AnalyticDB:Usuarios y permisos de RAM

Contexto

Casos de uso

En este caso, puede crear usuarios de RAM y otorgarles los permisos necesarios. Posteriormente, sus usuarios podrán acceder o gestionar sus clústeres de AnalyticDB for MySQL a través de usuarios de RAM.

Procedimiento

Crear un usuario de RAM

1. Inicie sesión en la consola de RAM.

2. En el panel de navegación izquierdo, seleccione Identities > Users.

3. En la página Users, haga clic en Create User. Introduzca un Logon Name y un Display Name.

   Nota

   Haga clic en Add User para crear varios usuarios de RAM al mismo tiempo.

4. En la sección Access Mode, seleccione Console Access o Open API Access.

   • Console Access: permite configurar ajustes básicos de seguridad de inicio de sesión, incluidas contraseñas generadas automáticamente o personalizadas, si se requiere restablecer la contraseña en el siguiente inicio de sesión y si se habilita la autenticación multifactor (MFA).

   • Open API Access: crea automáticamente un par de AccessKey para el usuario de RAM. El usuario de RAM puede entonces utilizar herramientas de desarrollo para acceder a los clústeres de AnalyticDB for MySQL.

   Por seguridad de la cuenta, se recomienda seleccionar solo un modo de acceso para cada usuario de RAM. Esto evita que un usuario de RAM acceda a sus clústeres de AnalyticDB for MySQL mediante pares de AccessKey después de abandonar su organización.

5. Haga clic en OK para crear el usuario de RAM.

Otorgar permisos a un usuario de RAM

1. Inicie sesión en la consola de RAM.

2. En el panel de navegación izquierdo, seleccione Identities > Users.

3. En la página Users, haga clic en Add Permissions a la derecha del usuario de RAM deseado.

4. En la página Add Permissions, establezca el tipo de permiso en System Policy. Introduzca un nombre de directiva para encontrar la directiva deseada y haga clic en ella para agregarla a la sección Selected.

   Aviso

   No otorgue permisos excesivos. Los operadores con privilegios excesivos pueden realizar operaciones arbitrarias, lo que podría causar riesgos de seguridad o pérdidas.

   Descripciones de las directivas:

   • Permisos para clústeres de Enterprise Edition, Basic Edition y Data Lakehouse Edition:

     • AliyunADBReadOnlyAccess: otorga acceso de solo lectura a los clústeres de Enterprise Edition, Basic Edition y Data Lakehouse Edition.

     • AliyunADBFullAccess: otorga permisos para gestionar clústeres de Enterprise Edition, Basic Edition y Data Lakehouse Edition.

     • AliyunADBDeveloperAccess: otorga permisos de desarrollador para clústeres de Enterprise Edition, Basic Edition y Data Lakehouse Edition. En comparación con la directiva AliyunADBFullAccess, AliyunADBDeveloperAccess no incluye permisos para crear, modificar o eliminar clústeres, ni para vincular usuarios de RAM.

   • Permisos para clústeres de Data Warehouse Edition:

     • AliyunADBReadOnlyAccess: otorga acceso de solo lectura a los clústeres de Data Warehouse Edition.

     • AliyunADBFullAccess: otorga permisos para gestionar clústeres de Data Warehouse Edition.

5. Haga clic en OK para otorgar permisos al usuario de RAM.

   Una vez que otorgue los permisos necesarios a un usuario de RAM, dicho usuario podrá acceder o gestionar sus clústeres de AnalyticDB for MySQL.

Crear una directiva personalizada

Si necesita otorgar permisos de operación detallados a nivel de instancia a los usuarios de RAM, debe crear directivas personalizadas en RAM.

1. Inicie sesión en la consola de RAM.

2. En el panel de navegación izquierdo, seleccione Permissions > Policies.

3. Haga clic en Create Policy. Este tema utiliza como ejemplo la creación de una directiva de gestión para clústeres de AnalyticDB for MySQL.

4. Establezca el modo de configuración en Script.

5. Introduzca el script de configuración. Los siguientes ejemplos muestran el contenido del script.

   Gestionar los permisos en la instancia am-xxx:

   {
       "Version": "1",
       "Statement": [
           {
               "Action": ["adb:DescribeDBClusters", "adb:ListTagResources"],
               "Resource": "acs:adb:*:*:dbcluster/*",
               "Effect": "Allow"
           },
           {
               "Action": "adb:*",
               "Resource": ["acs:adb:*:*:dbcluster/am-xxx"],
               "Effect": "Allow"
           }
       ]
   }

   Permisos de solo lectura en la instancia am-xxx:

   {
       "Version": "1",
       "Statement": [
           {
               "Action": ["adb:DescribeDBClusters", "adb:ListTagResources"],
               "Resource": "acs:adb:*:*:dbcluster/*",
               "Effect": "Allow"
           },
           {
               "Action": "adb:Describe*",
               "Resource": ["acs:adb:*:*:dbcluster/am-xxx"],
               "Effect": "Allow"
           }
       ]
   }

   Si un usuario de RAM necesita gestionar o tener acceso de solo lectura a varios clústeres, agregue los ID de clúster correspondientes al campo "Resource": ["acs:adb:*:*:dbcluster/am-xxx"] en el script. Por ejemplo, "Resource": ["acs:adb:*:*:dbcluster/am-xxx", "acs:adb:*:*:dbcluster/am-yyy"].

   Una vez creada la directiva personalizada, adjúntela al usuario de RAM correspondiente.

6. Haga clic en OK.

7. Introduzca un nombre y una descripción para la directiva, y luego haga clic en OK.

Referencias

• Cuando utilice AnalyticDB for MySQL Enterprise Edition, Basic Edition y Data Lakehouse Edition, puede bind a RAM user to a database standard account para realizar desarrollo de bases de datos directamente en el editor SQL o el editor Spark de la consola de AnalyticDB for MySQL.

• Cuando un usuario de RAM ya no necesite ciertos permisos o abandone su organización, puede remove los permisos o disable or delete the RAM user.