データ移行に必要なユーザー権限

データ移行機能を使用してデータを移行する前に、すべてのデータソースにデータベースユーザーが作成されており、適切な権限を持っていることを確認してください。

OceanBaseデータベース

-- Create a user in OceanBase Database for data migration.
CREATE USER '<username>' IDENTIFIED BY '<password>';

-- You have the CREATE, CREATE VIEW, DROP VIEW, SELECT, INSERT, UPDATE, ALTER, INDEX, and DELETE privileges on the target database.
GRANT CREATE,CREATE VIEW,DROP VIEW,SELECT,INSERT,UPDATE,ALTER,INDEX,DELETE ON <database_name>.* TO '<user_name>';

-- The user has the SELECT privilege on the entire tenant.
GRANT SELECT ON *.* TO '<user_name>';

GRANT SELECT ON <database_name>.* TO '<user_name>';

GRANT CREATE ON *.* TO '<user_name>';
GRANT ALTER,SELECT,INSERT,UPDATE,DELETE ON <database_name>.* TO '<user_name>';

MySQL

ソース側の権限

-- The database user must have read permission on the database to be migrated. For MySQL database V8.0, additionally grant the SHOW VIEW privilege.
GRANT SELECT ON <database_name>.* TO '<user_name>';

-- During incremental synchronization from a MySQL database, the database user must have the REPLICATION CLIENT, REPLICATION SLAVE, and SELECT *.* privileges.
-- During incremental synchronization, lacking read permissions on all tables at the source may cause the task to be interrupted abnormally. The [WITH GRANT OPTION] clause in the following command is optional.
GRANT REPLICATION CLIENT, REPLICATION SLAVE ON *.* TO '<user_name>' [WITH GRANT OPTION];
GRANT SELECT ON *.* TO '<user_name>';

ターゲット側の権限

MySQLデータベースがターゲット側となる場合、移行ユーザーはターゲット側データベースに対する CREATE、CREATE VIEW、INSERT、UPDATE および DELETE 権限を持っている必要があります。

GRANT <privilege_type> ON <database_name>.<table_name> TO '<user_name>'@'<host_name>' [WITH GRANT OPTION];

• 構造移行時には、移行するビューとインデックスにそれぞれ以下の権限が必要です。

  • ビューを構造移行するには、データベースの SELECT 権限が必要です。

    GRANT SELECT ON <database_name>.* TO '<user_name>';
    

  • インデックスを構造移行するには、データベースの INDEX 権限が必要です。

    GRANT INDEX ON <database_name>.* TO '<user_name>';
    

• データベースユーザーにはトリガー権限が必要です。

  この権限は、ターゲット側にトリガーが存在するかどうかをチェックするために使用されます。存在する場合、データの不整合を引き起こす可能性があります。

  GRANT TRIGGER ON *.* TO '<user_name>';
  

  または、以下のステートメントを実行します。

  GRANT TRIGGER ON <database_name>.* TO '<user_name>';
  

• OceanBaseデータベースのMySQL互換モードからMySQLデータベースへの双方向同期タスクでは、ターゲット側に oms データベースの SELECT、CREATE、INSERT および UPDATE 権限が必要です。

  GRANT SELECT, CREATE, INSERT, UPDATE ON oms.* TO '<user_name>';
  

Oracle

Oracleデータベースをソースとする順方向移行およびターゲットとする逆方向移行に必要な権限は同じです。

Oracle Database 12cより前のバージョンでのDBAユーザーへの権限付与

利用環境のポリシーで移行ユーザーへのDBAロールの付与が許可されており、Oracleデータベースのバージョンが12cより前の場合は、以下のステートメントでDBA権限を付与できます。

GRANT DBA TO <user_name>;

Oracle Database 12cより前のバージョンでの非DBAユーザーへの権限付与

移行ユーザーへの権限付与をより厳密に管理する必要があり、Oracleデータベースのバージョンが12cより前の場合は、以下の手順で権限を付与します。

1. CONNECT権限を付与します。

   GRANT CONNECT TO <user_name>;
   

