Configure RAM authorization for cross-account data migration and synchronization tasks - Data Transmission Service

Este tema describe cómo configurar la autorización de RAM para la cuenta de Alibaba Cloud propietaria de una instancia de base de datos al configurar una tarea de DTS entre cuentas.

Nota

Si no necesita información de contexto, puede configurar directamente la autorización de RAM para una instancia de base de datos donde el ajuste Replicate Data Across Alibaba Cloud Accounts sea Yes. Para obtener más detalles, consulte Scenario 1: Source database is cross-account, Scenario 2: Destination database is cross-account y Scenario 3: Both source and destination databases are cross-account.

Contexto

Para configurar una tarea de DTS entre cuentas en la que seleccione Yes en el parámetro Replicate Data Across Alibaba Cloud Accounts, primero debe realizar la autorización de RAM. Este proceso designa a la cuenta de Alibaba Cloud (cuenta raíz) que crea la tarea de DTS como una cuenta de confianza, lo que le permite acceder a los recursos en la nube de la cuenta de Alibaba Cloud propietaria de la instancia de base de datos a través de DTS.

Qué es una tarea entre cuentas

Una tarea entre cuentas es una tarea de DTS en la que la instancia de base de datos de origen o de destino pertenece a una cuenta de Alibaba Cloud distinta de la que se utiliza para crear la tarea.

Escenarios para tareas entre cuentas

Existen tres escenarios entre cuentas, los cuales dependen de la cuenta de Alibaba Cloud que se utilice para crear la tarea de DTS en la consola de DTS.

Nota

Para obtener más información sobre las cuentas, consulte Accounts.

Escenario	Descripción	Configuración
La base de datos de origen es entre cuentas	Para la base de datos de origen, se selecciona Yes en el parámetro Replicate Data Across Alibaba Cloud Accounts. Para la base de datos de destino, se selecciona No en el parámetro Replicate Data Across Alibaba Cloud Accounts.	Utilice la cuenta A de Alibaba Cloud (propietaria de la base de datos de origen) para configurar la autorización de RAM y la cuenta B (propietaria de la base de datos de destino) para crear la tarea de DTS.
La base de datos de destino es entre cuentas	Para la base de datos de origen, se selecciona No en el parámetro Replicate Data Across Alibaba Cloud Accounts. Para la base de datos de destino, se selecciona Yes en el parámetro Replicate Data Across Alibaba Cloud Accounts.	Utilice la cuenta B de Alibaba Cloud (propietaria de la base de datos de destino) para configurar la autorización de RAM y la cuenta A (propietaria de la base de datos de origen) para crear la tarea de DTS.
Ambas bases de datos, origen y destino, son entre cuentas	Tanto para la base de datos de origen como para la de destino, se selecciona Yes en el parámetro Replicate Data Across Alibaba Cloud Accounts.	Las cuentas A (origen) y B (destino) de Alibaba Cloud deben configurar por separado la autorización de RAM. Posteriormente, se utiliza una cuenta C designada de Alibaba Cloud para crear la tarea de DTS.

Bases de datos compatibles

La compatibilidad de una instancia de base de datos con el acceso entre cuentas depende de su Database Type y su Access Method. Las siguientes tablas enumeran las instancias de base de datos compatibles.

Nota

El ajuste Replicate Data Across Alibaba Cloud Accounts de la base de datos de origen no afecta las opciones disponibles de Database Type para la base de datos de destino.

Base de datos de origen

Tipo	Método de acceso
MySQL	Alibaba Cloud Instance, Express Connect, VPN Gateway, or Smart Access Gateway, Self-managed Database on ECS
PolarDB for MySQL	Alibaba Cloud Instance
Tair/Redis	Alibaba Cloud Instance, Express Connect, VPN Gateway, or Smart Access Gateway, Self-managed Database on ECS, Cloud Enterprise Network (CEN), Database Gateway
SQL Server	Alibaba Cloud Instance, Express Connect, VPN Gateway, or Smart Access Gateway
PostgreSQL	Alibaba Cloud Instance, Express Connect, VPN Gateway, or Smart Access Gateway
MongoDB	Alibaba Cloud Instance, Express Connect, VPN Gateway, or Smart Access Gateway, Self-managed Database on ECS, Cloud Enterprise Network (CEN) Importante La configuración entre cuentas no es compatible si la base de datos de origen es una instancia de ApsaraDB for MongoDB (arquitectura de clúster fragmentado) a la que se accede mediante Express Connect, VPN Gateway, or Smart Access Gateway.
Oracle	Express Connect, VPN Gateway, or Smart Access Gateway
PolarDB (Compatible with Oracle)	Alibaba Cloud Instance, Express Connect, VPN Gateway, or Smart Access Gateway
PolarDB for PostgreSQL	Alibaba Cloud Instance
PolarDB-X 1.0	Alibaba Cloud Instance
PolarDB-X 2.0	Alibaba Cloud Instance
DB2 for iSeries (AS/400)	Express Connect, VPN Gateway, or Smart Access Gateway
DB2 for LUW	Express Connect, VPN Gateway, or Smart Access Gateway, Self-managed Database on ECS
MariaDB	Alibaba Cloud Instance, Express Connect, VPN Gateway, or Smart Access Gateway, Self-managed Database on ECS
ApsaraDB OceanBase for MySQL	Alibaba Cloud Instance, Express Connect, VPN Gateway, or Smart Access Gateway, Self-managed Database on ECS
SLS	Alibaba Cloud Instance
AnalyticDB for MySQL 3.0	Alibaba Cloud Instance
Kafka	Alibaba Cloud Instance, Express Connect, VPN Gateway, or Smart Access Gateway, Self-managed Database on ECS

Base de datos de destino

Tipo	Método de acceso
MySQL	Alibaba Cloud Instance
PolarDB for MySQL	Alibaba Cloud Instance
AnalyticDB for MySQL 3.0	Alibaba Cloud Instance
Tair/Redis	Alibaba Cloud Instance
ClickHouse	Alibaba Cloud Instance
ApsaraDB for SelectDB	Alibaba Cloud Instance
MongoDB	Alibaba Cloud Instance

Cuentas

En una tarea entre cuentas, la función de cada cuenta de Alibaba Cloud (para la base de datos de origen, la base de datos de destino y la tarea de DTS) depende de qué base de datos esté configurada como entre cuentas.

