Accordez l'accès à Database Autonomy Service (DAS) à un utilisateur RAM via Resource Access Management (RAM). Choisissez la méthode adaptée à vos besoins :
Joindre une politique système — Configuration la plus rapide pour les niveaux d'accès standard (accès complet, lecture seule ou lecture seule avec export des journaux SQL).
Créer une politique personnalisée — Restreignez l'accès à des instances de base de données spécifiques ou définissez précisément les actions autorisées.
Accorder les permissions d'exportation SQL Explorer et Audit — Ajoutez des permissions d'exportation et de recherche à une politique existante, selon le type de base de données.
Accorder l'accès via des politiques système
Les politiques système sont prédéfinies et couvrent les niveaux d'accès DAS les plus courants. Privilégiez cette approche pour un accès standard sans restriction à des instances spécifiques.
| Politique | Niveau d'accès |
|---|---|
AliyunHDMFullAccess |
Permissions complètes sur DAS |
AliyunHDMReadOnlyAccess |
Permissions en lecture seule sur DAS |
AliyunHDMReadOnlyWithSQLLogArchiveAccess |
Permissions en lecture seule sur DAS, incluant les fonctionnalités de recherche et d'exportation dans SQL Explorer et Audit |
Procédure :
Accorder des permissions à l'utilisateur RAM en joignant la politique appropriée du tableau ci-dessus.
Vous pouvez également utiliser des politiques personnalisées pour accorder à un utilisateur RAM les permissions nécessaires aux fonctionnalités de recherche et d'exportation dans SQL Explorer et Audit. Consultez la section Accorder les permissions de recherche et d'exportation SQL Explorer et Audit ci-dessous.
Accorder l'accès via des politiques personnalisées
Les politiques personnalisées vous permettent de restreindre l'accès à des instances de base de données spécifiques ou de n'accorder que les actions strictement nécessaires à un utilisateur RAM. Cette approche est recommandée lorsque les politiques système sont trop larges par rapport à vos besoins.
Une politique définit l'ensemble des ressources autorisées, les opérations permises et les conditions applicables. Pour plus de détails sur la structure et la syntaxe des politiques, consultez les pages Éléments de politique et Structure et syntaxe des politiques.
Procédure :
Exemple de politique personnalisée
La politique suivante accorde des permissions en lecture seule sur DAS pour une instance ApsaraDB RDS spécifique :
{
"Version": "1",
"Statement": [
{
"Action": [
"hdm:Get*",
"hdm:Describe*",
"hdm:Query*"
],
"Resource": "acs:rds:*:*:dbinstance/<ApsaraDB RDS instance ID>",
"Effect": "Allow"
}
]
}Remplacez <ApsaraDB RDS instance ID> par l'ID réel de votre instance. Pour les autres types de bases de données, utilisez le modèle Resource correspondant :
| Type de base de données | Modèle de ressource |
|---|---|
| ApsaraDB RDS | acs:rds:*:*:dbinstance/<ApsaraDB RDS instance ID> |
| ApsaraDB for Redis | acs:kvstore:*:*:*/<ApsaraDB for Redis instance ID> |
| ApsaraDB for MongoDB | acs:dds:*:*:dbinstance/<ApsaraDB for MongoDB instance ID> |
| PolarDB for MySQL, PolarDB for PostgreSQL et PolarDB for PostgreSQL (Compatible with Oracle) | acs:polardb:*:*:*/<PolarDB cluster ID> |
| PolarDB-X 2.0 | acs:polardbx:*:*:*/<PolarDB-X 2.0 instance ID> |
Conseil : Ajoutez les permissions liées à DAS à une politique personnalisée d'un service de base de données afin d'utiliser les fonctionnalités DAS directement depuis la console de ce service.
Résoudre le message « aucune permission »
Après l'octroi de permissions personnalisées, la console DAS peut afficher le message suivant lors de la connexion de l'utilisateur RAM :
You do not have permissions. Contact the Alibaba Cloud account administrator for authorization
Cliquez sur l'icône 
pour fermer le message. Ajoutez ensuite performance/instance/<Instance ID>/detail à l'URL de la console DAS et actualisez la page pour accéder directement aux détails de l'instance.
Accorder les permissions de recherche et d'exportation SQL Explorer et Audit
Pour permettre à un utilisateur RAM d'utiliser les fonctionnalités de recherche et d'exportation dans SQL Explorer et Audit, créez une politique personnalisée incluant les actions listées ci-dessous pour votre type de base de données.
Pour exporter des données depuis la console d'un service de base de données, l'utilisateur RAM doit également disposer des read-only permissions sur ce service de base de données.
Procédure :
Créer une politique personnalisée dans l'onglet JSON en utilisant la politique adaptée à votre type de base de données.
Instances ApsaraDB RDS
{
"Version": "1",
"Statement": [
{
"Action": [
"rds:DescribeSQLLogRecordsList",
"rds:DescribeSqlLogDetailArchiveStatus",
"rds:StartSqlLogDetailArchive"
],
"Resource": "*",
"Effect": "Allow"
}
]
}Pour restreindre les permissions d'exportation à une instance spécifique, remplacez "Resource": "*" par "Resource": "acs:rds:*:*:dbinstance/<ApsaraDB RDS instance ID>".
Clusters PolarDB for MySQL
{
"Version": "1",
"Statement": [
{
"Action": [
"polardb:DescribeSQLLogRecords",
"polardb:DescribeSqlLogDetailArchiveStatus",
"polardb:StartSqlLogDetailArchive"
],
"Resource": "*",
"Effect": "Allow"
}
]
}Pour restreindre les permissions d'exportation à un cluster spécifique, remplacez "Resource": "*" par "Resource": "acs:polardb:*:*:*/<PolarDB for MySQL cluster ID>".
Instances PolarDB-X 2.0
{
"Version": "1",
"Statement": [
{
"Action": [
"hdm:DescribeDasSQLLogRecordsList",
"hdm:DescribeDasSqlLogDetailArchiveStatus",
"hdm:StartDasSqlLogDetailArchive"
],
"Resource": "*",
"Effect": "Allow"
}
]
}Pour restreindre les permissions d'exportation à une instance spécifique, remplacez "Resource": "*" par "Resource": "acs:polardbx:*:*:instance/<PolarDB-X 2.0 instance ID>".