2. 移行ユーザーに CREATE SESSION、ALTER SESSION、SELECT ANY TRANSACTION、SELECT ANY TABLE、および SELECT ANY DICTIONARY 権限を付与します。

   GRANT CREATE SESSION, ALTER SESSION,
   SELECT ANY TRANSACTION, SELECT ANY TABLE, SELECT ANY DICTIONARY TO <user_name>;
   

3. 移行ユーザーに LOGMINER 関連権限を付与します。

   GRANT EXECUTE ON SYS.DBMS_LOGMNR TO <user_name>;
   

4. 移行ユーザーに CREATE TABLE および UNLIMITED TABLESPACE 権限を付与します。

   GRANT CREATE TABLE, UNLIMITED TABLESPACE TO <user_name>;
   

5. 移行するスキーマ名が user_name と一致する場合、以下のステートメントを実行します。

   GRANT CREATE SEQUENCE,CREATE VIEW TO <user_name>;
   

   移行するスキーマ名が user_name と一致しない場合、以下のステートメントを実行します。

   GRANT CREATE ANY TABLE,CREATE ANY INDEX,DROP ANY TABLE,ALTER ANY TABLE,COMMENT ANY TABLE,
   DROP ANY INDEX,ALTER ANY INDEX,CREATE ANY SEQUENCE,ALTER ANY SEQUENCE,DROP ANY SEQUENCE,
   CREATE ANY VIEW,DROP ANY VIEW,INSERT ANY TABLE,DELETE ANY TABLE,UPDATE ANY TABLE TO <user_name>;
   

   以下のステートメントを実行することもできます。

   GRANT CREATE ANY TABLE,CREATE ANY INDEX,DROP ANY TABLE,ALTER ANY TABLE,COMMENT ANY TABLE,
   DROP ANY INDEX,ALTER ANY INDEX,CREATE ANY SEQUENCE,ALTER ANY SEQUENCE,DROP ANY SEQUENCE,
   CREATE ANY VIEW,DROP ANY VIEW TO <user_name>;
   -- Grant privileges on the specific table to be migrated.
   GRANT DELETE, INSERT, UPDATE ON <database_name>.<table_name> TO <user_name>;
   

Oracle Database 12c以降のDBAユーザーへの権限付与

ユーザーの環境で移行ユーザーにデータベース管理者（DBA）ロールを付与でき、Oracleデータベースのバージョンが12c以降の場合は、12c/18c/19cのプラガブル・データベース（Pluggable Database、PDB）を使用しているかどうかを確認する必要があります。

• 非PDB

  1. 以下の権限付与ステートメントを実行し、移行ユーザーにDBA権限を付与します。

     GRANT DBA TO <user_name>;
     

  2. 以下のステートメントを実行し、移行ユーザーにSYS.USER$テーブルの読み取り権限を付与します。

     GRANT SELECT ON SYS.USER$ TO <user_name>;
     

• PDB

  OracleデータベースからOceanBaseデータベースのOracle互換モードへ移行する際、移行元が12c/18c/19cのプラガブル・データベース（Pluggable Database、PDB）の場合、PDBにアクセスするアカウントは共通ユーザーである必要があります。

  1. 以下のステートメントを実行し、CDB$ROOTに切り替えます。

     ALTER SESSION SET CONTAINER=CDB$ROOT;
     

     各共通ユーザーは、ルート・コンテナ（CDB$ROOT）および接続権限を持つ任意のPDBに接続し、関連する操作を実行できます。

  2. 以下のステートメントを実行し、移行ユーザーにDBA権限を付与します。

     GRANT DBA TO C##XXX CONTAINER=ALL;
     

  3. 以下のステートメントを実行し、移行ユーザーにSYS.USER$テーブルの読み取り権限を付与します。

     GRANT SELECT ON SYS.USER$ TO C##XXX CONTAINER=ALL;
     

Oracle Database 12c以降の非DBAユーザーへの権限付与

移行ユーザーへの権限付与をより厳密に管理する必要があり、Oracleデータベースのバージョンが12c以降の場合は、以下の手順で権限を付与します。

• 非PDB

  1. CONNECT権限を付与します。

     GRANT CONNECT TO <user_name>;
     

  2. 以下のステートメントを実行し、移行ユーザーにSYS.USER$テーブルの読み取り権限を付与します。

     GRANT SELECT ON SYS.USER$ TO <user_name>;
     