Nota

Base de datos entre cuentas: La base de datos para la cual se selecciona Yes en el parámetro Replicate Data Across Alibaba Cloud Accounts al configurar la tarea de DTS. Esto se utiliza para determinar el escenario de la tarea entre cuentas.

Para utilizar esta tabla, primero identifique qué base de datos es entre cuentas. Luego, busque ese escenario en la columna Cross-account database para determinar qué cuenta de Alibaba Cloud debe usar en cada paso.

Base de datos entre cuentas	Cuenta de la consola de RAM	Cuenta de la directiva de confianza	Cuenta de la tarea de DTS	Tarea de DTS entre cuentas
Base de datos de origen	La cuenta propietaria de la base de datos de origen.	La cuenta propietaria de la base de datos de destino.	La cuenta propietaria de la base de datos de destino.	En la sección Source Database, introduzca el ID de la cuenta de Alibaba Cloud propietaria de la base de datos de origen en el campo Alibaba Cloud Account.
Base de datos de destino	La cuenta propietaria de la base de datos de destino.	La cuenta propietaria de la base de datos de origen.	La cuenta propietaria de la base de datos de origen.	En la sección Destination Database, introduzca el ID de la cuenta de Alibaba Cloud propietaria de la base de datos de destino en el campo Alibaba Cloud Account.
Bases de datos de origen y destino	Las cuentas propietarias de las bases de datos de origen y destino.	Una cuenta designada.	Una cuenta designada.	En la sección Source Database, introduzca el ID de la cuenta de Alibaba Cloud propietaria de la base de datos de origen en el campo Alibaba Cloud Account. i0z" conref="mcms_dita_dts_web.dita#dts_web/dts.common.field.crossAccount"> field. En la sección Destination Database, introduzca el ID de la cuenta de Alibaba Cloud propietaria de la base de datos de destino en el campo Alibaba Cloud Account. e953dna" conref="mcms_dita_dts_web.dita#dts_web/dts.common.field.crossAccount"> field.

Configuración

Identifique el escenario de la tarea entre cuentas.

La instancia de base de datos determina el escenario. Una tarea se considera Replicate Data Across Alibaba Cloud Accounts si la instancia pertenece a una cuenta diferente, y debe configurarse como Yes.

d as Yes.
Obtenga los ID de las cuentas principales.

Obtenga el ID de la cuenta principal propietaria de la instancia de base de datos y el ID de la cuenta principal que utilizará para crear la tarea de DTS.

account that owns the database instance and the ID of the main account you will use to create the DTS task.
Cree un rol de RAM.

Utilice la cuenta principal propietaria de la instancia de base de datos para crear el rol de RAM requerido.

the database instance to create the required RAM role.
Otorgue autorización detallada.

Otorgue autorización detallada al rol de RAM recién creado.

c5c8obu">Grant fine-grained authorization to the newly created RAM role.
Modifique la directiva de confianza.

Modifique la directiva de confianza del rol de RAM.

Modify the trust policy of the RAM role.

Requisitos previos

Usted tiene granted DTS permission to access cloud resources.

Consideraciones

Sí, pero actualmente solo las tareas de sincronización bidireccional entre instancias de ApsaraDB RDS for MySQL, entre clústeres de PolarDB for MySQL, entre instancias de Tair (Enterprise Edition), entre instancias de ApsaraDB for MongoDB (ReplicaSet) o entre instancias de ApsaraDB for MongoDB (clúster fragmentado) admiten la sincronización bidireccional entre cuentas.
Una tarea de sincronización bidireccional entre cuentas involucra una base de datos de origen y una base de datos de destino en cuentas diferentes. Por lo tanto, debe configurar la autorización de RAM para las cuentas de Alibaba Cloud tanto de la base de datos de origen como de la de destino.

base and a target database in different accounts. Therefore, you must configure RAM authorization for the Alibaba Cloud accounts of both the source and target databases.
La sincronización entre diferentes tipos de cuenta, como cuentas de Financial Cloud y Government Cloud, no es compatible.

count types, such as Financial Cloud and Government Cloud accounts, is not supported.
Inicie sesión siempre en la consola con una cuenta principal de Alibaba Cloud. Si utiliza un usuario de RAM, podría encontrar un error de autorización al crear una tarea de DTS.

you use a RAM user, you may encounter an authorization error when you create a DTS task.
Cuando selecciona Express Connect, VPN Gateway, or Smart Access Gateway, se muestra la opción Replicate Data Across Alibaba Cloud Accounts. Seleccione Yes, introduzca el ID de la otra cuenta de Alibaba Cloud y el nombre del rol entre cuentas, e introduzca manualmente la dirección IP interna, el puerto, la cuenta de la base de datos y la contraseña de la otra base de datos.

other Alibaba Cloud account ID and the cross-account role name, and manually enter the internal IP address, port, database account, and password of the other database.
La sincronización entre cuentas no requiere conectar dos VPC por adelantado. Después de seleccionar Yes, el cuadro de selección de VPC se deshabilita. DTS accede a los recursos de la otra cuenta mediante la autenticación de roles de RAM.

-isbold="true" id="ui-nc-yes-2">, the VPC selection box is disabled. DTS accesses resources in the other account through RAM role authentication.
La lista de instancias de ECS muestra únicamente las instancias de ECS de la cuenta actual. No es posible seleccionar instancias de ECS de la otra cuenta. En escenarios entre cuentas, introduzca la dirección IP de la base de datos manualmente.

ccount. Selecting ECS instances from the other account is not supported. In cross-account scenarios, enter the database IP address manually.

Requisitos previos

ID de la cuenta principal de la base de datos de origen

Inicie sesión en la consola de Alibaba Cloud con esta cuenta. Vaya a la página o Security Settings. Obtenga el Account ID .

