Permisos - Data Management - Centro de documentación de Alibaba Cloud

DMS ofrece una gestión detallada de permisos para instancias de base de datos, bases de datos, tablas, columnas y filas. Puede otorgar permisos de inicio de sesión, consulta, exportación y modificación por recurso.

Categorías y tipos de permisos

Categoría de permiso	Tipo de permiso	Descripción	Requiere hosting seguro
Permisos de operación (permisos regulares)	Permisos sobre instancias de base de datos	Permisos de inicio de sesión para una instancia de base de datos. Disponibles solo cuando el hosting seguro está deshabilitado. Tras obtener estos permisos, puede acceder a la instancia con la cuenta y contraseña de la base de datos. Nota Los propietarios correspondientes en su organización gestionan las credenciales de la base de datos.	No
		Permisos para consultar el rendimiento de la instancia de base de datos. Database performance.	Sí
		Permisos para consultar, exportar y modificar datos de la instancia, excepto los datos en columnas y filas sensibles con control de acceso.
	Permisos sobre bases de datos	Permisos para consultar, exportar y modificar datos de la base de datos, excepto los datos en columnas y filas sensibles con control de acceso.
	Permisos sobre tablas	Permisos para consultar, exportar y modificar datos de la tabla, excepto los datos en columnas y filas sensibles con control de acceso.
	Permisos sobre columnas sensibles	Permisos para consultar, exportar y modificar datos de columnas sensibles. Nota Antes de solicitar permisos para columnas sensibles: La función de protección de datos sensibles debe estar habilitada. Enable the sensitive data protection feature. Debe contar con permisos sobre la base de datos y la tabla que contienen la columna sensible. Manage permissions.
	Permisos sobre filas	Permisos para consultar, exportar y modificar datos de filas. Row-level control. Nota Antes de solicitar permisos de fila, debe tener permisos sobre la base de datos y la tabla que contienen dicha fila.
	Permisos sobre objetos programables	Permisos para consultar, exportar y modificar datos de objetos programables. Cuando el hosting seguro está habilitado, debe obtener estos permisos antes de acceder a los objetos programables. Programmable objects.
Permisos de datos (permisos de propietario del recurso)	Propietario de la instancia	Permisos de propietario sobre un recurso (instancia, base de datos o tabla). Los propietarios pueden consultar, otorgar y revocar permisos del recurso, así como consultar sus datos, excepto la información en columnas y filas sensibles con control de acceso. Nota Cuando el hosting seguro está deshabilitado, solo los administradores de DMS y los DBA pueden gestionar los propietarios de instancias. En la consola de DMS, haga clic con el botón derecho en una instancia de base de datos en la sección izquierda Database Instances y elija Instance Owner > Set Owner.	Sí
	Propietario de la base de datos
	Propietario de la tabla
Control de acceso a metadatos	Control de acceso a metadatos	Control de acceso a instancias: Solo los usuarios autorizados pueden consultar y acceder a una instancia con control de acceso. Los usuarios no autorizados no pueden solicitar permisos. Control de acceso a bases de datos: Solo los usuarios autorizados pueden consultar y acceder a una base de datos con control de acceso. Los usuarios no autorizados no pueden solicitar permisos. Control de acceso de usuario: Un usuario con control de acceso solo puede consultar y acceder a las instancias y bases de datos sobre las que tiene permisos, y no puede solicitar permisos adicionales. Nota Tener cualquier permiso de datos u operación sobre una instancia o base de datos se considera como tener permisos sobre dicho recurso.	Sí

Permisos:

Consulta: permiso para ejecutar consultas SQL en SQL Console.
Modificación: permiso para ejecutar sentencias de cambio en SQL Console y enviar tickets de modificación de datos y de sincronización de bases de datos y tablas.
Exportación: permiso para enviar tickets de exportación de datos.

Nota
No es obligatorio para exportar conjuntos de resultados SQL desde SQL Console.