  3. 移行ユーザーに CREATE SESSION、ALTER SESSION、SELECT ANY TRANSACTION、SELECT ANY TABLE および SELECT ANY DICTIONARY 権限を付与します。

     GRANT CREATE SESSION, ALTER SESSION, SELECT ANY TRANSACTION, SELECT ANY TABLE, SELECT ANY DICTIONARY TO <user_name>;
     

  4. 移行ユーザーに LOGMINER 関連権限を付与します。

     GRANT LOGMINING TO <user_name>;
     GRANT EXECUTE ON SYS.DBMS_LOGMNR TO <user_name>;
     

  5. 移行ユーザーに CREATE TABLE および UNLIMITED TABLESPACE 権限を付与します。

     GRANT CREATE TABLE, UNLIMITED TABLESPACE TO <user_name>;
     

  6. 移行するスキーマ名が user_name と一致する場合、以下のステートメントを実行します。

     GRANT CREATE SEQUENCE,CREATE VIEW TO <user_name>;
     

     移行するスキーマ名が user_name と一致しない場合、以下のステートメントを実行します。

     GRANT CREATE ANY TABLE,CREATE ANY INDEX,DROP ANY TABLE,ALTER ANY TABLE,COMMENT ANY TABLE,
     DROP ANY INDEX,ALTER ANY INDEX,CREATE ANY SEQUENCE,ALTER ANY SEQUENCE,DROP ANY SEQUENCE,
     CREATE ANY VIEW,DROP ANY VIEW,INSERT ANY TABLE,DELETE ANY TABLE,UPDATE ANY TABLE TO <user_name>;
     

• PDB

  OracleデータベースからOceanBaseデータベースのOracle互換モードへ移行する際、移行元が12c/18c/19cのプラガブル・データベース（Pluggable Database、PDB）の場合、PDBにアクセスするアカウントは共通ユーザーである必要があります。

  1. CONNECT権限を付与します。

     GRANT CONNECT TO <C##XXX> CONTAINER=ALL;
     

  2. 以下のステートメントを実行し、移行ユーザーに SYS.USER$ テーブルの読み取り権限を付与します。

     GRANT SELECT ON SYS.USER$ TO <C##XXX> CONTAINER=ALL;
     

  3. 移行ユーザーに CREATE SESSION、ALTER SESSION、SELECT ANY TRANSACTION、SELECT ANY TABLE および SELECT ANY DICTIONARY 権限を付与します。

     GRANT CREATE SESSION, ALTER SESSION,
     SELECT ANY TRANSACTION, SELECT ANY TABLE, SELECT ANY DICTIONARY TO <C##XXX> CONTAINER=ALL;
     

  4. 移行ユーザーに LOGMINER 関連権限を付与します。

     GRANT LOGMINING TO <C##XXX> CONTAINER=ALL;
     GRANT EXECUTE ON SYS.DBMS_LOGMNR TO <C##XXX> CONTAINER=ALL;
     

  5. 移行ユーザーに CREATE TABLE および UNLIMITED TABLESPACE 権限を付与します。

     GRANT CREATE TABLE, UNLIMITED TABLESPACE TO <C##XXX> CONTAINER=ALL;
     

  6. 移行するスキーマ名が C##XXX と一致する場合、以下のステートメントを実行します。

     GRANT CREATE SEQUENCE, CREATE VIEW TO <C##XXX> CONTAINER=ALL;
     

     移行するスキーマ名が C##XXX と一致しない場合、以下のステートメントを実行します。

     GRANT CREATE ANY TABLE, CREATE ANY INDEX, DROP ANY TABLE, ALTER ANY TABLE, COMMENT ANY TABLE,
     DROP ANY INDEX, ALTER ANY INDEX,CREATE ANY SEQUENCE,ALTER ANY SEQUENCE, DROP ANY SEQUENCE,
     CREATE ANY VIEW, DROP ANY VIEW, INSERT ANY TABLE, DELETE ANY TABLE, UPDATE ANY TABLE TO <C##XXX> CONTAINER=ALL;
     

