ApsaraDB for MongoDB:Utiliser des groupes de ressources pour un contrôle d'accès granulaire

Fonctionnement

Les groupes de ressources permettent d'organiser vos ressources par projet ou par environnement. Une fois les ressources regroupées, associez une politique RAM à une identité (tel qu'un utilisateur RAM, un groupe d'utilisateurs ou un rôle) afin de limiter ses autorisations exclusivement à ce groupe. Pour plus d'informations, consultez la rubrique Regroupement des ressources et autorisation.

Cette méthode offre deux avantages majeurs :

• Contrôle d'accès granulaire : au lieu d'accorder des autorisations à l'échelle du compte, restreignez l'accès d'une identité aux seules ressources contenues dans un groupe spécifique. Cela permet d'isoler les charges de travail propres à chaque projet et de réduire les risques d'accès non intentionnel.

• Gestion simplifiée : lorsque de nouvelles ressources sont ajoutées à un groupe de ressources, les identités RAM dont les autorisations sont limitées à ce groupe y obtiennent automatiquement accès. Il n'est pas nécessaire de mettre à jour les politiques RAM à chaque création de ressource.

Accorder des autorisations au niveau du groupe de ressources à un utilisateur RAM

Cette section explique comment accorder à un utilisateur RAM l'autorisation d'accéder uniquement aux ressources ApsaraDB for MongoDB situées dans un groupe de ressources spécifique.

Ressources prises en charge

Les ressources ApsaraDB for MongoDB suivantes prennent en charge l'autorisation au niveau du groupe de ressources :

Actions non prises en charge

Les actions ApsaraDB for MongoDB suivantes ne prennent pas en charge l'autorisation au niveau du groupe de ressources :

Pour ces actions, créez une politique personnalisée dont la portée est définie sur Account.

Personnalisez les exemples de politiques suivants selon vos besoins :

• Autoriser l'accès en lecture seule

  {
    "Version": "1",
    "Statement": [
      {
        "Effect": "Allow",
        "Action": [
          "dds:CheckServiceLinkedRole",
          "dds:DescribeActiveOperationMaintenanceConfig",
          "dds:DescribeActiveOperationTask",
          "dds:DescribeActiveOperationTaskRegion",
          "dds:DescribeAvailableZones",
          "dds:DescribeDBInstanceByConnectionStringForInner",
          "dds:DescribeDBInstanceSpecInfo",
          "dds:DescribeDetachedInstances",
          "dds:DescribeEventMetaInfo",
          "dds:DescribeHistoryEventsStat",
          "dds:DescribeInstances",
          "dds:DescribeKmsKeys",
          "dds:DescribeResourceQuota",
          "dds:DescribeUserEventConfig"
        ],
        "Resource": "*"
      }
    ]
  }
  

• Autoriser l'accès complet

  {
    "Version": "1",
    "Statement": [
      {
        "Effect": "Allow",
        "Action": [
          "dds:CancelActiveOperationTasks",
          "dds:CheckServiceLinkedRole",
          "dds:CreateGlobalSecurityIPGroup",
          "dds:DescribeActiveOperationMaintenanceConfig",
          "dds:DescribeActiveOperationTask",
          "dds:DescribeActiveOperationTaskRegion",
          "dds:DescribeAvailableZones",
          "dds:DescribeDBInstanceByConnectionStringForInner",
          "dds:DescribeDBInstanceSpecInfo",
          "dds:DescribeDetachedInstances",
          "dds:DescribeEventMetaInfo",
          "dds:DescribeHistoryEventsStat",
          "dds:DescribeInstances",
          "dds:DescribeKmsKeys",
          "dds:DescribeResourceQuota",
          "dds:DescribeUserEventConfig",
          "dds:InitializeDdsPermission",
          "dds:ModifyActiveOperationMaintenanceConfig",
          "dds:ModifyActiveOperationTask",
          "dds:ModifyActiveOperationTasks",
          "dds:ModifyEventInfo",
          "dds:ModifyGlobalSecurityIPGroup",
          "dds:ModifyGlobalSecurityIPGroupName",
          "dds:ModifyTaskInfo",
          "dds:ModifyUserEventConfig"
        ],
        "Resource": "*"
      }
    ]
  }
  

FAQ