ID de la cuenta principal de la base de datos de destino

Inicie sesión en la consola de Alibaba Cloud con esta cuenta. Vaya a la página o Security Settings. Obtenga el Account ID .

ID de la cuenta principal para la tarea de DTS

Inicie sesión en la consola de Alibaba Cloud con esta cuenta. Vaya a la página o Security Settings. Obtenga el Account ID .

Escenario 1: Base de datos de origen en una cuenta diferente

Paso 1: Crear un rol de RAM

Inicie sesión en RAM console con la cuenta de Alibaba Cloud (cuenta principal) propietaria de la base de datos de origen.

k"> con la cuenta de Alibaba Cloud (cuenta principal) propietaria de la base de datos de origen.
En el panel de navegación izquierdo, seleccione Identities > Role.

Importante
No seleccione Identities > Users. De lo contrario, DTS no podrá acceder a la instancia de base de datos y se producirá un error.

se producirá un error.
En la página Role, haga clic en Create Role.

id="uicontrol_znn_dnk_zbi">Create Role.
En el panel Create Role, configure el rol de RAM.
1. En Principal Type, seleccione Cloud Account.
2. En Principal Name, seleccione Other Account e introduzca el ID de la cuenta de Alibaba Cloud (cuenta principal) propietaria de la base de datos de destino.
3. En la parte inferior de la página, haga clic en OK.
4. En el panel Create Role, introduzca un nombre para el rol de RAM y haga clic en OK.
  
  En este ejemplo, introduzca ram-for-dts.
g="uicontrol" id="a73e158de1l6x" conref="mcms_dita_dts_web.dita#dts_web/dts.common.ok">.

En este ejemplo, introduzca ram-for-dts.

on.ok">.

En este ejemplo, introduzca ram-for-dts.

Paso 2: Otorgar permisos precisos

No es posible encontrar AliyunDTSRolePolicy mediante la función de búsqueda de Add Permissions. En la pestaña Permissions, haga clic en Precise Permission. Introduzca AliyunDTSRolePolicy en el cuadro de texto del nombre de la directiva y, a continuación, haga clic en OK para completar la autorización.

Desde la página de confirmación

En la pestaña Permissions, haga clic en Grant Permission.

g">Permissions tab, click Grant Permission.
En el panel Grant Permission, establezca Policy Type como System Policy.

ission panel, set Policy Type to System Policy.
En el campo Policy Name, introduzca AliyunDTSRolePolicy.

/b> field, enter AliyunDTSRolePolicy.
Haga clic en OK.

Puede hacer clic en el icono de actualización situado a la derecha de la pestaña Permissions para confirmar que se ha otorgado el permiso.

side of the Permissions tab to confirm that the permission has been granted.

Desde la lista de roles

Vaya a la página de detalles del rol de RAM.
1. Inicie sesión en RAM console con la cuenta de Alibaba Cloud (cuenta principal) propietaria de la base de datos de origen.
  
  k"> con la cuenta de Alibaba Cloud (cuenta principal) propietaria de la base de datos de origen.
2. En el panel de navegación izquierdo, seleccione Identities > Role.
  
  Importante
  No seleccione Identities > Users. De lo contrario, DTS no podrá acceder a la instancia de base de datos y se producirá un error.
  
  se producirá un error.
3. En la página Role, busque y haga clic en el rol de RAM deseado.
ind and click the target RAM role.d click the target RAM role.
En la pestaña Permissions, haga clic en Grant Permission.

g">Permissions tab, click Grant Permission.
En el panel Grant Permission, establezca Policy Type como System Policy.

ission panel, set Policy Type to System Policy.
En el campo Policy Name, introduzca AliyunDTSRolePolicy.

/b> field, enter AliyunDTSRolePolicy.
Haga clic en OK.

Puede hacer clic en el icono de actualización situado a la derecha de la pestaña Permissions para confirmar que se ha otorgado el permiso.

side of the Permissions tab to confirm that the permission has been granted.

Paso 3: Actualizar la directiva de confianza

Desde la página de confirmación de autorización

Haga clic en la pestaña Trust Policy.

Haga clic en Edit Trust Policy.

>

Haga clic en Edit Trust Policy.
En la pestaña Trust Policy, haga clic en Edit Trust Policy.

>Trust Policy tab, click Edit Trust Policy.

En la pestaña JSON, reemplace el código existente en el editor de directivas por el siguiente código.

{
    "Statement": [
        {
            "Action": "sts:AssumeRole",
            "Effect": "Allow",
            "Principal": {
                "RAM": [
                    "acs:ram::<Alibaba Cloud account ID>:root"
                ],
                "Service": [
                    "<Alibaba Cloud account ID>@dts.aliyuncs.com"
                ]
            }
        }
    ],
    "Version": "1"
}

/div>

Reemplace ambos marcadores de posición <Alibaba Cloud account ID> con el ID de la cuenta de Alibaba Cloud (cuenta principal) propietaria de la base de datos de destino.

Ejemplo (haga clic para expandir)

{
    "Statement": [
        {
            "Action": "sts:AssumeRole",
            "Effect": "Allow",
            "Principal": {
                "RAM": [
                    "acs:ram::164682176356****:root"
                ],
                "Service": [
                    "164682176356****@dts.aliyuncs.com"
                ]
            }
        }
    ],
    "Version": "1"
}

"164682176356****@dts.aliyuncs.com" ] } } ], "Version": "1" }

Haga clic en OK para guardar la directiva de confianza.<Alibaba Cloud account ID>@dts.aliyuncs.com" a "dts.aliyuncs.com", indica que el <Alibaba Cloud account ID> especificado es incorrecto. Asegúrese de proporcionar el ID de la cuenta de Alibaba Cloud propietaria de la base de datos de destino, no de la de origen.es incorrecto. Asegúrese de proporcionar el ID de la cuenta de Alibaba Cloud propietaria de la base de datos de destino, no de la de origen.es incorrecto. Asegúrese de proporcionar el ID de la cuenta de Alibaba Cloud propietaria de la base de datos de destino, no de la de origen.es incorrecto. Asegúrese de proporcionar el ID de la cuenta de Alibaba Cloud propietaria de la base de datos de destino, no de la de origen.

