Cloudera Data Platform - Public Cloud ロールの確認

# この記事について

Cloudera Data Platform 上の権限まわりで、確認することの多いポイントをメモします。

やりたいことができなかったり、AさんとBさんで見えている画面が違うという場合は、以下のどれかの権限が足りなかったり、異なっていたりするはずです。

思いつく限りのポイントを記載していきますが、網羅できていないかもしれないので、適宜追記していきます。

# 確認ポイント

## A.ユーザー自体の権限

まず、Cloudera Data Platform 全体に対してユーザーが持っている権限を確認します。

:::note warn
ユーザー自体の権限は、B-1の環境に紐づくロールに寄せられたことにより deprecate（廃止） になっているものも多くあります。

ただし、 Power Role や Data Stuard の権限は引き続きユーザー自体の権限として残っています。
:::

### A-1. ユーザー権限

確認方法：

Management Console > User Management から、該当のユーザーの右側の三点マークをクリックし、Update Roles をクリックします。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/587845/b2ae2738-83d3-75c7-6333-eaa3a11e3378.png)

意図した権限が付与されていない場合は、付与してUpdateします。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/587845/23333e60-03ba-2932-d42f-41581e36ebe3.png)

### A-2. Workload Password の設定状況

:::note warn
Workload Password は、該当のユーザーがAPIを通じてデータレイクにアクセスする際の認証に必要となります。
このパスワードが設定されていないと、データレイクへのAPIを通じたアクセスができなくなり、エラーが起きる場合があります。
:::

確認方法：

Management Console > User Management から、該当のユーザーのユーザー名をクリックします。

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/587845/722ef8d4-273c-c561-a614-8680eafcaf48.png)

以下のメッセージが表示されていたら、Workload Password が設定されていません。

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/587845/8154fa95-e70b-3811-8a20-a3ad47aff687.png)

Workload Password が設定されていない場合は、必要に応じてパスワードを設定します。設定方法は以下のページで説明しています。

https://qiita.com/IQ_Bocchi/items/767e2b6120448a0f1f91

## B. 環境に紐づく権限

上記Aでは、環境にかかわらず共通のユーザー権限を確認しました。
ここからは、特定の環境に紐づくユーザーロールを確認していきます。

### B-1. 環境に紐づくユーザーロール

確認方法：

Management Console > Environment から、該当の環境名をクリックします。

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/587845/6caf2225-089c-e2d6-b0a7-fddfb3f73478.png)

Actions -> Manage Access をクリックします。

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/587845/881b62dd-e599-135d-0b9a-c68a30623d7e.png)

Access タブに、当該環境にアクセス権を持つグループ／ユーザーの一覧が表示されています。

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/587845/0220451c-9e29-1e45-1cb2-c6af36ffa972.png)

想定されたグループ・ユーザーが、想定されたアクセス権を持っていることを確認します。

持っていない場合は、以下の手順を参考にアクセス権限を付与します。

https://qiita.com/IQ_Bocchi/items/f7a4ecb476750d189b6b

### B-2. ID Broker Mappings

ID Broker Mappings は、クラウドプロバイダ（AWS, Azure, GCP）のアクセスロールと Cloudera Data Platform のユーザーに互換性を持たせるための設定です。

この設定が漏れていると、クラウドプロバイダ側の資源へのアクセス（AWSのS3など）が参照できなかったり、アクセスエラーが発生する場合があります。

確認方法：

Management Console > Environment から、該当の環境名をクリックします。

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/587845/6caf2225-089c-e2d6-b0a7-fddfb3f73478.png)

Actions -> Manage Access をクリックします。

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/587845/881b62dd-e599-135d-0b9a-c68a30623d7e.png)

ID Broker Mappings タブを選択すると、ID Broker Mapping が設定されたユーザー・グループの一覧が表示されます。

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/587845/0580a2d9-8848-c88f-38e5-a36cc648025b.png)

上記の一覧で、意図したユーザーに ID Broker Mapping が設定されていることを確認します。

設定されていない場合は、以下の手順を参考に設定します。

https://qiita.com/IQ_Bocchi/items/990646d81e049b274556

## C. グループの設定

権限をグループレベルで管理している場合は、グループの設定を確認します。

### C-1. グループの権限設定

上記 A,B の権限が、ユーザーの属するグループに付与されているかを確認します。

### C-2. グループへのユーザーの所属状況の確認

ユーザーが意図したグループのメンバーになっているかを確認します。

確認方法：

Management Console > User Management > Groups タブから、該当のグループ名をクリックします。

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/587845/8bcf98e3-9727-97d6-f7a1-336af52d7782.png)

Members タブの一覧で、グループ内に意図したユーザーが漏れなく含まれていることを確認します。

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/587845/f3be1336-a981-3576-f6c2-ab74a57e168b.png)

含まれていない場合は、「Add a member」の入力欄から当該ユーザーを検索し、追加します。

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/587845/cb701b2f-ae36-ca5a-76a1-19bc34354c44.png)

## D. Ranger の権限

CDP上の機能にはアクセスできるが、特定のDBやテーブルへのアクセスが拒否されるという場合は、Rangerの権限を確認します。

※ Ranger自体が Big Topic なので、確認方法についてはこちらとは切り出して別途記事を書きます。完了次第、こちらにリンクを掲載します。