L'hébergement sécurisé élimine les identifiants de base de données du flux de travail de votre équipe. Au lieu de partager des comptes et des mots de passe de base de données, DMS prend en charge la gestion des identifiants et applique un contrôle d'accès granulaire : les utilisateurs n'accèdent qu'aux ressources pour lesquelles ils sont autorisés, et chaque accès est auditable.
Fonctionnement
Lorsque l'hébergement sécurisé est activé pour une instance, celle-ci passe en état de connexion sans mot de passe. DMS stocke et gère les identifiants de la base de données pour le compte de votre équipe. Les utilisateurs s'authentifient via leurs comptes Alibaba Cloud ou par authentification unique (SSO) et accèdent aux bases de données selon les autorisations DMS qui leur sont attribuées, sans jamais voir le mot de passe de la base de données.
Avantages
Une fois l'hébergement sécurisé activé :
Accès sans connexion : Les utilisateurs n'ont plus besoin de comptes ni de mots de passe de base de données pour se connecter. DMS gère l'authentification à leur place.
Autorisations granulaires : Gérez l'accès au niveau de l'instance, de la base de données, de la table, de la ligne et de la colonne, et pas seulement au niveau de la connexion à l'instance.
Gestion du cycle de vie des autorisations : Définissez une date d'expiration pour les autorisations afin qu'elles soient automatiquement révoquées lorsqu'elles ne sont plus nécessaires.
Accès via un compte Alibaba Cloud ou SSO : Les utilisateurs s'authentifient à l'aide de leurs comptes Alibaba Cloud ou via SSO, plutôt que d'utiliser des identifiants spécifiques à chaque base de données.
Connectivité permanente : Fin des déconnexions après 24 heures. Les utilisateurs conservent leurs autorisations de requête et de modification sur l'instance sans avoir à se reconnecter.
Comparaison avant et après
|
Élément |
Avant l'hébergement sécurisé |
Après l'hébergement sécurisé |
|
Compte et mot de passe de la base de données |
Requis pour la connexion ; risque de fuite des identifiants |
Non requis |
|
Persistance de la session |
L'état de connexion peut devenir invalide ; déconnexion après 24 heures ; reconnexion nécessaire |
Aucune connexion requise ; les autorisations de requête et de modification persistent |
|
Accès à plusieurs bases de données |
Des comptes distincts sont requis pour chaque base de données |
Accès via un compte Alibaba Cloud ou SSO |
|
Étendue des autorisations |
Autorisations de connexion au niveau de l'instance uniquement |
Niveaux instance, base de données, table, ligne et colonne |
|
Cycle de vie des autorisations |
Révocation manuelle requise |
Définition de dates d'expiration pour une révocation automatique |
|
Accès utilisateur |
Les autorisations de connexion à l'instance doivent faire l'objet d'une demande distincte |
Les utilisateurs standard demandent des autorisations de requête, d'exportation et de modification en fonction des besoins métier |
Facturation
L'hébergement sécurisé est gratuit.
Considérations importantes
L'hébergement sécurisé est activé par défaut pour les instances gérées en mode Security Collaboration. Pour les instances gérées en mode Stable Change ou Flexible Management, vous devez l'activer manuellement.
Lors de l'activation de l'hébergement sécurisé, spécifiez un compte de base de données disposant de privilèges suffisants afin que DMS puisse gérer les opérations de base de données pour le compte des utilisateurs.
L'activation de l'hébergement sécurisé n'affecte pas les connexions de base de données existantes.
Lorsque vous enregistrez une instance across Alibaba Cloud accounts, vous ne pouvez pas définir le mode d'accès sur l'hébergement sécurisé.
Activer l'hébergement sécurisé
Les administrateurs DMS et les administrateurs de base de données (DBA) peuvent activer l'hébergement sécurisé depuis la console DMS V5.0.
L'hébergement sécurisé est activé par défaut pour les instances gérées en mode Security Collaboration. Aucune action manuelle n'est requise.
Les instances gérées en mode Stable Change ou Free Operation nécessitent une activation manuelle.
L'activation de l'hébergement sécurisé n'affecte pas les connexions de base de données existantes.
Activation pour une instance unique
Pour les instances non encore enregistrées dans DMS
Activez l'hébergement sécurisé lors de l'enregistrement. Pour les bases de données Alibaba Cloud, consultez la rubrique Enregistrer une instance de base de données Alibaba Cloud. Pour les bases de données tierces ou autogérées, consultez la rubrique Enregistrer une base de données hébergée sur un service cloud tiers ou une base de données autogérée.
Pour les instances déjà enregistrées dans DMS
Dans la section Database Instances située sur le côté gauche de la page d'accueil, cliquez avec le bouton droit sur l'instance cible et sélectionnez Edit.
Dans la boîte de dialogue, activez l'option Security hosting.
Pour plus d'informations, consultez la rubrique Modifier des instances de base de données.
