La función de políticas de DMS le permite gestionar el acceso a las funciones y los recursos de datos de DMS con un control detallado. Al definir una política, puede especificar permisos, como los de consulta y modificación, para recursos de datos en varios niveles, como instancias y bases de datos. También puede controlar qué acciones están permitidas para funciones específicas de DMS.
Funciones
-
Control del acceso a recursos de datos
Puede utilizar tanto las políticas como el sistema de permisos estándar para otorgar permisos, incluidos los de consulta y modificación, sobre recursos de datos en diferentes niveles, como una instancia, base de datos, base de datos lógica o tabla.
-
Control del acceso a funciones
Puede usar políticas para controlar las acciones de las funciones de DMS, por ejemplo, para permitir o denegar la creación y visualización de subfunciones.
Notas
Esta función se encuentra en versión canary.
Diferencias entre políticas y plantillas de permisos
|
Elemento |
Política |
Plantilla de permisos |
|
Objetos gestionables |
Recursos de datos y funciones de DMS |
Recursos de datos |
|
Alcance de los recursos de datos gestionables |
Alcance amplio, que incluye recursos de datos como instancias, bases de datos físicas, bases de datos lógicas y tablas. |
Alcance limitado, que solo incluye instancias, bases de datos y tablas. |
|
Alcance de los objetivos de autorización compatibles |
Usuarios y roles |
Usuarios |
Autenticación
Las políticas de DMS y el sistema de permisos estándar son complementarios.
Por ejemplo, si a un usuario se le otorgan permisos de consulta en la base de datos dmstest_db mediante una política y también recibe permisos de modificación en la misma base de datos a través del sistema de permisos estándar, dicho usuario tendrá tanto permisos de consulta como de modificación en esa base de datos.
Proceso de autenticación de recursos de datos
Requisitos previos
Debe contar con permisos para gestionar políticas. De lo contrario, solicite a un administrador que le asigne el rol de sistema de administrador. Para obtener más información, consulte Edit user information.
De forma predeterminada, los usuarios con el rol de administrador tienen permisos para gestionar políticas.
Paso 1: Crear y configurar una política
Inicie sesión en DMS 5.0.
-
En la esquina superior izquierda de la consola, haga clic en el icono
y seleccione .NotaSi utiliza la consola en modo normal, seleccione en la barra de navegación superior.
Esta función se encuentra en versión canary.
Haga clic en Create Policy. En la página que se abre, complete los campos de Basic Information y Remarks.
-
Configure el contenido de la política.
NotaDespués de configurar una declaración de política, puede hacer clic en Add Policy en la parte inferior de la página para agregar más declaraciones para recursos de datos y funciones.
Recursos de datos
-
Seleccione un Effect.
Un effect de tipo Allow otorga a los usuarios o roles autorizados acceso a los recursos de datos y funciones relacionadas definidos en la política. Por el contrario, un effect de tipo Deny prohíbe a los usuarios o roles autorizados acceder a los recursos y funciones definidos en la política.
-
En la pestaña , seleccione los recursos que desea controlar, como Instance, Database o Logical Database.
NotaLa consola muestra todos los tipos de recursos de datos compatibles.
-
En la sección Actions, seleccione un tipo de acción, como Read actions (permisos de consulta) o Write actions (permisos de modificación).
All Actions incluye tanto Read actions como Write actions. En Specified Actions, puede seleccionar acciones de lectura o escritura según sus necesidades. Después de realizar la selección, haga clic en el icono
para agregarlo al área de Selected Actions.En Read actions, seleccione Instance Query (
instance:InstanceQuery) y, en Write actions, seleccione Instance Modification (instance:InstanceCorrect). A continuación, haga clic en el icono para agregarlos al área de Selected Actions. -
En la sección Resource, seleccione el alcance del recurso: All Resources o Specified Resources.
Si selecciona Specified Resources, haga clic en Add Resource en la esquina inferior derecha.
En el cuadro de diálogo Add Resource, seleccione la instancia de destino en el campo Instance (puede buscar por palabra clave) y luego haga clic en Confirm.
-
(Opcional) Configure las condiciones de la política.
En la sección Condition, haga clic en Add Condition. En el cuadro de diálogo Add Condition, configure la Condition Key, el Operator y el valor.
NotaLos parámetros de condición disponibles dependen del tipo de recurso y de las acciones que haya seleccionado.
