ApsaraDB RDS:Granting RAM users access to RDS instances

Requisitos previos

Ya se creó un usuario de RAM. Para obtener más información, consulte Create a RAM user.

Contexto

Cuando se otorgan permisos a un usuario de RAM, se le autoriza a llamar operaciones específicas de la API. Por ejemplo, si le concede a un usuario de RAM el permiso para llamar la API CreateDBInstance, ese usuario podrá crear instancias en la consola.

En este tema se utiliza un ejemplo para demostrar cómo otorgar permisos a un usuario de RAM para consultar las configuraciones de una instancia RDS.

Procedimiento

1. Cree una política personalizada.

   1. Inicie sesión en la consola de RAM.

   2. En la barra de navegación izquierda, seleccione Permission Management > Policy.

   3. Haga clic en Create Policy.

   4. Seleccione Visual Editor o Script editing.

      Editor visual

      Parámetro	Descripción
      Effect	Permita o deniegue que el usuario de RAM ejecute las configuraciones posteriores. Por ejemplo, Allow.
      Services	Seleccione el producto o servicio de destino. Por ejemplo, seleccione ApsaraDB RDS.
      Action	Seleccione un tipo de acción: All Actions o Specified Operations. Si elige Specified Operations, debe seleccionar las acciones permitidas en la sección All Actions y agregarlas a la sección Selected Actions. Se recomienda seleccionar también DescribeDBInstances, que se encuentra dentro de Read. De lo contrario, no podrá consultar la lista de instancias. Importante Si el documento de política supera el límite de longitud porque seleccionó demasiadas acciones, envíe un ticket para solicitar un aumento del límite. Por ejemplo, seleccione todas las opciones de Read.
      Resources	Seleccione los recursos. Puede elegir All Resources o Specified Resources. Si selecciona Specified Resources, debe agregar recursos específicos. Haga clic en Add Resource a la derecha para hacer coincidir los recursos según el formato ARN del recurso. El método específico es el siguiente: Importante Para garantizar que una política de permisos surta efecto, la consola marca como Required los ARN de recursos obligatorios para una acción. Se recomienda encarecidamente configurar estos ARN de recursos. Por ejemplo, el ARN acs:rds::{#accountId}:dbinstance/ es obligatorio. Si no configura este ARN, el usuario de RAM no podrá ver ninguna instancia en la lista correspondiente. acs:rds:{#regionId}:{#accountId}:dbinstance/{#dbinstanceId} (obligatorio): hace coincidir los recursos por región, cuenta e ID de instancia. acs:rds:{#regionId}:{#accountId}:dbinstance/*: hace coincidir los recursos por región y cuenta. acs:rds::{#accountId}:dbinstance/ (obligatorio): hace coincidir los recursos por cuenta. acs:rds:*:{#accountId}:dbinstance/{#dbinstanceId} (obligatorio): hace coincidir los recursos por cuenta e ID de instancia. Nota RAM admite la autorización detallada mediante varios métodos, como ARN, autorización de resource group y autorización basada en etiquetas. Para ver un ejemplo sobre cómo otorgar permisos de solo lectura a un usuario de RAM para una instancia RDS específica, consulte Grant a RAM user read-only permissions on a specific RDS instance.
      Condition	Puede agregar condiciones para restringir aún más el acceso, por ejemplo, mediante la dirección IP de origen. Para obtener más información, consulte Elements of a policy.

      JSON

      Introduzca el siguiente contenido en el editor:

      {
          "Version": "1",
          "Statement": [
              {
                  "Effect": "Allow",
                  "Action": "rds:Describe*",
                  "Resource": "*"
              }
          ]
      }

      Nota

      En comparación con el Visual Editor, resulta más práctico usar directamente Describe* para las operaciones correspondientes.

   5. Haga clic en OK. En el cuadro de diálogo Create Policy, introduzca un valor en Policy Name y en Note, confirme que el contenido de la política sea correcto y vuelva a hacer clic en OK.

2. Adjunte la política personalizada al usuario de RAM.

   1. En la barra de navegación izquierda, seleccione Identities > Users.

   2. Busque el usuario de destino y, en la columna Action de la derecha, haga clic en Add Permissions.

   3. En la sección Policies, haga clic en Custom Policy, busque la política que creó y selecciónela.

   4. Haga clic en OK.

La configuración ha finalizado. Ahora puede iniciar sesión en la consola con el usuario de RAM para consultar las configuraciones de las instancias RDS. También puede otorgarle otros permisos según lo requiera su negocio.

• Para consultar la lista de operaciones de la API de RDS, vea API overview.

• Para obtener más información sobre los elementos de una política, consulte Elements of a policy.