Si, después de guardar la directiva de confianza, la sección Service del código cambia automáticamente de "<Alibaba Cloud account ID>@dts.aliyuncs.com" a "dts.aliyuncs.com", significa que el <Alibaba Cloud account ID> está configurado incorrectamente. Debe introducir el ID de la cuenta de Alibaba Cloud de la base de datos de destino, pero introdujo el de la base de datos de origen.

Nota
Para obtener más información sobre qué cuenta de Alibaba Cloud usar para iniciar sesión y qué ID de cuenta especificar en la directiva de confianza, consulte Account information.-node="17089" baseurl="t17089_v1_14_13.xdita" data-tag="xref" id="40bb40df41xbf" href="#ae3f1fb80bnxf">Account information.-node="17089" baseurl="t17089_v1_14_13.xdita" data-tag="xref" id="40bb40df41xbf" href="#ae3f1fb80bnxf">Account information.-node="17089" baseurl="t17089_v1_14_13.xdita" data-tag="xref" id="40bb40df41xbf" href="#ae3f1fb80bnxf">Account information.

Desde la lista de roles

Vaya a la página de detalles del rol de RAM.
1. Inicie sesión en RAM console con la cuenta de Alibaba Cloud (cuenta principal) propietaria de la base de datos de origen.
  
  k"> con la cuenta de Alibaba Cloud (cuenta principal) propietaria de la base de datos de origen.
2. En el panel de navegación izquierdo, seleccione Identities > Role.
  
  Importante
  No seleccione Identities > Users. De lo contrario, DTS no podrá acceder a la instancia de base de datos y se producirá un error.
  
  se producirá un error.
3. En la página Role, busque y haga clic en el rol de RAM deseado.
OPIC">
Haga clic en la pestaña Trust Policy.

Haga clic en Edit Trust Policy.

>

Haga clic en Edit Trust Policy.
En la pestaña Trust Policy, haga clic en Edit Trust Policy.

>Trust Policy tab, click Edit Trust Policy.

En la pestaña JSON, reemplace el código existente en el editor de directivas por el siguiente código.

{
    "Statement": [
        {
            "Action": "sts:AssumeRole",
            "Effect": "Allow",
            "Principal": {
                "RAM": [
                    "acs:ram::<Alibaba Cloud account ID>:root"
                ],
                "Service": [
                    "<Alibaba Cloud account ID>@dts.aliyuncs.com"
                ]
            }
        }
    ],
    "Version": "1"
}

/div>

Reemplace ambos marcadores de posición <Alibaba Cloud account ID> con el ID de la cuenta de Alibaba Cloud (cuenta principal) propietaria de la base de datos de destino.

Ejemplo (haga clic para expandir)

{
    "Statement": [
        {
            "Action": "sts:AssumeRole",
            "Effect": "Allow",
            "Principal": {
                "RAM": [
                    "acs:ram::164682176356****:root"
                ],
                "Service": [
                    "164682176356****@dts.aliyuncs.com"
                ]
            }
        }
    ],
    "Version": "1"
}

"164682176356****@dts.aliyuncs.com" ] } } ], "Version": "1" }

Haga clic en OK para guardar la directiva de confianza.<Alibaba Cloud account ID>@dts.aliyuncs.com" a "dts.aliyuncs.com", indica que el <Alibaba Cloud account ID> especificado es incorrecto. Asegúrese de proporcionar el ID de la cuenta de Alibaba Cloud propietaria de la base de datos de destino, no de la de origen.es incorrecto. Asegúrese de proporcionar el ID de la cuenta de Alibaba Cloud propietaria de la base de datos de destino, no de la de origen.es incorrecto. Asegúrese de proporcionar el ID de la cuenta de Alibaba Cloud propietaria de la base de datos de destino, no de la de origen.es incorrecto. Asegúrese de proporcionar el ID de la cuenta de Alibaba Cloud propietaria de la base de datos de destino, no de la de origen.

Si, después de guardar la directiva de confianza, la sección Service del código cambia automáticamente de "<Alibaba Cloud account ID>@dts.aliyuncs.com" a "dts.aliyuncs.com", significa que el <Alibaba Cloud account ID> está configurado incorrectamente. Debe introducir el ID de la cuenta de Alibaba Cloud de la base de datos de destino, pero introdujo el de la base de datos de origen.

Nota
Para obtener más información sobre qué cuenta de Alibaba Cloud usar para iniciar sesión y qué ID de cuenta especificar en la directiva de confianza, consulte Account information.-node="17089" baseurl="t17089_v1_14_13.xdita" data-tag="xref" id="40bb40df41xbf" href="#ae3f1fb80bnxf">Account information.-node="17089" baseurl="t17089_v1_14_13.xdita" data-tag="xref" id="40bb40df41xbf" href="#ae3f1fb80bnxf">Account information.-node="17089" baseurl="t17089_v1_14_13.xdita" data-tag="xref" id="40bb40df41xbf" href="#ae3f1fb80bnxf">Account information.

Escenario 2: Destino en otra cuenta

Paso 1: Crear un rol de RAM

Inicie sesión en RAM console con la cuenta raíz de Alibaba Cloud propietaria de la base de datos de destino.

"> con la cuenta raíz de Alibaba Cloud propietaria de la base de datos de destino.
En el panel de navegación izquierdo, seleccione Identities > Role.

Importante
No seleccione Identities > Users. De lo contrario, DTS no podrá acceder a la instancia de base de datos y se producirá un error.

se producirá un error.
En la página Role, haga clic en Create Role.

id="uicontrol_znn_dnk_zbi">Create Role.
En el panel Create Role, configure el rol de RAM.
1. En Principal Type, seleccione Cloud Account.
2. En Principal Name, seleccione Other Account y, a continuación, introduzca el ID de la cuenta raíz de Alibaba Cloud propietaria de la base de datos de origen.
3. En la parte inferior de la página, haga clic en OK.
4. En el panel Create Role, introduzca un nombre para el rol de RAM y haga clic en OK.
  