Ejemplos de configuraciones de claves de condición:
-
Selección del tipo de base de datos
Por ejemplo, si establece el Operator en StringEqualsIgnoreCase (case-insensitive string match) y el valor de la condición en MySQL, la política se aplicará únicamente a bases de datos MySQL.
-
Selección de hora
Por ejemplo, si establece el Operator en DateGreaterThan y el Condition Value en 2024-09-19 05:00, la política entrará en vigor solo después de esa fecha y hora.
-
Uso de funciones
-
Seleccione un Effect.
Un effect de tipo Allow otorga a los usuarios o roles autorizados acceso a los recursos de datos y funciones relacionadas definidos en la política. Por el contrario, un effect de tipo Deny prohíbe a los usuarios o roles autorizados acceder a los recursos y funciones definidos en la política.
En la pestaña , seleccione la función que desea controlar, como ticket de exportación de datos, gestión de usuarios, gestión de roles o protección de datos confidenciales.
-
En la sección Actions, seleccione un tipo de acción.
En Specified Actions, puede seleccionar acciones de lectura o escritura según sus necesidades. Después de realizar la selección, haga clic en el icono
para agregarlo al área de Selected Actions. -
En la sección Resource, seleccione el alcance del recurso: All Resources o Specified Resources.
Si selecciona Specified Resources, haga clic en Add Resource para agregar recursos.
-
(Opcional) Configure las condiciones de la política.
En la sección Condition, haga clic en Add Condition. En el cuadro de diálogo Add Condition, configure la Condition Key, el Operator y el valor.
NotaLos parámetros de condición disponibles dependen del tipo de recurso y de las acciones que haya seleccionado.
Por ejemplo, si selecciona Data Export Ticket como Resource Type, puede utilizar la Instance Environment Type como condition key de la siguiente manera:
Si establece el Operator en StringEqualsIgnoreCase (case-insensitive string match) y el Condition Value en dev, la política surtirá efecto únicamente para las bases de datos en el entorno de desarrollo (dev).
-
Haga clic en Confirm en la esquina inferior izquierda de la página para generar la política.
Paso 2: Autorizar a un usuario o rol
En la página de lista de políticas, localice la política de destino y haga clic en Authorize en la fila correspondiente.
-
En el cuadro de diálogo Authorize, seleccione los Users o Roles que desea autorizar. Puede seleccionar varios elementos.
Un rol hace referencia a un rol personalizado. Los usuarios asignados a este rol quedan sujetos a la política.
Haga clic en Confirm.
Gestión de políticas
En la página de lista de políticas, puede modify, delete o create a similar política.
Diagnóstico de permisos
Actualmente, DMS solo admite el diagnóstico de permisos para recursos de datos.
En la página de registros de operaciones, solo puede realizar diagnósticos de permisos sobre operaciones de los últimos tres meses.
La función de diagnóstico de permisos le ayuda a rastrear el origen de los permisos de un usuario sobre recursos de datos. Puede iniciar un diagnóstico de dos maneras:
Desde los registros de operaciones
-
Pase el puntero sobre el icono
en la esquina superior izquierda y seleccione .NotaSi utiliza la consola de DMS en modo normal, seleccione en la barra de navegación superior.
En la pestaña Operation Logs, filtre los registros de operaciones provenientes de SQL Console.
-
Haga clic en Permission Diagnosis a la derecha de una entrada de registro.
Se abre el cuadro de diálogo Permission Diagnosis y muestra el proceso de autenticación. El sistema comprueba primero si existe una política coincidente. Si encuentra una, su efecto determina el resultado: 'Allow' concede el acceso y 'Deny' lo revoca. Si no hay ninguna política coincidente, el sistema verifica entonces los permisos estándar. Si existen permisos estándar, se concede el acceso. De lo contrario, el sistema realiza una comprobación final de permisos de RAM en la instancia; si esta es exitosa, se concede el acceso, y si falla, se deniega.
Desde SQL Console
En la lista de instancias de bases de datos de la izquierda, busque la base de datos de destino y haga doble clic en ella para abrir SQL Console.
En la parte superior de la página, dentro de la sección My Permissions, seleccione un tipo de permiso y luego haga clic en Permission Diagnosis.
-
Haga clic en Permission Diagnosis para consultar el proceso de autenticación.
