¿Cómo uso DAS como usuario de RAM? - Database Autonomy Service - Centro de documentación de Alibaba Cloud

Otorgue a un usuario de RAM acceso a Database Autonomy Service (DAS) mediante Resource Access Management (RAM). Elija el enfoque que mejor se adapte a sus requisitos de acceso:

Asociar una política del sistema: configuración más rápida para niveles de acceso estándar (completo, solo lectura o solo lectura con exportación de registros SQL).
Crear una política personalizada: restrinja el acceso a instancias de base de datos específicas o defina las acciones permitidas exactas.
Otorgar permisos de exportación en SQL Explorer and Audit: agregue permisos de exportación y búsqueda a una política existente, según el tipo de base de datos.

Otorgar acceso mediante políticas del sistema

Las políticas del sistema están predefinidas y cubren los niveles de acceso a DAS más comunes. Utilice este enfoque cuando necesite acceso estándar y no requiera restringir el acceso a instancias específicas.

Política	Nivel de acceso
`AliyunHDMFullAccess`	Permisos completos en DAS
`AliyunHDMReadOnlyAccess`	Permisos de solo lectura en DAS
`AliyunHDMReadOnlyWithSQLLogArchiveAccess`	Permisos de solo lectura en DAS, además de las funciones de búsqueda y exportación en SQL Explorer and Audit

Pasos:

Create a RAM user.
Grant permissions to the RAM user; para ello, asocie la política correspondiente de la tabla anterior.

Nota

También puede usar políticas personalizadas para otorgar a un usuario de RAM los permisos necesarios para utilizar las funciones de search y exportación en SQL Explorer and Audit. Consulte la sección Otorgar permisos de búsqueda y exportación en SQL Explorer and Audit a continuación.

Otorgar acceso mediante políticas personalizadas

Las políticas personalizadas le permiten restringir el acceso a instancias de base de datos específicas u otorgar únicamente las acciones exactas que necesita un usuario de RAM. Utilice este enfoque cuando las políticas del sistema sean más amplias que sus requisitos.

Una política define el conjunto de recursos autorizados, las operaciones permitidas y las condiciones. Para obtener detalles sobre la estructura y sintaxis de las políticas, consulte Elementos de políticas y Estructura y sintaxis de políticas.

Pasos:

Ejemplo de política personalizada

La siguiente política otorga permisos de solo lectura en DAS para una instancia específica de ApsaraDB RDS:

{
    "Version": "1",
    "Statement": [
        {
            "Action": [
                "hdm:Get*",
                "hdm:Describe*",
                "hdm:Query*"
            ],
            "Resource": "acs:rds:*:*:dbinstance/<ApsaraDB RDS instance ID>",
            "Effect": "Allow"
        }
    ]
}

Reemplace <ApsaraDB RDS instance ID> con el ID real de su instancia. Para otros tipos de base de datos, utilice el patrón de Resource correspondiente:

Tipo de base de datos	Patrón de recurso
ApsaraDB RDS	`acs:rds:::dbinstance/<ApsaraDB RDS instance ID>`
ApsaraDB for Redis	`acs:kvstore:::*/<ApsaraDB for Redis instance ID>`
ApsaraDB for MongoDB	`acs:dds:::dbinstance/<ApsaraDB for MongoDB instance ID>`
PolarDB for MySQL, PolarDB for PostgreSQL y PolarDB for PostgreSQL (Compatible with Oracle)	`acs:polardb:::*/<PolarDB cluster ID>`
PolarDB-X 2.0	`acs:polardbx:::*/<PolarDB-X 2.0 instance ID>`

Sugerencia: Agregue permisos relacionados con DAS a una política personalizada de un servicio de base de datos para utilizar las funciones de DAS directamente en la consola de dicho servicio.

Solucionar el mensaje "sin permisos"

Después de otorgar permisos personalizados, la consola de DAS podría mostrar el siguiente mensaje cuando el usuario de RAM inicia sesión:

You do not have permissions. Contact the Alibaba Cloud account administrator for authorization

Haga clic en el icono para descartar el mensaje. Luego, agregue performance/instance/<Instance ID>/detail al final de la URL de la consola de DAS y actualice la página para ir directamente a la página de detalles de la instancia.

Otorgar permisos de búsqueda y exportación en SQL Explorer and Audit

Para otorgar a un usuario de RAM acceso a las funciones de search y exportación en SQL Explorer and Audit, cree una política personalizada con las acciones que se enumeran a continuación para su tipo de base de datos.

Importante

Para exportar datos desde la consola de un servicio de base de datos, el usuario de RAM también debe tener read-only permissions en ese servicio de base de datos.

Pasos:

Create a custom policy on the JSON tab; use la política correspondiente a su tipo de base de datos.
Attach the custom policy to the RAM user.

Instancias de ApsaraDB RDS

{
  "Version": "1",
  "Statement": [
    {
      "Action": [
        "rds:DescribeSQLLogRecordsList",
        "rds:DescribeSqlLogDetailArchiveStatus",
        "rds:StartSqlLogDetailArchive"
      ],
      "Resource": "*",
      "Effect": "Allow"
    }
  ]
}

Para restringir los permisos de exportación a una instancia específica, reemplace "Resource": "*" por "Resource": "acs:rds:*:*:dbinstance/<ApsaraDB RDS instance ID>".

Clústeres de PolarDB for MySQL

{
  "Version": "1",
  "Statement": [
    {
      "Action": [
        "polardb:DescribeSQLLogRecords",
        "polardb:DescribeSqlLogDetailArchiveStatus",
        "polardb:StartSqlLogDetailArchive"
      ],
      "Resource": "*",
      "Effect": "Allow"
    }
  ]
}

Para restringir los permisos de exportación a un clúster específico, reemplace "Resource": "*" por "Resource": "acs:polardb:*:*:*/<PolarDB for MySQL cluster ID>".

Instancias de PolarDB-X 2.0

{
  "Version": "1",
  "Statement": [
    {
      "Action": [
        "hdm:DescribeDasSQLLogRecordsList",
        "hdm:DescribeDasSqlLogDetailArchiveStatus",
        "hdm:StartDasSqlLogDetailArchive"
      ],
      "Resource": "*",
      "Effect": "Allow"
    }
  ]
}

Para restringir los permisos de exportación a una instancia específica, reemplace "Resource": "*" por "Resource": "acs:polardbx:*:*:instance/<PolarDB-X 2.0 instance ID>".