  En este ejemplo, introduzca ram-for-dts.
d">Obtenga el ID de la cuenta raíz de Alibaba Cloud propietaria de la base de datos de origen.

Paso 2: Otorgar permisos al rol de RAM

Desde la página de confirmación

En la pestaña Permissions, haga clic en Grant Permission.

g">Permissions tab, click Grant Permission.
En el panel Grant Permission, establezca Policy Type como System Policy.

ission panel, set Policy Type to System Policy.
En el campo Policy Name, introduzca AliyunDTSRolePolicy.

/b> field, enter AliyunDTSRolePolicy.
Haga clic en OK.

Puede hacer clic en el icono de actualización situado a la derecha de la pestaña Permissions para confirmar que se ha otorgado el permiso.

side of the Permissions tab to confirm that the permission has been granted.

Desde la lista de roles

Vaya a la página de detalles del rol de RAM.
1. Inicie sesión en RAM console con la cuenta raíz de Alibaba Cloud propietaria de la base de datos de destino.
  
  "> con la cuenta raíz de Alibaba Cloud propietaria de la base de datos de destino.
2. En el panel de navegación izquierdo, seleccione Identities > Role.
  
  Importante
  No seleccione Identities > Users. De lo contrario, DTS no podrá acceder a la instancia de base de datos y se producirá un error.
  
  se producirá un error.
3. En la página Role, busque y haga clic en el rol de RAM deseado.
OPIC">
En la pestaña Permissions, haga clic en Grant Permission.

g">Permissions tab, click Grant Permission.
En el panel Grant Permission, establezca Policy Type como System Policy.

ission panel, set Policy Type to System Policy.
En el campo Policy Name, introduzca AliyunDTSRolePolicy.

/b> field, enter AliyunDTSRolePolicy.
Haga clic en OK.

Puede hacer clic en el icono de actualización situado a la derecha de la pestaña Permissions para confirmar que se ha otorgado el permiso.

side of the Permissions tab to confirm that the permission has been granted.

Paso 3: Actualizar la directiva de confianza

Desde la página de confirmación

Haga clic en la pestaña Trust Policy.

Haga clic en Edit Trust Policy.

>

Haga clic en Edit Trust Policy.
En la pestaña Trust Policy, haga clic en Edit Trust Policy.

>Trust Policy tab, click Edit Trust Policy.

En la pestaña JSON, reemplace el código existente en el editor de directivas por el siguiente código.

{
    "Statement": [
        {
            "Action": "sts:AssumeRole",
            "Effect": "Allow",
            "Principal": {
                "RAM": [
                    "acs:ram::<Alibaba Cloud account ID>:root"
                ],
                "Service": [
                    "<Alibaba Cloud account ID>@dts.aliyuncs.com"
                ]
            }
        }
    ],
    "Version": "1"
}

/div>

Reemplace ambos marcadores de posición <Alibaba Cloud account ID> con el ID de la cuenta raíz de Alibaba Cloud propietaria de la base de datos de origen.

Ejemplo (haga clic para expandir)

{
    "Statement": [
        {
            "Action": "sts:AssumeRole",
            "Effect": "Allow",
            "Principal": {
                "RAM": [
                    "acs:ram::164682176356****:root"
                ],
                "Service": [
                    "164682176356****@dts.aliyuncs.com"
                ]
            }
        }
    ],
    "Version": "1"
}

Id="4967131" docType="TOPIC" data-node="17089" data-latest="1" conref="#a80e7d098eh5q">

Haga clic en OK para guardar la directiva de confianza.

Si, después de guardar la directiva de confianza, la parte "<Alibaba Cloud account ID>@dts.aliyuncs.com" del código cambia automáticamente a "dts.aliyuncs.com", esto indica que <Alibaba Cloud account ID> está configurado incorrectamente (debe ser el ID de la cuenta de Alibaba Cloud de la base de datos de origen, pero configuró el ID de la cuenta de la base de datos de destino).

Nota
Para conocer la cuenta de Alibaba Cloud utilizada para iniciar sesión en la consola de RAM y reemplazada en la directiva de confianza, consulte Accounts.

13db5dcx99" type="note" data-init-id="9894a6a1436ab">

Para conocer la cuenta de Alibaba Cloud utilizada para iniciar sesión en la consola de RAM y reemplazada en la directiva de confianza, consulte Accounts.

Desde la lista de roles

Vaya a la página de detalles del rol de RAM.
1. Inicie sesión en RAM console con la cuenta raíz de Alibaba Cloud propietaria de la base de datos de destino.
  
  "> con la cuenta raíz de Alibaba Cloud propietaria de la base de datos de destino.
2. En el panel de navegación izquierdo, seleccione Identities > Role.
  
  Importante
  No seleccione Identities > Users. De lo contrario, DTS no podrá acceder a la instancia de base de datos y se producirá un error.
  
  se producirá un error.
3. En la página Role, busque y haga clic en el rol de RAM deseado.
OPIC">
Haga clic en la pestaña Trust Policy.

Haga clic en Edit Trust Policy.

>

Haga clic en Edit Trust Policy.
En la pestaña Trust Policy, haga clic en Edit Trust Policy.

>Trust Policy tab, click Edit Trust Policy.

En la pestaña JSON, reemplace el código existente en el editor de directivas por el siguiente código.

{
    "Statement": [
        {
            "Action": "sts:AssumeRole",
            "Effect": "Allow",
            "Principal": {
                "RAM": [
                    "acs:ram::<Alibaba Cloud account ID>:root"
                ],
                "Service": [
                    "<Alibaba Cloud account ID>@dts.aliyuncs.com"
                ]
            }
        }
    ],
    "Version": "1"
}

/div>

Reemplace ambos marcadores de posición <Alibaba Cloud account ID> con el ID de la cuenta raíz de Alibaba Cloud propietaria de la base de datos de origen.

Ejemplo (haga clic para expandir)

{
    "Statement": [
        {
            "Action": "sts:AssumeRole",
            "Effect": "Allow",
            "Principal": {
                "RAM": [
                    "acs:ram::164682176356****:root"
                ],
                "Service": [
                    "164682176356****@dts.aliyuncs.com"
                ]
            }
        }
    ],
    "Version": "1"
}

Id="4967131" docType="TOPIC" data-node="17089" data-latest="1" conref="#a80e7d098eh5q">

Haga clic en OK para guardar la directiva de confianza.

