PolarDB:Authorize RAM users to manage PolarDB by using custom policies

Restreindre l'accès à des clusters spécifiques

Utilisez cette politique lorsque vous possédez plusieurs clusters PolarDB et souhaitez qu'un utilisateur RAM n'en gère qu'un sous-ensemble, par exemple les clusters i-001 et i-002.

Cas d'usage : administrateurs de clusters nécessitant un contrôle total sur des clusters désignés.

{
  "Statement": [
    {
      "Action": "polardb:*",
      "Effect": "Allow",
      "Resource": [
        "acs:polardb:*:*:*/i-001",
        "acs:polardb:*:*:*/i-002"
      ]
    },
    {
      "Action": "polardb:Describe*",
      "Effect": "Allow",
      "Resource": "*"
    }
  ],
  "Version": "1"
}

• Resource dans la première instruction : acs:polardb:*:*:*/i-001 cible un cluster spécifique par son ID (le dernier segment de l'ARN). L'accès complet à la gestion s'applique uniquement à i-001 et i-002.

• **Action: polardb:Describe* sur Resource: "*"** : nécessaire pour que l'utilisateur RAM puisse voir les clusters dans la console PolarDB. Sans cette autorisation, la liste des clusters de la console apparaît vide.

L'utilisateur RAM autorisé peut consulter tous les clusters et ressources, mais ne peut gérer que les deux clusters dont les ID sont i-001 et i-002. La gestion de ces deux clusters reste possible via des opérations API, des interfaces en ligne de commande (CLI) ou des kits de développement logiciel (SDK).

Restreindre l'accès à des fonctionnalités spécifiques

Cette politique convient lorsqu'un utilisateur RAM doit effectuer uniquement un ensemble fixe d'opérations sur l'ensemble des clusters PolarDB, par exemple un administrateur de sauvegardes ou un responsable de la sécurité.

Cas d'usage : contrôle d'accès basé sur les rôles où un utilisateur RAM nécessite des opérations limitées telles que la gestion des sauvegardes ou la configuration des listes d'autorisation.

{
  "Statement": [
    {
      "Action": [
        "polardb:Describe*",
        "polardb:CreateBackup",
        "polardb:DeleteBackup",
        "polardb:ModifyDBClusterAccessWhitelist"
      ],
      "Resource": "*",
      "Effect": "Allow"
    }
  ],
  "Version": "1"
}

Cette politique permet à l'utilisateur RAM d'interroger les informations des clusters et des sauvegardes, de créer et supprimer des sauvegardes, ainsi que de modifier les listes d'autorisation pour tous les clusters PolarDB du compte. Toutes les autres opérations sont refusées par défaut.

Pour ajuster les opérations autorisées, remplacez ou complétez la liste Action avec des noms d'opérations API spécifiques. Consultez Services compatibles avec RAM pour obtenir la liste complète des opérations API PolarDB prenant en charge l'autorisation RAM.

Restreindre l'accès par adresse IP

Adoptez cette politique pour garantir qu'un utilisateur RAM accède aux clusters PolarDB uniquement depuis des adresses IP spécifiques, par exemple depuis un réseau d'entreprise ou un bastion.

Cas d'usage : environnements sensibles à la sécurité où l'accès aux clusters doit être limité à des emplacements réseau connus.

{
  "Version": "1",
  "Statement": [
    {
      "Action": "*",
      "Effect": "Allow",
      "Resource": "*",
      "Condition": {
        "IpAddress": {
          "acs:SourceIp": [
            "xxx.xxx.x.x"
          ]
        }
      }
    }
  ]
}

• acs:SourceIp : remplacez xxx.xxx.x.x par l'adresse IP ou le bloc CIDR autorisé.

• Effet : l'utilisateur RAM peut gérer tous les clusters PolarDB du compte, mais uniquement depuis les adresses IP spécifiées. Les requêtes provenant de toute autre adresse sont refusées.

Restreindre l'état TDE

Utilisez cette politique pour contraindre l'état TDE lors de la création de clusters par les utilisateurs RAM, afin d'imposer par exemple une politique de chiffrement au repos pour la conformité.

Cas d'usage : responsables de la conformité ou équipes de sécurité imposant des normes de chiffrement obligatoires.

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Deny",
      "Action": "polardb:*",
      "Resource": "*",
      "Condition": {
        "Bool": {
          "polardb:EncryptionRequired": [
            "false"
          ]
        }
      }
    }
  ]
}

• Effect: Deny : bloque toute action PolarDB où polardb:EncryptionRequired prend la valeur false. Toutes les opérations sont refusées sauf si TDE est activé.