Data Management:Use DMS across Alibaba Cloud accounts

Suponga que la cuenta A de Alibaba Cloud desea registrar un recurso de la cuenta B de Alibaba Cloud en el inquilino de DMS de la cuenta A. Un usuario de RAM bajo la cuenta B debe completar los siguientes pasos en la consola de RAM:

1. Inicie sesión en la consola de RAM mediante un usuario de RAM bajo la cuenta B de Alibaba Cloud del propietario del recurso que tenga el permiso AliyunRAMFullAccess.

2. En la página Roles, cree un rol de RAM y configure a trust policy para la cuenta A. Utilice uno de los siguientes métodos:

   Método 1: Editor visual

   1. En la página Create Role, haga clic en Switch to Policy Editor.

      Para Select Trusted Entity, seleccione Alibaba Cloud Account. El botón Switch to Policy Editor se encuentra en el lado derecho del mensaje en la parte inferior de la página.

   2. En la pestaña Visual Editor, establezca Principal en Cloud Service. Configure los siguientes parámetros:

      • En el cuadro de texto debajo de Other Account, introduzca el UID de la cuenta A.

      • Para Cloud Service, seleccione Data Management/DMSEnterprise.

   3. Haga clic en OK.

   Método 2: Editor de scripts

   1. En la página Create Role, haga clic en Switch to Policy Editor.

   2. En la pestaña Script Editor, introduzca la siguiente directiva.

      Esta directiva de confianza permite al usuario especificado gestionar recursos para el registro de instancias entre cuentas.

      {
        "Statement": [
          {
            "Action": "sts:AssumeRole",
            "Effect": "Allow",
            "Principal": {
              "Service": [
                "<UID of Alibaba Cloud account A>@dms.aliyuncs.com"
              ]
            }
          }
        ],
        "Version": "1"
      }

   3. Haga clic en OK.

3. En la página Policies, create a custom policy. Por ejemplo, asigne a la directiva el nombre DmsCrossAccountPolicy.

   La directiva de permisos admite los siguientes tipos de base de datos y métodos de acceso (VPC): Tair (Redis OSS-compatible), PolarDB-X, OceanBase, ApsaraDB for Lindorm, Hologres, GDB, SelectDB y ClickHouse Enterprise Edition.

   Nota

   Para RDS, PolarDB for MySQL, PolarDB for PostgreSQL y PolarDB for PostgreSQL(Compatible with Oracle), omita los pasos 3 y 4, y continúe con el paso 5.

   Haga clic aquí para ver las directivas de permisos para cada tipo de base de datos.

   Redis

   {
     "Statement": [
       {
         "Action": [
           "kvstore:DescribeSecurityIps",
           "kvstore:ModifySecurityIps",
           "kvstore:DescribeRegions",
           "kvstore:DescribeInstances",
           "kvstore:DescribeInstanceAttribute",
           "kvstore:DescribeInstanceConfig"
         ],
         "Resource": "*",
         "Effect": "Allow"
       }
     ],
     "Version": "1"
   }

   PolarDB-X 1.0

   {
     "Statement": [
       {
         "Action": [
           "drds:DescribeDrdsInstances",
           "drds:QueryInstanceInfoByConn",
           "drds:DescribeDrdsInstanceList",
           "drds:DescribeDrdsDBIpWhiteList",
           "drds:ModifyDrdsIpWhiteList",
           "drds:DescribeDrdsInstanceVersion"
         ],
         "Resource": "*",
         "Effect": "Allow"
       }
     ],
     "Version": "1"
   }

   PolarDB-X 2.0

   {
     "Statement": [
       {
         "Action": [
           "polardbx:DescribeDBInstances",
           "polardbx:DescribeSecurityIps",
           "polardbx:ModifySecurityIps",
           "polardbx:DescribeDBInstanceAttribute",
           "polardbx:DescribeDBInstanceViaEndpoint"
         ],
         "Resource": "*",
         "Effect": "Allow"
       }
     ],
     "Version": "1"
   }

   OceanBase

   {
     "Statement": [
       {
         "Action": [
           "oceanbase:DescribeAllTenantsConnectionInfo",
           "oceanbase:DescribeInstances"
         ],
         "Resource": "*",
         "Effect": "Allow"
       }
     ],
     "Version": "1"
   }

   ApsaraDB for Lindorm

   {
     "Statement": [
       {
         "Action": [
           "lindorm:GetLindormInstanceList",
           "lindorm:GetLindormInstance",
           "lindorm:GetLindormInstanceListForDMS",
           "lindorm:GetLindormInstanceForDMS",
           "lindorm:GetLindormInstanceForDMSByConnStr",
           "lindorm:GetInstanceIpWhiteList",
           "lindorm:UpdateInstanceIpWhiteList"
         ],
         "Resource": "*",
         "Effect": "Allow"
       }
     ],
     "Version": "1"
   }

   Hologres

   {
     "Statement": [
       {
         "Action": [
           "hologram:GetInstance",
           "hologram:ListInstances"
         ],
         "Resource": "*",
         "Effect": "Allow"
       }
     ],
     "Version": "1"
   }

   GDB

   {
     "Statement": [
       {
         "Action": [
           "gdb:DescribeDbInstances"
         ],
         "Resource": "*",
         "Effect": "Allow"
       }
     ],
     "Version": "1"
   }

   SelectDB

   {
     "Statement": [
       {
         "Action": [
           "selectdb:DescribeDBInstances",
           "selectdb:DescribeDBInstanceAttribute",
           "selectdb:DescribeDBInstanceNetInfo",
           "selectdb:DescribeSecurityIPList",
           "selectdb:ModifySecurityIPList"
         ],
         "Resource": "*",
         "Effect": "Allow"
       }
     ],
     "Version": "1"
   }

   ClickHouse Enterprise Edition

   {
     "Statement": [
       {
         "Action": [
           "clickhouse:DescribeDBClusters",
           "clickhouse:DescribeDBInstances",
           "clickhouse:DescribeDBInstanceAttribute",
           "clickhouse:DescribeEndpoints",
           "clickhouse:DescribeSecurityIPList",
           "clickhouse:ModifySecurityIPList"
         ],
         "Resource": "*",
         "Effect": "Allow"
       }
     ],
     "Version": "1"
   }

   La siguiente directiva de ejemplo permite el registro de bases de datos a través de una VPC.

   {
     "Statement": [
       {
         "Action": [
           "vpc:DescribeVpcs"
         ],
         "Resource": "*",
         "Effect": "Allow"
       }
     ],
     "Version": "1"
   }

4. En la página Roles, asocie la directiva DmsCrossAccountPolicy al rol creado en el paso 2. Para obtener más información, consulte Manage permissions for a RAM role.

5. En la página Roles, haga clic en el nombre del rol y copie el ARN desde la página de detalles del rol.

Registro de la instancia

Cuando el usuario A registers a database, introduzca el ARN del rol.

En el cuadro de diálogo Register Database, dentro de la sección Basic Information, establezca Database Type en MySQL y configure Instance Region. En el campo Cross-account ARN, introduzca el ARN copiado en el paso 4.