Si, después de guardar la directiva de confianza, la parte "<Alibaba Cloud account ID>@dts.aliyuncs.com" del código cambia automáticamente a "dts.aliyuncs.com", esto indica que <Alibaba Cloud account ID> está configurado incorrectamente (debe ser el ID de la cuenta de Alibaba Cloud de la base de datos de origen, pero configuró el ID de la cuenta de la base de datos de destino).

Nota
Para conocer la cuenta de Alibaba Cloud utilizada para iniciar sesión en la consola de RAM y reemplazada en la directiva de confianza, consulte Accounts.

13db5dcx99" type="note" data-init-id="9894a6a1436ab">

Para conocer la cuenta de Alibaba Cloud utilizada para iniciar sesión en la consola de RAM y reemplazada en la directiva de confianza, consulte Accounts.

Escenario 3: Bases de datos de origen y destino entre cuentas

Paso 1: Configurar RAM para la cuenta de origen

Cree un rol de RAM.
1. Inicie sesión en RAM console con la cuenta de Alibaba Cloud (cuenta principal) propietaria de la base de datos de origen.
  
  k"> with the Alibaba Cloud account (main account) that owns the source database.
2. En el panel de navegación izquierdo, seleccione Identities > Role.
  
  Importante
  No seleccione Identities > Users. De lo contrario, DTS no podrá acceder a la instancia de base de datos y se producirá un error.
  
  error occurs.
3. En la página Role, haga clic en Create Role.
  
  id="uicontrol_znn_dnk_zbi">Create Role.
4. En el panel Create Role, configure el rol de RAM.
  1. En Principal Type, seleccione Cloud Account.
  2. En Principal Name, seleccione Other Account e introduzca el ID de la cuenta raíz designada para crear la tarea de DTS.
  3. En la parte inferior de la página, haga clic en OK.
  4. En el panel Create Role, introduzca un nombre para el rol de RAM y haga clic en OK.
    
    En este ejemplo, introduzca ram-for-dts.
>
Otorgue permisos precisos al rol de RAM.
Desde la página de confirmación
1. En la pestaña Permissions, haga clic en Grant Permission.
  
  g">Permissions tab, click Grant Permission.
2. En el panel Grant Permission, establezca Policy Type como System Policy.
  
  ission panel, set Policy Type to System Policy.
3. En el campo Policy Name, introduzca AliyunDTSRolePolicy.
  
  /b> field, enter AliyunDTSRolePolicy.
4. Haga clic en OK.
  
  Puede hacer clic en el icono de actualización situado a la derecha de la pestaña Permissions para confirmar que se ha otorgado el permiso.
  
  side of the Permissions tab to confirm that the permission has been granted.
Desde la lista de roles
1. Vaya a la página de detalles del rol de RAM.
  
  Inicie sesión en RAM console con la cuenta de Alibaba Cloud (cuenta principal) propietaria de la base de datos de origen.
  
  k"> with the Alibaba Cloud account (main account) that owns the source database.
  
  En el panel de navegación izquierdo, seleccione Identities > Role.
  
  Importante
  No seleccione Identities > Users. De lo contrario, DTS no podrá acceder a la instancia de base de datos y se producirá un error.
  
  error occurs.
  
  En la página Role, busque y haga clic en el rol de RAM deseado.
  
  ind and click the target RAM role.d click the target RAM role.
2. En la pestaña Permissions, haga clic en Grant Permission.
  
  g">Permissions tab, click Grant Permission.
3. En el panel Grant Permission, establezca Policy Type como System Policy.
  
  ission panel, set Policy Type to System Policy.
4. En el campo Policy Name, introduzca AliyunDTSRolePolicy.
  
  /b> field, enter AliyunDTSRolePolicy.
5. Haga clic en OK.
  
  Puede hacer clic en el icono de actualización situado a la derecha de la pestaña Permissions para confirmar que se ha otorgado el permiso.
  
  side of the Permissions tab to confirm that the permission has been granted.
Modifique la directiva de confianza del rol de RAM.
Desde la página de confirmación de Permiso preciso
1. Haga clic en la pestaña Trust Policy.
  
  Haga clic en Edit Trust Policy.
  
  >
  
  Haga clic en Edit Trust Policy.
2. En la pestaña Trust Policy, haga clic en Edit Trust Policy.
  
  >Trust Policy tab, click Edit Trust Policy.
3. En la pestaña JSON, reemplace el código existente en el editor de directivas por el siguiente código.
  { "Statement": [ { "Action": "sts:AssumeRole", "Effect": "Allow", "Principal": { "RAM": [ "acs:ram::<Alibaba Cloud account ID>:root" ], "Service": [ "<Alibaba Cloud account ID>@dts.aliyuncs.com" ] } } ], "Version": "1" }
  /div>
4. Reemplace los dos marcadores de posición <Alibaba Cloud account ID> del código con el ID de la cuenta de Alibaba Cloud utilizada para crear la tarea de DTS.
  Ejemplo (haga clic para expandir)
  
  { "Statement": [ { "Action": "sts:AssumeRole", "Effect": "Allow", "Principal": { "RAM": [ "acs:ram::164682176356****:root" ], "Service": [ "164682176356****@dts.aliyuncs.com" ] } } ], "Version": "1" }
5. Haga clic en OK para guardar la directiva de confianza.
  
  Si, tras guardar la directiva de confianza, la parte "<Alibaba Cloud account ID>@dts.aliyuncs.com" del código cambia automáticamente a "dts.aliyuncs.com", esto indica que <Alibaba Cloud account ID> está configurado incorrectamente (debe ser el ID de la cuenta de Alibaba Cloud que creó la tarea de DTS, pero usted configuró el ID de la cuenta de la base de datos de origen).
  
