Todos los productos
Search

Este producto

    ApsaraDB RDS:Use RAM policies to manage the permissions of RAM users on ApsaraDB RDS instances

    Centro de documentos

    ApsaraDB RDS:Use RAM policies to manage the permissions of RAM users on ApsaraDB RDS instances

    Última actualización: Sep 03, 2026

    Utilice las políticas de Resource Access Management (RAM) para controlar las acciones que los usuarios de RAM pueden realizar en las instancias de ApsaraDB RDS. Esta página describe el flujo de trabajo completo: cree una política de RAM personalizada a partir de una plantilla JSON predefinida y, a continuación, vincúlela a un usuario de RAM.

    Las políticas en reference section utilizan "Effect": "Deny" con un bloque Condition para aplicar barreras de cumplimiento; por ejemplo, bloquean la creación de instancias sin cifrado de disco o impiden que los usuarios deshabiliten el cifrado SSL. Un Deny explícito anula cualquier Allow concedido en otro lugar, por lo que estas políticas surten efecto incluso si existen permisos más amplios.

    Requisitos previos

    Antes de empezar, asegúrese de contar con lo siguiente:

    • Un usuario de RAM al que desee otorgar o restringir permisos.

    • Acceso a la consola de RAM.

    Creación y vinculación de una política de RAM

    1. Inicie sesión en la consola de RAM.

    2. En el panel de navegación izquierdo, seleccione Permissions > Policies.

    3. En la página Policies, haga clic en Create Policy.

    4. En la pestaña JSON, pegue el documento de política y haga clic en OK. Encuentre el JSON de la política en la sección RAM policies for ApsaraDB RDS a continuación. Para consultar la sintaxis y estructura de las políticas, consulte Policy structure and syntax.

    5. En el cuadro de diálogo Create Policy, configure Name y Description, y luego haga clic en OK. El nombre de la política debe cumplir estos requisitos:

      • De 1 a 128 caracteres.

      • Solo letras, dígitos y guiones (-).

    6. En el panel de navegación izquierdo, seleccione Permissions > Grants y haga clic en Grant Permission. Configure los siguientes parámetros:

      1. Resource Scope: Seleccione Account para aplicar los permisos a todos los recursos de su cuenta de Alibaba Cloud, o bien ResourceGroup para limitar el alcance a un resource group específico.

      2. Principal: Introduzca parte del nombre de usuario de RAM para buscarlo mediante coincidencia aproximada y seleccione el usuario de RAM deseado.

      3. En la sección Policy, seleccione Custom Policy en la lista desplegable.

      4. Busque y seleccione la política que creó en el paso 4, y haga clic en OK.

      Para utilizar ResourceGroup , ApsaraDB RDS debe ser compatible con resource groups. Consulte Services that work with Resource Group .
      Introduzca parte del nombre de la política en el cuadro de búsqueda para encontrarla mediante coincidencia aproximada.

    Políticas de RAM para ApsaraDB RDS

    Cada política utiliza "Effect": "Deny" con una Condition para bloquear una acción específica que incumple las normas. Aplique las políticas que se ajusten a sus requisitos de seguridad.