Activation en masse
Pour activer l'hébergement sécurisé pour plusieurs instances simultanément, utilisez la fonctionnalité d'opération groupée sur la page de liste des instances.
Dans la barre de navigation supérieure, choisissez .
Sélectionnez plusieurs instances cibles dans la liste des instances.
Cliquez sur Batch edit en haut de la liste des instances. Dans la boîte de dialogue qui s'affiche, sélectionnez Enable Secure Management puis activez l'option.
Seuls les administrateurs DMS ou les DBA peuvent effectuer une activation en masse.
Désactiver l'hébergement sécurisé
Pour retirer une instance de l'état de connexion sans mot de passe, désactivez l'hébergement sécurisé :
Dans la section Database Instances située sur le côté gauche de la page d'accueil, repérez l'instance de base de données que vous souhaitez gérer et sélectionnez Edit.
Définissez le paramètre Access mode sur Disable Security Hosting (Not Recommended).
Une fois l'hébergement sécurisé désactivé :
Toutes les configurations d'autorisations pour l'instance (y compris les autorisations de requête, d'exportation et de modification) deviennent invalides.
L'instance est retirée de la liste de connexion sans mot de passe. Les utilisateurs doivent saisir les identifiants de la base de données à chaque connexion.
Vérifier le statut d'hébergement
Vous pouvez vérifier si l'hébergement sécurisé est activé pour une instance en utilisant l'une des méthodes suivantes :
-
Méthode 1 : Survol pour vérification
Dans la section Database Instances située sur le côté gauche de la page d'accueil, survolez l'instance cible pour afficher son statut d'hébergement.
-
Méthode 2 : Filtrage par statut d'hébergement
Dans la barre de navigation supérieure, choisissez . Sur la page de liste des instances, utilisez la fonction de recherche ou de filtrage pour filtrer les instances par statut d'hébergement (Security hosting ou Not hosted).
Autres opérations
Accorder des autorisations
Les administrateurs DMS, les DBA et les propriétaires d'instance peuvent accorder des autorisations en cliquant avec le bouton droit sur l'instance ou la base de données cible et en sélectionnant Manage Permissions. Dans la boîte de dialogue, attribuez des autorisations sur l'instance, la base de données ou d'autres ressources à l'utilisateur. Consultez la rubrique Gérer les autorisations.
Dans la boîte de dialogue Grant Permissions, confirmez les informations de la base de données. Sélectionnez l'utilisateur cible (par exemple, dmsuser_test) dans la liste déroulante Add User, sélectionnez les autorisations requises (par exemple, Query et Change), définissez le Expiration Time (par exemple, 1 mois), puis cliquez sur OK.
Pour les grandes équipes ou les nombreuses bases de données, regroupez les ressources associées — telles que les instances, les bases de données et les tables ayant le même objectif métier — dans un modèle d'autorisation et attribuez ce modèle aux utilisateurs. Consultez la rubrique Créer un modèle d'autorisation . Les utilisateurs standard peuvent également demander des autorisations directement. Consultez la rubrique Soumettre un ticket pour demander des autorisations .
Afficher les autorisations
Afficher vos propres autorisations : Afficher les autorisations détenues.
Afficher les autorisations d'autres utilisateurs en tant qu'administrateur DMS : Gérer les autorisations en tant qu'administrateur DMS.
Auditer les opérations
Suivez les opérations de modification des autorisations en tant qu'administrateur DMS ou DBA. Consultez la rubrique Utiliser la fonctionnalité d'audit des opérations.
FAQ
Comment empêcher les utilisateurs d'accéder aux instances qu'ils ne sont pas autorisés à afficher après l'activation de l'hébergement sécurisé ?
Désactivez la vérification des autorisations RAM. Accédez à O&M > Configuration Management et désactivez l'option Whether to enable RAM permission verification. Cela empêche les utilisateurs RAM d'effectuer des opérations sur les instances dans DMS en utilisant les autorisations RAM existantes.
-
Restreignez l'accès en fonction de ce que vous souhaitez contrôler. Pour plus d'informations, consultez la rubrique Contrôle d'accès.
-
Pour contrôler quels utilisateurs peuvent voir une instance spécifique : Accédez à Data Assets > Instances, repérez l'instance cible et choisissez More > Access control dans la colonne Actions. Une fois le contrôle d'accès activé, seuls les utilisateurs autorisés peuvent rechercher l'instance.
RemarqueLe contrôle d'accès est disponible uniquement pour les instances gérées en mode Security Collaboration.
Pour contrôler quelles instances un utilisateur spécifique peut voir : Accédez à O&M > Users, repérez l'utilisateur cible et choisissez More > Access control dans la colonne Actions. Une fois le contrôle d'accès activé, l'utilisateur ne peut rechercher que les instances ou bases de données autorisées.
-
Pour plus de questions fréquentes, consultez la rubrique FAQ sur l'hébergement sécurisé.