  Nota
  Para consultar la cuenta de Alibaba Cloud utilizada para iniciar sesión en la consola de RAM y reemplazada en la directiva de confianza, consulte Accounts.
Desde la lista de roles de RAM
1. Vaya a la página de detalles del rol de RAM.
  Inicie sesión en RAM console con la cuenta de Alibaba Cloud (cuenta principal) propietaria de la base de datos de origen.
  
  k"> with the Alibaba Cloud account (main account) that owns the source database.
  
  En el panel de navegación izquierdo, seleccione Identities > Role.
  
  Importante
  No seleccione Identities > Users. De lo contrario, DTS no podrá acceder a la instancia de base de datos y se producirá un error.
  
  error occurs.
  
  En la página Role, busque y haga clic en el rol de RAM deseado.
2. Haga clic en la pestaña Trust Policy.
  
  Haga clic en Edit Trust Policy.
  
  >
  
  Haga clic en Edit Trust Policy.
3. En la pestaña Trust Policy, haga clic en Edit Trust Policy.
  
  >Trust Policy tab, click Edit Trust Policy.
4. En la pestaña JSON, reemplace el código existente en el editor de directivas por el siguiente código.
  { "Statement": [ { "Action": "sts:AssumeRole", "Effect": "Allow", "Principal": { "RAM": [ "acs:ram::<Alibaba Cloud account ID>:root" ], "Service": [ "<Alibaba Cloud account ID>@dts.aliyuncs.com" ] } } ], "Version": "1" }
  /div>
5. Reemplace los dos marcadores de posición <Alibaba Cloud account ID> del código con el ID de la cuenta de Alibaba Cloud utilizada para crear la tarea de DTS.
  Ejemplo (haga clic para expandir)
  
  { "Statement": [ { "Action": "sts:AssumeRole", "Effect": "Allow", "Principal": { "RAM": [ "acs:ram::164682176356****:root" ], "Service": [ "164682176356****@dts.aliyuncs.com" ] } } ], "Version": "1" }
6. Haga clic en OK para guardar la directiva de confianza.
  
  Si, tras guardar la directiva de confianza, la parte "<Alibaba Cloud account ID>@dts.aliyuncs.com" del código cambia automáticamente a "dts.aliyuncs.com", esto indica que <Alibaba Cloud account ID> está configurado incorrectamente (debe ser el ID de la cuenta de Alibaba Cloud que creó la tarea de DTS, pero usted configuró el ID de la cuenta de la base de datos de origen).
  
  Nota
  Para consultar la cuenta de Alibaba Cloud utilizada para iniciar sesión en la consola de RAM y reemplazada en la directiva de confianza, consulte Accounts.

Paso 2: Configurar la autorización de RAM mediante la cuenta de Alibaba Cloud (cuenta principal) de la base de datos de destino

Cree un rol de RAM.
1. Inicie sesión en RAM console con la cuenta raíz de Alibaba Cloud propietaria de la base de datos de destino.
  
  "> with the Alibaba Cloud root account that owns the destination database.
2. En el panel de navegación izquierdo, seleccione Identities > Role.
  
  Importante
  No seleccione Identities > Users. De lo contrario, DTS no podrá acceder a la instancia de base de datos y se producirá un error.
  
  error occurs.
3. En la página Role, haga clic en Create Role.
  
  id="uicontrol_znn_dnk_zbi">Create Role.
4. En el panel Create Role, configure el rol de RAM.
  1. En Principal Type, seleccione Cloud Account.
  2. En Principal Name, seleccione Other Account e introduzca el ID de la cuenta raíz designada para crear la tarea de DTS.
  3. En la parte inferior de la página, haga clic en OK.
  4. En el panel Create Role, introduzca un nombre para el rol de RAM y haga clic en OK.
    
    En este ejemplo, introduzca ram-for-dts.
Otorgue permisos precisos al rol de RAM.
Desde la página de confirmación
1. En la pestaña Permissions, haga clic en Grant Permission.
  
  g">Permissions tab, click Grant Permission.
2. En el panel Grant Permission, establezca Policy Type como System Policy.
  
  ission panel, set Policy Type to System Policy.
3. En el campo Policy Name, introduzca AliyunDTSRolePolicy.
  
  /b> field, enter AliyunDTSRolePolicy.
4. Haga clic en OK.
  
  Puede hacer clic en el icono de actualización situado a la derecha de la pestaña Permissions para confirmar que se ha otorgado el permiso.
  
  side of the Permissions tab to confirm that the permission has been granted.
Desde la lista de roles
1. Vaya a la página de detalles del rol de RAM.
  Inicie sesión en RAM console con la cuenta raíz de Alibaba Cloud propietaria de la base de datos de destino.
  
  "> with the Alibaba Cloud root account that owns the destination database.
  
  En el panel de navegación izquierdo, seleccione Identities > Role.
  
  Importante
  No seleccione Identities > Users. De lo contrario, DTS no podrá acceder a la instancia de base de datos y se producirá un error.
  
  error occurs.
  
  En la página Role, busque y haga clic en el rol de RAM deseado.
  OPIC">
2. En la pestaña Permissions, haga clic en Grant Permission.
  
  g">Permissions tab, click Grant Permission.
3. En el panel Grant Permission, establezca Policy Type como System Policy.
  
  ission panel, set Policy Type to System Policy.
4. En el campo Policy Name, introduzca AliyunDTSRolePolicy.
  
  /b> field, enter AliyunDTSRolePolicy.
5. Haga clic en OK.
  
  Puede hacer clic en el icono de actualización situado a la derecha de la pestaña Permissions para confirmar que se ha otorgado el permiso.
  
  side of the Permissions tab to confirm that the permission has been granted.
Modifique la directiva de confianza del rol de RAM.
Desde la página que indica que se ha otorgado el permiso
1. Haga clic en la pestaña Trust Policy.
  
  Haga clic en Edit Trust Policy.
  
  >
  
  Haga clic en Edit Trust Policy.
2. En la pestaña Trust Policy, haga clic en Edit Trust Policy.
  