Verificación de permisos

Al realizar operaciones en una base de datos dentro de DMS con una cuenta de Alibaba Cloud o como usuario RAM, el sistema verifica sus permisos. DMS comprueba primero los permisos detallados y después los permisos de usuario RAM.

Nota

Para evitar que usuarios no autorizados busquen instancias y bases de datos, habilite el control de acceso en las instancias de base de datos. De este modo, solo los usuarios autorizados podrán buscar estos recursos. Enable metadata access control.

Deshabilitar la verificación de permisos RAM y habilitar el control de acceso a metadatos

Deshabilite la verificación de permisos RAM.

Vaya a O&M > Configuration Management y desactive RAM permission verification. Así, los usuarios RAM ya no podrán usar sus permisos existentes para operar instancias en DMS.
Habilite el control de acceso para las instancias de base de datos.

Nota
El control de acceso solo está disponible para instancias gestionadas en modo Secure Collaboration.

Vaya a Data Assets > Instances. En la pestaña Instance List, localice la instancia deseada; en la columna Actions, seleccione More > Secure Access Proxy y active el control de acceso.

Asignación de permisos a nivel de API

La capacidad para llamar a una operación de API de DMS depende tanto de su política RAM como de su rol de sistema en DMS. Una política RAM solo controla si puede iniciar sesión en DMS, lo cual requiere la política AliyunDMSLoginConsoleAccess. Su rol de sistema en DMS determina qué operaciones de API está autorizado a invocar.

Categoría de API	Operaciones de API de ejemplo	Rol de DMS requerido	¿Puede controlarse solo con una política RAM?
Gestión de usuarios	`ListUsers`, `RegisterUser`, `UpdateUser`, `EnableUser`, `DisableUser`, `DeleteUser`	Administrator	No. Incluso tras la autorización RAM, sigue siendo necesario el rol de administrador de DMS.
Reglas de aprobación y seguridad	`GetOpLog`, consultas de registros de operaciones	Administrator, DBA o administrador de seguridad	No. Se requiere el rol correspondiente de DMS.
Otras operaciones de API	`ListInstances`, `GetOrderBaseInfo`, entre otras	No se requiere un rol específico	Sí. Basta con una política RAM.

Las operaciones de API de la categoría de gestión de usuarios, como ListUsers, RegisterUser y UpdateUser, requieren el rol de administrador de DMS. Otorgar únicamente la acción RAM correspondiente no permite que un usuario RAM invoque estas operaciones. Otras operaciones, como ListInstances y GetOrderBaseInfo, pueden invocarse solo con la autorización de la política RAM y no exigen un rol específico de DMS. Si un usuario RAM recibe el error NoBizPermission tras la autorización RAM, significa que la operación de API requiere un rol de sistema de DMS adicional a la política RAM.

Siguientes pasos

Puede realizar las siguientes operaciones:

Gestione permisos de recursos por rol. Manage permissions.
Consulte los permisos de operación y de datos que se le han otorgado. Manage permissions.
Configure procesos de aprobación de permisos para distintos escenarios:
- Utilice aprobaciones estrictas para datos de producción y bases de datos de negocio principales.
- Utilice aprobaciones simples o acceso sin aprobación para datos de prueba y negocios no críticos.
Configure approval processes.
Gestione otros permisos de cuentas de base de datos mediante la función de gestión de cuentas. Account permission management.

Nota
La gestión de cuentas solo está disponible para MySQL, PostgreSQL y MongoDB. Para otros motores, gestione las cuentas de base de datos en la consola correspondiente.

Preguntas frecuentes

Q: Why do I still receive a "permission denied" error for a query after being granted logon permission for an instance in DMS?

A: En el modo sin hosting seguro, los usuarios solo necesitan permiso de inicio de sesión para realizar operaciones. Al cambiar al modo de hosting seguro, deben solicitar permisos específicos (consulta, exportación, modificación). Gestione los permisos de usuario en la página Manage access control permissions.