PostgreSQL

ソース側の権限

PostgreSQLデータベースをソースとしてデータ移行を行う場合、増分同期が必要かどうかに応じて、データベースユーザーが持つ必要がある権限も異なります。

• 構造移行または全量移行のみ

  データ移行タスクに増分同期のステップが含まれない場合、移行ユーザーは移行対象のデータベースに対する読み取り権限を持っている必要があります。権限付与ステートメントは以下のとおりです。

  GRANT CONNECT ON DATABASE <database_name> TO <user_name>;
  GRANT USAGE ON SCHEMA <schema_name> TO <user_name>;
  GRANT SELECT ON ALL TABLES IN SCHEMA <schema_name> TO <user_name>;
  

• 増分同期を含む場合

  データ移行タスクに増分同期のステップが含まれる場合、移行ユーザーは以下のいずれかの条件を満たす必要があります。

  方法1：スーパーユーザー（セルフマネージド PostgreSQLでの使用を推奨します）。

  -- Create User
  CREATE USER <user_name> WITH PASSWORD '<password>';
  
  -- Grant superuser privileges
  ALTER USER <user_name> WITH SUPERUSER;
  

  方法2：クラウドベンダーの高権限アカウント（RDS PostgreSQLで使用）。

  異なるクラウドベンダーのRDS PostgreSQLインスタンスでは、スーパーユーザーを作成することはできませんが、それに近い権限を持つ高権限アカウントが提供されます。

  • Alibaba Cloud RDS PostgreSQL：データベースユーザーはpg_rds_superuserロールを持っている必要があります。以下のステートメントで確認できます。

    SELECT pg_has_role('<user_name>', 'pg_rds_superuser', 'member');
    

  • AWS RDS PostgreSQL：データベースユーザーはrds_superuserロールを持っている必要があります。

  • Huawei Cloud RDS PostgreSQL：データベースユーザーはデフォルトで提供される高権限アカウントrootです。

  説明

  • 増分同期にはPostgreSQLインスタンスの論理レプリケーション機能へのアクセスが必要なため、ユーザーはスーパーユーザー権限、またはクラウドベンダーが提供する同等の高権限を持っている必要があります。
  • クラウドベンダーのRDS PostgreSQLインスタンスの場合、一部の設定は該当するクラウドコンソールで変更する必要があります。

ターゲット側の権限

PostgreSQLデータベースをターゲットとする場合、移行ユーザーは以下の権限を持っている必要があります。

• データベース接続権限

  GRANT CONNECT ON DATABASE <database_name> TO <user_name>;
  

• ターゲットスキーマの使用権限

  GRANT USAGE ON SCHEMA <schema_name> TO <user_name>;
  

• ターゲットテーブルへの書き込み権限

  -- Authorize an Existing Table
  GRANT SELECT, INSERT, UPDATE, DELETE ON ALL TABLES IN SCHEMA <schema_name> TO <user_name>;
  
  -- Automatically grant privileges on tables created in the future
  ALTER DEFAULT PRIVILEGES IN SCHEMA <schema_name>
  GRANT SELECT, INSERT, UPDATE, DELETE ON TABLES TO <user_name>;
  

TiDB

TiDBデータベースユーザーの作成

1. TiDBデータベースにログインします。

2. CREATE USER ステートメントを使用して新しいユーザーを作成します。

   CREATE USER '<user_name>'@'<host_name>' IDENTIFIED BY '<user_password>';
   

   パラメータ	説明
   user_name	作成するユーザー名。
   host_name	このユーザーがログインできるホスト。任意のホストからデータベースにログインを許可する場合は、パーセント記号（%）を使用します。
   user_password	作成するユーザーのパスワード。

   例えば、test という名前のユーザーを作成し、このユーザーが任意のホストからTiDBデータベースにログインできるようにし、ログインパスワードを password に設定します。

   CREATE USER 'test'@'%' IDENTIFIED BY 'password';
   

3. GRANT ステートメントを使用して、作成したデータベースユーザーに権限を付与します。

ソース側の権限

-- The database user must have read permission on the database to be migrated.
GRANT SELECT ON <database_name>.* TO '<user_name>';

