背景信息

User Mapping定義了Hologres登錄用戶和阿里云賬號的映射關(guān)系，允許Hologres當(dāng)前用戶（包括BASIC用戶）通過User Mapping的方式跨賬號訪問外部服務(wù)，如MaxCompute、DLF、OSS以及Hologres跨庫查詢。詳情請參見PostgreSQL CREATE USER MAPPING。

使用限制

• 授予權(quán)限給普通用戶需要是Hologres實例的SuperUser或者Foreign Server的Owner權(quán)限，以及擁有Foreign Server Usage權(quán)限的用戶也可以為自己創(chuàng)建User Mapping。

• MaxCompute數(shù)據(jù)源和DLF1.0不支持以RAMRole方式配置User Mapping。

語法說明

CREATE USER MAPPING FOR "<user_name>"
EXTERNAL DATABASE <ext_db_name>
OPTIONS
(
    access_id '<Access_id>',
    access_key '<Access_key>'
);

CREATE USER MAPPING FOR "<user_name>"
EXTERNAL DATABASE <ext_db_name>
OPTIONS
(
    -- For DLF1.0
    [dlf_access_id 'LTxxxxxxxxxx',
    dlf_access_key 'y8xxxxxxxxxxxxx',
    oss_access_id 'LTxxxxxxxxxx',
    oss_access_key 'y8xxxxxxxxxxxxx'] 

    -- For DLF2.0
    [dlf_access_id 'LTxxxxxxxxxx',
    dlf_access_key 'y8xxxxxxxxxxxxx'] | 
    [rolearn 'RoleARN']
);

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "hologram:GrantAssumeRole",
      "Resource": "<Role_ARN>"
    }
  ]
}

CREATE USER MAPPING FOR "<user_name>"
SERVER odps_server  -- 固定server
OPTIONS
(  
   access_id '<Access_id>',access_key '<Access_key>'
);

CREATE USER MAPPING FOR "<user_name>"
SERVER <server_name>
OPTIONS
(
    -- For DLF1.0
    [dlf_access_id 'LTxxxxxxxxxx',
    dlf_access_key 'y8xxxxxxxxxxxxx',
    oss_access_id 'LTxxxxxxxxxx',
    oss_access_key 'y8xxxxxxxxxxxxx'] 

    -- For DLF2.0
    [dlf_access_id 'LTxxxxxxxxxx',
    dlf_access_key 'y8xxxxxxxxxxxxx'] | 
    [rolearn 'RoleARN']
);

CREATE USER MAPPING FOR "<user_name>"
SERVER <server_name>
OPTIONS (
  access_id '<access_id>', 
  access_key '<access_key>'
);

使用示例

EXTERNAL DATABASE（推薦）

1. 以DLF2.0數(shù)據(jù)源為例，首先創(chuàng)建一個External Database來關(guān)聯(lián)DLF上的Paimon Catalog。

   CREATE EXTERNAL DATABASE ext_db_dlf
   WITH 
     metastore_type 'dlf-paimon' 
     catalog_type 'paimon' 
     dlf_region 'cn-hangzhou' 
     dlf_endpoint 'dlfnext-share.cn-hangzhou.aliyuncs.com' 
     dlf_catalog 'clg-paimon-d241aee***********'; 

2. 創(chuàng)建完成后，該外部Database僅實例Superuser和DB Owner可訪問，其他賬號無法訪問，接下來通過在RAM控制臺創(chuàng)建RAMRole和Hologres側(cè)CREATE USER MAPPING來給一個RAM子賬號授權(quán)。

   1. RAM側(cè)新建角色并完成策略配置。

      1. 登錄RAM控制臺，單擊角色>創(chuàng)建角色，可信實體類型選擇阿里云服務(wù)，角色類型選擇普通服務(wù)角色，輸入角色名稱，選擇受信服務(wù)為交互式分析，單擊完成。

      2. 進(jìn)入權(quán)限策略頁面，單擊創(chuàng)建權(quán)限策略>腳本編輯，分別創(chuàng)建用于Hologres和DLF做權(quán)限檢查的策略，策略內(nèi)容如下。

         Hologres需要的權(quán)限檢查策略。

         {
             "Version": "1",
             "Statement": [
                 {
                     "Effect": "Allow",
                     "Action": "hologram:GrantAssumeRole",
                     "Resource": "acs:ram::xxx:role/testramrole"
                 }
             ]
         }

         DLF需要的權(quán)限檢查策略。

         {
             "Version": "1",
             "Statement": [
                 {
                     "Action": "dlf:CheckPermissions",
                     "Resource": "*",
                     "Effect": "Allow"
                 }
             ]
         }

      3. 進(jìn)入角色頁面，單擊新增授權(quán)，添加上述兩個權(quán)限策略。

         

   2. Hologres側(cè)通過CREATE USER MAPPING將ext_db_dlf數(shù)據(jù)庫的權(quán)限授予RAM子賬號。

      CREATE USER MAPPING FOR "p4_203535926287167253"
      EXTERNAL DATABASE ext_db_dlf
      OPTIONS
      (
          rolearn 'acs:ram::xxx:role/testramrole'
      );

3. 使用子賬號登錄Hologres控制臺，使用SQL編輯器進(jìn)行查詢。

   SELECT * FROM ext_db_dlf.dlf_db.paimon_table;

Foreign Server

以MaxCompute數(shù)據(jù)源為例，給一個Hologres BASIC賬號授予訪問MC外部表的權(quán)限。

1. 在Hologres中創(chuàng)建BASIC賬號。

   CREATE USER basicuser;

2. 給BASIC賬號授予odps_server的訪問權(quán)限。

   CREATE USER MAPPING
   FOR "basicuser"
   SERVER odps_server
   OPTIONS
   (
       access_id 'LTxxxxxxxxxx',
       access_key 'y8xxxxxxxxxxxxx'
   );