    Elemento Política Descripción
    Creación de instancias CreateRdsWithNonDiskEncryptionForbidden Impide que los usuarios creen instancias de RDS sin discos cifrados. Se aplica únicamente a instancias principales, no a instancias de solo lectura ni a instancias creadas a partir de una restauración de datos.
    CreateRdsWithNonVPCNetworkTypeForbidden Impide que los usuarios creen instancias de RDS con un tipo de red distinto a Virtual Private Cloud (VPC). Se aplica únicamente a instancias principales, no a instancias de solo lectura ni a instancias creadas a partir de una restauración de datos.
    Configuraciones de red DatabaseConnectionNonVPCNetworkTypeForbidden Impide que los usuarios cambien el tipo de red de las instancias de RDS a red clásica.
    Configuraciones de seguridad DataSecuritySSLDisabledForbidden Impide que los usuarios deshabiliten el cifrado SSL en las instancias de RDS.
    DataSecurityTDEDisabledForbidden Impide que los usuarios deshabiliten Transparent Data Encryption (TDE) en las instancias de RDS.
    Configuraciones del proxy de base de datos DatabaseProxyWithNonVPCNetworkTypeForbidden Impide que los usuarios especifiquen endpoints públicos al habilitar la función de proxy de base de datos para instancias de RDS.
    DatabaseProxyCreateEndpointAddressWithNonVPCNetworkTypeForbidden Impide que los usuarios especifiquen endpoints públicos al crear endpoints para conectarse a los proxies de base de datos de las instancias de RDS.
    DatabaseProxyModifyEndpointAddressWithNonVPCNetworkTypeForbidden Impide que los usuarios especifiquen endpoints públicos al modificar los endpoints utilizados para conectarse a los proxies de base de datos de las instancias de RDS.
    DatabaseProxyDbProxyInstanceSslDisabledForbidden Impide que los usuarios deshabiliten el cifrado SSL para endpoints específicos de los proxies de base de datos de las instancias de RDS.
    Configuraciones relacionadas con copias de seguridad BackupAndRestorationCrossBackupDisabledForbidden Impide que los usuarios deshabiliten la función de copia de seguridad entre regiones para instancias de RDS.
    BackupAndRestorationBackupPolicyDisabledForbidden Impide que los usuarios deshabiliten la función de copia de seguridad de registros para instancias de RDS.
    Historial de eventos EventCenterActionEventEnableEventLogForbidden Impide que los usuarios habiliten la función de historial de eventos para instancias de RDS.

    Código de las políticas

    CreateRdsWithNonDiskEncryptionForbidden

    Bloquea la creación de instancias cuando el cifrado de disco no está habilitado (rds:DiskEncryptionRequired: false).

    {
  "Statement": [
    {
      "Action": [
        "rds:CreateDBInstance",
        "rds:PreCheckCreateOrder",
        "rds:CreateOrder"
      ],
      "Effect": "Deny",
      "Resource": "*",
      "Condition": {
        "Bool": {
          "rds:DiskEncryptionRequired": "false"
        }
      }
    }
  ],
  "Version": "1"
}

    CreateRdsWithNonVPCNetworkTypeForbidden

    Bloquea la creación de instancias cuando el tipo de red no es VPC (rds:InstanceNetworkType no es VPC).

    {
  "Statement": [
    {
      "Action": [
        "rds:CreateDBInstance",
        "rds:PreCheckCreateOrder",
        "rds:CreateOrder"
      ],
      "Effect": "Deny",
      "Resource": "*",
      "Condition": {
        "StringNotEquals": {
          "rds:InstanceNetworkType": "VPC"
        }
      }
    }
  ],
  "Version": "1"
}

    DatabaseConnectionNonVPCNetworkTypeForbidden

    Bloquea el cambio del tipo de red de una instancia a red clásica (rds:InstanceNetworkType no es VPC).

    {
  "Statement": [
    {
      "Action": "rds:ModifyDBInstanceNetworkType",
      "Effect": "Deny",
      "Resource": "*",
      "Condition": {
        "StringNotEquals": {
          "rds:InstanceNetworkType": "VPC"
        }
      }
    }
  ],
  "Version": "1"
}

    DataSecuritySSLDisabledForbidden

    Bloquea la deshabilitación del cifrado SSL en una instancia (rds:SSLEnabled: 0).

    {
  "Statement": [
    {
      "Action": "rds:ModifyDBInstanceSSL",
      "Effect": "Deny",
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "rds:SSLEnabled": "0"
        }
      }
    }
  ],
  "Version": "1"
}

    DataSecurityTDEDisabledForbidden

    Bloquea la deshabilitación de TDE en una instancia (rds:TDEStatus no es Enabled).

    {
  "Statement": [
    {
      "Action": "rds:ModifyDBInstanceTDE",
      "Effect": "Deny",
      "Resource": "*",
      "Condition": {
        "StringNotEquals": {
          "rds:TDEStatus": "Enabled"
        }
      }
    }
  ],
  "Version": "1"
}

    DatabaseProxyWithNonVPCNetworkTypeForbidden

    Bloquea la habilitación de la función de proxy de base de datos con un tipo de red que no sea VPC (rds:InstanceNetworkType no es VPC).

