法重复授予，您可以在权限管理找到该授权记录点击编辑将该用户修改为其他角色。

在授权列表，您可以看到删除按钮，如果您不想用户继续有库表函数的权限，可以直接删除。

权限列表说明

不同层级的元数据对应不同的权限点和角色，以及对应关系，详情如下：

数据库(Schema)层级

权限点

权限角色

权限名称

说明

Admin

Developer

Viewer

Create

Read

Drop

Write

CreateTable

库内创建表、视图的权限

✔️

CreateFunction

库内创建函数的权限

✔️

CreateResource

库内创建资源的权限

✔️

Describe

读取库元信息

✔️

Select

对库内的所有表有 Select 权限

✔️

Insert

对库内的所有表有 Insert 权限

✔️

Show

列出库内所有对象，包括表、资源、函数、实例等信息

✔️

Drop

删除库

✔️

Alter

修改库信息

✔️

All

具备上述所有权限，包含对其授权的权限

✔️

数据表(Table)层级

权限点

角色

权限名称

说明

Admin

Developer

Viewer

Read

Drop

Write

Describe

读取表元信息

✔️

Select

读取表数据

✔️

Alter

修改表的元信息或添加删除分区

✔️

Insert

写入/覆盖表数据

✔️

Drop

删除表

✔️

All

具备上述所有权限，包含对其授权的权限

✔️

函数(UDF)层级

权限点			角色
权限名称	说明	Admin	Developer	Viewer
Read	读取函数信息	✔️	✔️	✔️
Write	更新函数	✔️	✔️
Delete	删除函数	✔️
Execute	执行函数权限	✔️	✔️	✔️
All	具备上述所有权限，包含对其授权的权限	✔️

API	说明
ListPrincipalsForDataObject	获取具有其权限的用户/用户组列表
ListIAMUsersWithDataObjectRole	查询用户列表
GrantDataObjectPrivilege	为用户授予指定数据对象的权限
RevokeDataObjectPrivilege	回收用户对指定数据对象的权限
AlterDataObjectPrivilege	修改用户对指定对象的权限

AI 数据湖服务