  >Trust Policy tab, click Edit Trust Policy.
3. En la pestaña JSON, reemplace el código existente en el editor de directivas por el siguiente código.
  { "Statement": [ { "Action": "sts:AssumeRole", "Effect": "Allow", "Principal": { "RAM": [ "acs:ram::<Alibaba Cloud account ID>:root" ], "Service": [ "<Alibaba Cloud account ID>@dts.aliyuncs.com" ] } } ], "Version": "1" }
  /div>
4. Reemplace los dos marcadores de posición <Alibaba Cloud account ID> del código con el ID de la cuenta de Alibaba Cloud utilizada para crear la tarea de DTS.
  Ejemplo (haga clic para expandir)
  
  { "Statement": [ { "Action": "sts:AssumeRole", "Effect": "Allow", "Principal": { "RAM": [ "acs:ram::164682176356****:root" ], "Service": [ "164682176356****@dts.aliyuncs.com" ] } } ], "Version": "1" }
5. Haga clic en OK para guardar la directiva de confianza.
  
  Si, tras guardar la directiva de confianza, la parte "<Alibaba Cloud account ID>@dts.aliyuncs.com" del código cambia automáticamente a "dts.aliyuncs.com", esto indica que <Alibaba Cloud account ID> está configurado incorrectamente (debe ser el ID de la cuenta de Alibaba Cloud que creó la tarea de DTS, pero usted configuró el ID de la cuenta de la base de datos de destino).
  
  Nota
  Para consultar la cuenta de Alibaba Cloud utilizada para iniciar sesión en la consola de RAM y reemplazada en la directiva de confianza, consulte Accounts.
Desde la lista de roles de RAM
1. Vaya a la página de detalles del rol de RAM.
  Inicie sesión en RAM console con la cuenta raíz de Alibaba Cloud propietaria de la base de datos de destino.
  
  "> with the Alibaba Cloud root account that owns the destination database.
  
  En el panel de navegación izquierdo, seleccione Identities > Role.
  
  Importante
  No seleccione Identities > Users. De lo contrario, DTS no podrá acceder a la instancia de base de datos y se producirá un error.
  
  error occurs.
  
  En la página Role, busque y haga clic en el rol de RAM deseado.
2. Haga clic en la pestaña Trust Policy.
  
  Haga clic en Edit Trust Policy.
  
  >
  
  Haga clic en Edit Trust Policy.
3. En la pestaña Trust Policy, haga clic en Edit Trust Policy.
  
  >Trust Policy tab, click Edit Trust Policy.
4. En la pestaña JSON, reemplace el código existente en el editor de directivas por el siguiente código.
  { "Statement": [ { "Action": "sts:AssumeRole", "Effect": "Allow", "Principal": { "RAM": [ "acs:ram::<Alibaba Cloud account ID>:root" ], "Service": [ "<Alibaba Cloud account ID>@dts.aliyuncs.com" ] } } ], "Version": "1" }
  /div>
5. Reemplace los dos marcadores de posición <Alibaba Cloud account ID> del código con el ID de la cuenta de Alibaba Cloud utilizada para crear la tarea de DTS.
  Ejemplo (haga clic para expandir)
  
  { "Statement": [ { "Action": "sts:AssumeRole", "Effect": "Allow", "Principal": { "RAM": [ "acs:ram::164682176356****:root" ], "Service": [ "164682176356****@dts.aliyuncs.com" ] } } ], "Version": "1" }
6. Haga clic en OK para guardar la directiva de confianza.
  
  Si, tras guardar la directiva de confianza, la parte "<Alibaba Cloud account ID>@dts.aliyuncs.com" del código cambia automáticamente a "dts.aliyuncs.com", esto indica que <Alibaba Cloud account ID> está configurado incorrectamente (debe ser el ID de la cuenta de Alibaba Cloud que creó la tarea de DTS, pero usted configuró el ID de la cuenta de la base de datos de destino).
  
  Nota
  Para consultar la cuenta de Alibaba Cloud utilizada para iniciar sesión en la consola de RAM y reemplazada en la directiva de confianza, consulte Accounts.

Siguientes pasos

Una vez completada la autorización de RAM, puede crear una tarea entre cuentas. Para más detalles, consulte Configure a cross-account task.

Preguntas frecuentes

¿Se puede reutilizar la autorización de RAM entre cuentas para distintos tipos de bases de datos?

Sí. La autorización de RAM entre cuentas depende únicamente del ID de la cuenta y del nombre del rol, y es independiente del tipo de base de datos. La autorización configurada para un tipo de base de datos puede reutilizarse directamente para otros tipos de bases de datos que admitan acceso entre cuentas.

Contexto

Qué es una tarea entre cuentas

Escenarios para tareas entre cuentas

Bases de datos compatibles

Base de datos de origen

Base de datos de destino

Cuentas

Configuración

Requisitos previos

Consideraciones

Requisitos previos

ID de la cuenta principal de la base de datos de origen

ID de la cuenta principal de la base de datos de destino

ID de la cuenta principal para la tarea de DTS

Escenario 1: Base de datos de origen en una cuenta diferente

Paso 1: Crear un rol de RAM

Paso 2: Otorgar permisos precisos

Desde la página de confirmación

Desde la lista de roles

Paso 3: Actualizar la directiva de confianza

Desde la página de confirmación de autorización

Desde la lista de roles

Escenario 2: Destino en otra cuenta

Paso 1: Crear un rol de RAM

Paso 2: Otorgar permisos al rol de RAM

Desde la página de confirmación

Desde la lista de roles

Paso 3: Actualizar la directiva de confianza

Desde la página de confirmación

Desde la lista de roles

Escenario 3: Bases de datos de origen y destino entre cuentas

Paso 1: Configurar RAM para la cuenta de origen

Desde la página de confirmación

Desde la lista de roles

Desde la página de confirmación de Permiso preciso

Desde la lista de roles de RAM

Paso 2: Configurar la autorización de RAM mediante la cuenta de Alibaba Cloud (cuenta principal) de la base de datos de destino

Desde la página de confirmación

Desde la lista de roles

Desde la página que indica que se ha otorgado el permiso

Desde la lista de roles de RAM

Siguientes pasos

Preguntas frecuentes