-- During incremental synchronization from a TiDB database, the database user must have the REPLICATION CLIENT, REPLICATION SLAVE, and SELECT *.* privileges.
GRANT REPLICATION CLIENT, REPLICATION SLAVE ON *.* TO '<user_name>' [WITH GRANT OPTION];
GRANT SELECT ON *.* TO '<user_name>';

ターゲット側の権限

TiDBデータベースがターゲット側となる場合、移行ユーザーは CREATE、CREATE VIEW、INSERT、UPDATE、および DELETE 権限を持っている必要があります。

GRANT <privilege_type> ON <database_name>.<table_name> TO '<user_name>'@'<host_name>' [WITH GRANT OPTION];

Kafka

Kafkaで認証が有効な場合は、Kafkaデータソースの新規作成を参照してください。

Kafkaをターゲットとして使用する場合、移行ユーザーは以下の操作を実行する権限が必要です：

• トピックの作成と表示

• トピックのパーティション情報の表示

• レコードの書き込み

• レコードの読み取り

Lindorm

Lindormインスタンスにはデフォルトでrootとcolumnar_internal_userの2つのユーザーが存在し、両方とも全権限を持っています。実際のニーズに応じて、専用の移行ユーザーを作成して権限を付与することもできます。権限の付与レベルは、グローバル、Namespace、またはTableを選択できます。

Lindormインスタンスユーザーの作成

1. Lindorm管理コンソールにログインします。

2. インスタンス一覧ページで、対象インスタンスのIDをクリックします。

3. インスタンス詳細ページで、左側のナビゲーションバーのアクセス制御をクリックし、クライアントIPを許可リストに追加します。

   1. ifconfigコマンドでクライアントIPを取得します。

   2. アクセス制御 > 許可リストタブで、対象グループの後ろのグループの変更をクリックします。

      新しいグループを追加する必要がある場合は、グループ許可リストの作成をクリックして関連設定を行うこともできます。詳細については、許可リストの設定を参照してください。

   3. **OK**をクリックします。

4. Lindorm Insightページにアクセスします。

   1. アクセス制御ページで、左側のナビゲーションバーのワイドテーブルエンジンをクリックします。

   2. ワイドテーブルエンジンページの右側にあるクラスタ管理エリアで、ClusterManagerパブリックをクリックします。

      説明

      Lindorm Insightページに初めてログインする場合は、ワイドテーブルエンジンページの右側にあるクラスタ管理エリアで、UIアクセスパスワードのリセットをクリックし、Lindorm Insightページのログインパスワードを設定してから、ClusterManagerパブリックをクリックしてください。

   3. ポップアップウィンドウで、クライアントIPが許可リストに追加されており、初回ログイン時にパスワードがリセットされたことを確認したら、**確認**をクリックします。

   4. ログインダイアログボックスに、**ユーザー名とパスワード**を入力します。

   5. **ログイン**をクリックします。

5. 新規ユーザーの作成

   1. Lindorm Insightページで、左側のナビゲーションバーのデータ管理 > ユーザー管理をクリックします。

   2. ユーザー管理ページで、新規ユーザーをクリックします。

   3. 新規ユーザー作成ダイアログボックスで、**ユーザー名とパスワードを入力し、OK**をクリックします。

   4. 作成が成功すると、ユーザー管理ページで新規作成されたユーザーを確認できます。

ソース側の権限

Lindormインスタンスをソース側として使用する場合、Lindormデータソース作成時にユーザー名を入力するためのLindormインスタンスユーザーを作成する必要があります。ソース側のユーザーにはREAD権限が必要であり、READ権限はGET、SCAN、テーブル記述クエリなどの読み取り操作に使用されます。

• 構造移行、全量移行、および全量検証の各段階では、READ権限が必要です。

• 増分同期の段階では、特別な設定は不要で、デフォルトの権限で利用できます。

権限付与の操作手順は以下のとおりです（グローバル権限を例にします）：

1. ユーザー管理ページで、対象ユーザーの後ろにある その他 > グローバル権限の付与 をクリックします。

   namespaceやtableに対する権限付与も可能です。詳細については、権限管理を参照してください。

2. グローバル権限の付与ダイアログで、READ を選択します。

3. OK をクリックすると、ユーザー権限の設定は完了です。

ターゲット側の権限

Lindormインスタンスがターゲット側として使用される場合、Lindormデータソースの作成時にユーザー名を入力するためのLindormインスタンスユーザーを作成する必要があります。ターゲット側のユーザーにはREAD権限とWRITE権限が必要です。READ権限はGET、SCAN、テーブル記述クエリなどの読み取り操作に使用されます。WRITE権限はPUT、BATCH、DELETE、INCREMENT、APPENDなどの書き込み操作に使用されます。

