Las políticas de solo lectura de RAM cubren únicamente operaciones de consulta Describe*. Dado que la descarga de archivos de copia de seguridad requiere CreateDownload (una operación de escritura), los usuarios con acceso de solo lectura no pueden descargar copias de seguridad de forma predeterminada. Para otorgar acceso a las descargas sin conceder permisos completos sobre la base de datos, cree una política personalizada con las dos acciones necesarias y asígnela al usuario de RAM.
Requisitos previos
Antes de empezar, asegúrese de contar con lo siguiente:
Una cuenta de Alibaba Cloud con acceso administrativo a Resource Access Management (RAM)
Un usuario de RAM existente con permisos de solo lectura
Funcionamiento
La función Advanced Download utiliza la gestión de políticas de RAM para la autenticación. Para permitir que un usuario de RAM descargue archivos de copia de seguridad, cree una política personalizada que otorgue dbs:CreateDownload y dbs:DescribeDBInstanceDownloadSize, y luego asígnela al usuario de RAM.
Si el usuario de RAM no puede crear ni consultar tareas de Advanced Download, compruebe que la política AliyunDBSFullAccess esté asignada. Para obtener más información, consulte Grant permissions to a RAM user .
Otorgar permisos de descarga a un usuario de RAM
Inicie sesión en la consola de RAM.
En el panel de navegación izquierdo, elija Permissions > Policies.
-
Haga clic en Create Policy. En la página que aparece, haga clic en la pestaña JSON, introduzca el siguiente contenido de política y haga clic en OK. La política contiene dos declaraciones: la primera otorga acceso de lectura a las configuraciones de copia de seguridad de RDS; la segunda concede las dos acciones necesarias para crear tareas de descarga y comprobar el tamaño de las descargas.
{ "Statement": [ { "Effect": "Allow", "Action": [ "rds:Describe*", "rds:ModifyBackupPolicy", "rds:CheckRegionSupportBackupEncryption" ], "Resource": "*" }, { "Effect": "Allow", "Action": [ "dbs:CreateDownload", "dbs:DescribeDBInstanceDownloadSize" ], "Resource": "*" } ], "Version": "1" } En el cuadro de diálogo Create Policy, configure los campos Name y Description de la política, y haga clic en OK.
En el panel de navegación izquierdo, elija Permissions > Grants.
Haga clic en Grant Permission para asignar la nueva política al usuario de RAM. Para obtener más información, consulte Grant permissions to a RAM user.
Haga clic en Grant permissions.
Bloquear el acceso a URL de descarga avanzada
Si desea que un usuario de RAM utilice Data Disaster Recovery pero necesita impedirle obtener URL para descargas avanzadas, cree una política personalizada con una declaración Deny y asígnela al usuario de RAM.
La siguiente política deniega la acción que devuelve las URL de descarga, sin afectar al resto de las operaciones de Data Disaster Recovery.
{
"Version": "1",
"Statement": [
{
"Effect": "Deny",
"Action": "dbs:DescribeDownloadBackupsetStorageInfo",
"Resource": "*"
}
]
}Después de crear la política personalizada, asígnela al usuario de RAM. Para obtener más información, consulte Create custom policies y Grant permissions to a RAM user.