全部文档
当前文档
最近更新时间：2026-11-06 16:43:35
使用 DataAgent 前，需完成服务授权与角色授权。本文为您介绍 DataAgent 的权限体系及授权操作。
DataAgent 的权限体系分为两层：
产品级权限：通过金山云访问控制（IAM）策略控制，分为 FullAccess（完全访问）与 ReadOnly（只读）两级，用于控制用户能否进入服务及执行管理操作。
数据访问权限：DataAgent 不独立建设数据库/字段级权限体系。执行数据查询时，沿用数据源接入时配置的账号密码及其在底层数据源中的权限范围进行校验。
说明：
数据源接入、业务语义配置等变更类操作仅主账号可执行，子账号对应操作入口置灰或不可见。
工作空间删除操作仅主账号可见。
服务授权为服务级权限管理，被授权用户拥有相应资源操作权限（读/写）。
主账号：应授予 KMRDataAgentFullAccess 权限。
子账号：由主账号在 IAM 中赋权。
KMRDataAgentFullAccess（完全访问权限）：
{
"Version": "2015-11-01",
"Statement": [
{
"Effect": "Allow",
"Action": [
"kmr:dataagent:*"
],
"Resource": "*"
}
]
}KMRDataAgentReadOnlyAccess（只读权限）：
{
"Version": "2015-11-01",
"Statement": [
{
"Effect": "Allow",
"Action": [
"kmr:dataagent:Get*",
"kmr:dataagent:List*",
"kmr:dataagent:Describe*"
],
"Resource": "*"
}
]
}每次进入服务时，系统将校验用户是否具备 KMRDataAgentFullAccess 或 KMRDataAgentReadOnlyAccess 权限：
若当前用户不具备上述任何权限，页面将弹出提示并禁止进入服务。
单击确认，前往 IAM 授权中心，为当前用户授予 KMRDataAgentFullAccess 权限；单击取消则返回工作空间列表页，并提示 Lack of Policy：xxx。
授权完成后重新进入服务即可正常使用。
角色授权用于使 DataAgent 通过临时 AK 访问您的 KS3 存储。账号下所有主、子账号均需授信该角色。
{
"Version": "2015-11-01",
"Statement": [
{
"Effect": "Allow",
"Action": [
"ks3:*"
],
"Resource": [
"*"
]
}
]
}注意： DataAgent 通过您配置的 AK/SK 访问目标 KS3。任务执行时如需指定工作空间默认路径以外的 KS3 Bucket/Path，需确保对该桶/路径具备访问权限。
纯净模式