Data Management:Utiliser DMS sur plusieurs comptes Alibaba Cloud

Supposons que le compte Alibaba Cloud A souhaite enregistrer une ressource du compte Alibaba Cloud B dans son propre locataire DMS. Un utilisateur RAM sous le compte B doit suivre les étapes ci-dessous dans la console RAM :

1. Connectez-vous à la console RAM en utilisant un utilisateur RAM du compte Alibaba Cloud B (propriétaire de la ressource) disposant de la permission AliyunRAMFullAccess.

2. Sur la page Roles, créez un rôle RAM et configurez une stratégie de confiance pour le compte A. Utilisez l'une des méthodes suivantes :

   Méthode 1 : Éditeur visuel

   1. Sur la page Create Role, cliquez sur Switch to Policy Editor.

      Pour Select Trusted Entity, sélectionnez Alibaba Cloud Account. Le bouton Switch to Policy Editor se trouve à droite de l'invite en bas de la page.

   2. Dans l'onglet Visual Editor, définissez le paramètre Principal sur Cloud Service. Configurez les paramètres suivants :

      • Dans la zone de texte située sous Other Account, saisissez l'UID du compte A.

      • Pour Cloud Service, sélectionnez Data Management/DMSEnterprise.

   3. Cliquez sur OK.

   Méthode 2 : Éditeur de script

   1. Sur la page Create Role, cliquez sur Switch to Policy Editor.

   2. Dans l'onglet Script Editor, saisissez la stratégie suivante.

      Cette stratégie de confiance permet à l'utilisateur spécifié de gérer les ressources pour l'enregistrement d'instances inter-comptes.

      {
        "Statement": [
          {
            "Action": "sts:AssumeRole",
            "Effect": "Allow",
            "Principal": {
              "Service": [
                "<UID of Alibaba Cloud account A>@dms.aliyuncs.com"
              ]
            }
          }
        ],
        "Version": "1"
      }

   3. Cliquez sur OK.

3. Sur la page Policies, créez une stratégie personnalisée. Par exemple, nommez la stratégie DmsCrossAccountPolicy.

   Les types de bases de données et méthodes d'accès (VPC) suivants sont pris en charge dans la stratégie de permission : Tair (Redis OSS-compatible), PolarDB-X, OceanBase, ApsaraDB for Lindorm, Hologres, GDB, SelectDB et ClickHouse Enterprise Edition.

   Remarque

   Pour RDS, PolarDB for MySQL, PolarDB for PostgreSQL et PolarDB for PostgreSQL(Compatible with Oracle), ignorez les étapes 3 et 4 et passez directement à l'étape 5.

   Cliquez ici pour afficher les stratégies de permission pour chaque type de base de données.

   Redis

   {
     "Statement": [
       {
         "Action": [
           "kvstore:DescribeSecurityIps",
           "kvstore:ModifySecurityIps",
           "kvstore:DescribeRegions",
           "kvstore:DescribeInstances",
           "kvstore:DescribeInstanceAttribute",
           "kvstore:DescribeInstanceConfig"
         ],
         "Resource": "*",
         "Effect": "Allow"
       }
     ],
     "Version": "1"
   }

   PolarDB-X 1.0

   {
     "Statement": [
       {
         "Action": [
           "drds:DescribeDrdsInstances",
           "drds:QueryInstanceInfoByConn",
           "drds:DescribeDrdsInstanceList",
           "drds:DescribeDrdsDBIpWhiteList",
           "drds:ModifyDrdsIpWhiteList",
           "drds:DescribeDrdsInstanceVersion"
         ],
         "Resource": "*",
         "Effect": "Allow"
       }
     ],
     "Version": "1"
   }

   PolarDB-X 2.0

   {
     "Statement": [
       {
         "Action": [
           "polardbx:DescribeDBInstances",
           "polardbx:DescribeSecurityIps",
           "polardbx:ModifySecurityIps",
           "polardbx:DescribeDBInstanceAttribute",
           "polardbx:DescribeDBInstanceViaEndpoint"
         ],
         "Resource": "*",
         "Effect": "Allow"
       }
     ],
     "Version": "1"
   }

   OceanBase

   {
     "Statement": [
       {
         "Action": [
           "oceanbase:DescribeAllTenantsConnectionInfo",
           "oceanbase:DescribeInstances"
         ],
         "Resource": "*",
         "Effect": "Allow"
       }
     ],
     "Version": "1"
   }

   ApsaraDB for Lindorm

   {
     "Statement": [
       {
         "Action": [
           "lindorm:GetLindormInstanceList",
           "lindorm:GetLindormInstance",
           "lindorm:GetLindormInstanceListForDMS",
           "lindorm:GetLindormInstanceForDMS",
           "lindorm:GetLindormInstanceForDMSByConnStr",
           "lindorm:GetInstanceIpWhiteList",
           "lindorm:UpdateInstanceIpWhiteList"
         ],
         "Resource": "*",
         "Effect": "Allow"
       }
     ],
     "Version": "1"
   }

   Hologres

   {
     "Statement": [
       {
         "Action": [
           "hologram:GetInstance",
           "hologram:ListInstances"
         ],
         "Resource": "*",
         "Effect": "Allow"
       }
     ],
     "Version": "1"
   }

   GDB

   {
     "Statement": [
       {
         "Action": [
           "gdb:DescribeDbInstances"
         ],
         "Resource": "*",
         "Effect": "Allow"
       }
     ],
     "Version": "1"
   }

   SelectDB

   {
     "Statement": [
       {
         "Action": [
           "selectdb:DescribeDBInstances",
           "selectdb:DescribeDBInstanceAttribute",
           "selectdb:DescribeDBInstanceNetInfo",
           "selectdb:DescribeSecurityIPList",
           "selectdb:ModifySecurityIPList"
         ],
         "Resource": "*",
         "Effect": "Allow"
       }
     ],
     "Version": "1"
   }

   ClickHouse Enterprise Edition

   {
     "Statement": [
       {
         "Action": [
           "clickhouse:DescribeDBClusters",
           "clickhouse:DescribeDBInstances",
           "clickhouse:DescribeDBInstanceAttribute",
           "clickhouse:DescribeEndpoints",
           "clickhouse:DescribeSecurityIPList",
           "clickhouse:ModifySecurityIPList"
         ],
         "Resource": "*",
         "Effect": "Allow"
       }
     ],
     "Version": "1"
   }

   La stratégie d'exemple suivante permet l'enregistrement de bases de données via un VPC.

   {
     "Statement": [
       {
         "Action": [
           "vpc:DescribeVpcs"
         ],
         "Resource": "*",
         "Effect": "Allow"
       }
     ],
     "Version": "1"
   }

4. Sur la page Roles, attachez la stratégie DmsCrossAccountPolicy au rôle créé à l'étape 2. Pour plus d'informations, consultez la section Gérer les permissions d'un rôle RAM.

5. Sur la page Roles, cliquez sur le nom du rôle et copiez le paramètre ARN depuis la page des détails du rôle.

Enregistrer l'instance

Lorsque l'utilisateur A enregistre une base de données, saisissez l'ARN du rôle.

Dans la boîte de dialogue Register Database, dans la section Basic Information, définissez Database Type sur MySQL et configurez Instance Region. Dans le champ Cross-account ARN, saisissez l'ARN copié à l'étape 4.