ApsaraDB RDS implementa un control de acceso multidimensional para garantizar la seguridad de los datos. Los dos mecanismos principales son los permisos basados en cuentas, que definen las acciones permitidas para los usuarios, y las listas blancas de direcciones IP, que controlan qué hosts pueden conectarse. Aplique ambas capas de forma conjunta para reducir la superficie de ataque de su instancia de base de datos.
Control de acceso basado en cuentas
ApsaraDB RDS admite dos tipos de cuenta con distintos niveles de granularidad de permisos.
|
Tipo de cuenta |
Granularidad de permisos |
Recomendado para |
|
Cuenta estándar |
Nivel de base de datos: solo lectura, lectura/escritura, solo DDL o solo DML |
La mayoría de las cargas de trabajo: otorgue permisos de base de datos a los usuarios de la aplicación |
|
Cuenta con privilegios |
Nivel de tabla, vista y campo |
Control detallado: utilícela cuando los permisos de base de datos sean demasiado amplios |
Para la mayoría de las cargas de trabajo, las cuentas estándar proporcionan un control de acceso suficiente. Cree una cuenta con privilegios únicamente cuando necesite restringir el acceso por debajo del nivel de base de datos.
Cuenta estándar
Una cuenta estándar permite otorgar permisos de solo lectura, lectura/escritura, solo DDL o solo DML en bases de datos específicas. Cree y gestione las cuentas estándar desde la consola de ApsaraDB RDS o mediante la API.
Para obtener instrucciones de configuración, consulte Create an account on an ApsaraDB RDS for MySQL instance.
Cuenta con privilegios
Una cuenta con privilegios ofrece un control más preciso, hasta el nivel de tabla, vista y campo. Después de crear una cuenta con privilegios desde la consola o la API, inicie sesión en su instancia de RDS con dicha cuenta para crear cuentas estándar y asignarles permisos detallados.
Para obtener instrucciones de configuración, consulte Authorize accounts to manage tables, views, and fields.
Control de acceso basado en listas blancas
Las listas blancas de direcciones IP controlan qué hosts pueden conectarse a su instancia de RDS en el nivel de red.
De forma predeterminada, la lista blanca de direcciones IP contiene únicamente 127.0.0.1, lo que significa que la instancia rechaza todas las conexiones provenientes de Internet y de redes internas. Para permitir el acceso, agregue a la lista blanca las direcciones IP que necesitan conectarse a la instancia.
Configure las listas blancas en la página Data Security de la consola de ApsaraDB RDS o mediante la API de ApsaraDB RDS. Las actualizaciones de la lista blanca surten efecto sin necesidad de reiniciar la instancia, por lo que no se interrumpen sus cargas de trabajo.
Para consultar los pasos de configuración, consulte Configure a whitelist for an ApsaraDB RDS for MySQL instance.