• 現在、増分同期がサポートされており、READ権限とWRITE権限が必要です。

権限付与の操作手順は以下のとおりです（グローバル権限を例にします）：

1. ユーザー管理ページで、対象ユーザーの後ろにある その他 > グローバル権限の付与 をクリックします。

   namespaceやtableに対する権限付与も可能です。詳細については、権限管理を参照してください。

2. グローバル権限の付与ダイアログで、READ と WRITE を選択します。

HBase

HBase Enhanced Editionインスタンスを作成すると、デフォルトでrootユーザーが存在し、すべての権限（read、write、admin、trash、systemを含む）を持ちます。HBase Enhanced EditionインスタンスのデータをOceanBaseデータベースのHBase API互換モードにデータ転送・移行する際には、実際のニーズに応じてユーザーを作成し権限を付与できます。

HBase Enhanced Editionインスタンスユーザーの作成

1. HBaseコンソールにログインします。

2. クラスターリストページで、HBase Enhanced Edition (Lindorm)/2.0の対象クラスターIDをクリックします。

3. 基本情報ページで、左側のナビゲーションバーのアクセス制御をクリックし、クライアントIPを許可リストに追加します。

   1. ifconfigコマンドでクライアントIPを取得します。

   2. アクセス制御 > 許可リスト設定タブで、対象グループの下のグループ許可リストの変更をクリックします。

      新しいグループを追加する必要がある場合は、グループ許可リストの追加をクリックして関連設定を行うこともできます。詳細については、許可リストの設定を参照してください。

   3. グループ許可リストの変更ダイアログボックスに、クライアントIPを入力します。

   4. **OK**をクリックします。

4. Lindorm Insightページにアクセスします。

   1. アクセス制御ページで、左側のナビゲーションバーのクラスタ管理をクリックします。

   2. クラスタ管理ページで、ClusterManagerパブリックをクリックします。

      説明

      Lindorm Insightページに初めてログインする場合は、ワイドテーブルエンジンページの右側にあるクラスタ管理エリアで、UIアクセスパスワードのリセットをクリックし、Lindorm Insightページのログインパスワードを設定してから、ClusterManagerパブリックをクリックしてください。

   3. ログインダイアログボックスに、**ユーザー名とパスワード**を入力します。

   4. **ログイン**をクリックします。

5. 新規ユーザーを追加します。

   1. Lindorm Insightページで、左側のナビゲーションバーのデータ管理 > ユーザー管理をクリックします。

   2. ユーザー管理ページで、右上の新規ユーザーをクリックします。

   3. 新規ユーザー作成ダイアログボックスで、**ユーザー名とパスワード**を入力します。

   4. **確定**をクリックします。

   5. 作成が成功すると、ユーザー管理ページで新規ユーザーを確認できます。

ソース側の権限

HBaseインスタンスをソース側とする場合、HBaseデータソース作成時にユーザー名として入力するためのHBaseインスタンスユーザーを作成する必要があります。ソース側のユーザーにはREAD権限が付与されていなければなりません。READ権限はGET、SCAN、テーブル説明クエリなどの読み取り操作に使用されます。

• 構造移行、全量移行、および全量検証の各段階では、READ権限が必要です。

• 増分同期の段階では、特別な設定は不要で、デフォルトの権限で十分です。

権限付与の手順は以下のとおりです（グローバル権限を例とします）：

1. ユーザー管理ページで、対象ユーザーの後ろにある その他 > グローバル権限の付与 をクリックします。

   namespaceまたはtableに対しても権限を付与できます。詳細については、権限管理を参照してください。

2. グローバル権限付与ダイアログで、READ を選択します。

3. OK をクリックすると、ユーザー権限の設定が完了します。

ターゲット側の権限要件

HBaseインスタンスをターゲット側とする場合、HBaseデータソース作成時にユーザー名として入力するためのHBaseインスタンスユーザーを作成する必要があります。ターゲット側のユーザーにはREADおよびWRITE権限が付与されていなければなりません。READ権限はGET、SCAN、テーブル説明クエリなどの読み取り操作に使用されます。WRITE権限はPUT、BATCH、DELETE、INCREMENT、APPENDなどの書き込み操作に使用されます。