    {
  "Statement": [
    {
      "Action": "rds:ModifyDBProxy",
      "Effect": "Deny",
      "Resource": "*",
      "Condition": {
        "StringNotEquals": {
          "rds:InstanceNetworkType": "VPC"
        }
      }
    }
  ],
  "Version": "1"
}

    DatabaseProxyCreateEndpointAddressWithNonVPCNetworkTypeForbidden

    Bloquea la creación de un endpoint de proxy de base de datos con un tipo de red que no sea VPC (rds:InstanceNetworkType no es VPC).

    {
  "Statement": [
    {
      "Action": "rds:ModifyDBProxy",
      "Effect": "Deny",
      "Resource": "*",
      "Condition": {
        "StringNotEquals": {
          "rds:InstanceNetworkType": "VPC"
        }
      }
    }
  ],
  "Version": "1"
}

    DatabaseProxyModifyEndpointAddressWithNonVPCNetworkTypeForbidden

    Bloquea la modificación de un endpoint de proxy de base de datos para usar una cadena de conexión que no sea VPC (rds:DBProxyConnectStringNetType no es VPC).

    {
  "Statement": [
    {
      "Action": "rds:ModifyDBProxyEndpointAddress",
      "Effect": "Deny",
      "Resource": "*",
      "Condition": {
        "StringNotEquals": {
          "rds:DBProxyConnectStringNetType": "VPC"
        }
      }
    }
  ],
  "Version": "1"
}

    DatabaseProxyDbProxyInstanceSslDisabledForbidden

    Bloquea la deshabilitación del cifrado SSL en los endpoints del proxy de base de datos (rds:DbProxySslEnabled: 0).

    {
  "Statement": [
    {
      "Action": "rds:ModifyDbProxyInstanceSsl",
      "Effect": "Deny",
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "rds:DbProxySslEnabled": "0"
        }
      }
    }
  ],
  "Version": "1"
}

    BackupAndRestorationCrossBackupDisabledForbidden

    Bloquea la deshabilitación de la función de copia de seguridad entre regiones. La política contiene dos declaraciones: una comprueba que rds:BackupEnabled sea 1, y la otra comprueba que rds:LogBackupEnabled sea 1.

    {
  "Statement": [
    {
      "Action": "rds:ModifyInstanceCrossBackupPolicy",
      "Effect": "Deny",
      "Resource": "*",
      "Condition": {
        "StringNotEquals": {
          "rds:BackupEnabled": "1"
        }
      }
    },
    {
      "Action": "rds:ModifyInstanceCrossBackupPolicy",
      "Effect": "Deny",
      "Resource": "*",
      "Condition": {
        "StringNotEquals": {
          "rds:LogBackupEnabled": "1"
        }
      }
    }
  ],
  "Version": "1"
}

    BackupAndRestorationBackupPolicyDisabledForbidden

    Bloquea la deshabilitación de la función de copia de seguridad de registros. La política contiene dos declaraciones: una deniega la acción cuando rds:EnableBackupLog es igual a 0, y la otra deniega cuando rds:BackupLog es igual a Disabled.

    {
  "Statement": [
    {
      "Action": "rds:ModifyBackupPolicy",
      "Effect": "Deny",
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "rds:EnableBackupLog": "0"
        }
      }
    },
    {
      "Action": "rds:ModifyBackupPolicy",
      "Effect": "Deny",
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "rds:BackupLog": "Disabled"
        }
      }
    }
  ],
  "Version": "1"
}

    EventCenterActionEventEnableEventLogForbidden

    Bloquea la habilitación de la función de historial de eventos (rds:EnableEventLog no es False).

    {
  "Statement": [
    {
      "Action": "rds:ModifyActionEventPolicy",
      "Effect": "Deny",
      "Resource": "*",
      "Condition": {
        "StringNotEquals": {
          "rds:EnableEventLog": "False"
        }
      }
    }
  ],
  "Version": "1"
}

    Pasos siguientes

    • Policy overview — Obtenga información sobre cómo funcionan las políticas de RAM, incluido el orden de evaluación de políticas y la regla de anulación de Allow por Deny.

    • Policy structure and syntax — Comprenda la estructura JSON de las políticas de RAM para poder escribir condiciones personalizadas.