• 現在、増分同期がサポートされており、READおよびWRITE権限が必要です。

権限付与の手順は以下のとおりです（グローバル権限を例とします）：

1. ユーザー管理ページで、対象ユーザーの後ろにある その他 > グローバル権限の付与 をクリックします。

   namespaceまたはtableに対しても権限を付与できます。詳細については、権限管理を参照してください。

2. グローバル権限付与ダイアログで、READ と WRITE を選択します。

DataHub

DataHubはAlibaba Cloud RAMを用いてアクセス制御を行います。ユーザーによるDataHubリソースへのアクセスは、RAMによって認証されます。Alibaba Cloudのメインアカウントは所属リソースのすべての権限を有しており、サブユーザーは作成時には一切の権限を持たず、どのリソースにもアクセスできません。ユーザーはRAM内でそのサブユーザーに対する権限付与操作を行う必要があります。詳細については、DataHub権限制御を参照してください。

ターゲット側の権限

DataHubがターゲット側となる場合、移行ユーザーは以下のカスタム権限ポリシーを付与されている必要があります。

1. RAMアクセス制御コンソールにログインします。

2. カスタム権限ポリシーにIP許可リストを追加します。

   1. RAMアクセス制御コンソールに戻ります。

   2. 左側のナビゲーションバーで、権限管理 > 権限ポリシー を選択します。

   3. 権限ポリシーの作成 をクリックします。

   4. 設定画面で、スクリプト編集 タブをクリックします。

   5. 入力ボックス内の既存コードを削除し、以下のJSONコードをコピーして貼り付け、必要なIPアドレスを設定します。

      {
          "Version": "1",
          "Statement": [
              {
                  "Effect": "Allow",
                  "Action": "datahub:*",
                  "Resource": "*",
                  "Condition": {
                      "IpAddress": {
                          "acs:SourceIp": [
                              "xx.xx.xx.xx",
                              "xx.xx.xx.xx/24"
                          ]
                      }
                  }
              }
          ]
      }
      

      • "Action": "datahub:*"：DataHubのすべての操作権限（読み書き、管理）を付与することを示します。
      • "Resource": "*"：このアカウント配下のすべてのDataHub ProjectとTopicへのアクセスを許可することを示します。
      • "acs:SourceIp": [...]"：アクセスのIP許可リストを追加します。IP許可リスト制限が不要な場合は、Conditionフィールド全体を削除する必要があります。

3. RAMユーザーにDataHub権限を付与します。

   1. 左側のナビゲーションバーで、アイデンティティ管理 > ユーザー をクリックします。

   2. 権限を付与するRAMユーザーを見つけ、ユーザー名をクリックします。

   3. ユーザー詳細ページで、権限管理 タブをクリックし、権限の追加 ボタンをクリックします。

   4. ポップアップパネルで、カスタムポリシー を選択します。

   5. 検索ボックスにDataHubと入力し、前の手順で新規作成したIP権限ポリシーを選択して、OK をクリックします。

4. RAMユーザーのAccessKeyを取得または作成します。現在のユーザーにAccessKeyが既に存在する場合は、そのまま使用できます。

   1. ユーザー詳細ページに戻り、認証管理 タブをクリックします。

   2. AccessKey 領域でAccessKey IDとAccessKey Secretを取得します。

      • AccessKeyが既にある場合は、そのまま使用できます。

      • AccessKeyがない場合は、AccessKeyを作成 をクリックし、セキュリティ検証を完了するとAccessKey IDとAccessKey Secretが表示されます。

        注意

        AccessKey Secretは、必ずすぐに保存してください。AccessKey Secretは作成時に一度だけ表示され、画面を閉じた後は取得できません。