Resource Access Management:Control ApsaraDB RDS access for RAM user groups using tags

Contexte

Dans cet exemple, vous disposez de 10 instances ApsaraDB RDS. Vous souhaitez autoriser l'équipe de développement à gérer 5 instances et l'équipe d'exploitation à gérer les 5 autres, tout en limitant la visibilité de chaque équipe aux seules instances qu'elle est autorisée à gérer.

Pour ce faire, créez deux groupes d'utilisateurs RAM nommés developer et operator.

Créez également deux politiques personnalisées nommées policyForDevTeam et policyForOpsTeam.

Vous devez créer les tags suivants :

• Un tag ajouté à cinq instances ApsaraDB RDS. La clé du tag est team et sa valeur est dev.

• Un tag ajouté aux cinq autres instances ApsaraDB RDS. La clé du tag est team et sa valeur est ops.

Procédure

La procédure d'utilisation des tags pour accorder l'accès aux instances ApsaraDB RDS par groupe est identique à celle utilisée pour les instances ECS. Pour plus d'informations, consultez Autoriser les instances ECS par groupe.

Créez les deux politiques personnalisées suivantes pour autoriser les équipes :

• La politique policyForDevTeam pour le groupe d'utilisateurs RAM developer

  {
    "Statement": [
      {
        "Action": "rds:*",
        "Effect": "Allow",
        "Resource": "*",
        "Condition": {
          "StringEquals": {
            "rds:ResourceTag/team": "dev"
           }
         }
       },
      {
         "Action": "rds:DescribeTag*",
         "Effect": "Allow",
         "Resource": "*"
       }
    ],
    "Version": "1"
  }

• La politique policyForOpsTeam pour le groupe d'utilisateurs RAM operator

  {
    "Statement": [
      {
        "Action": "rds:*",
        "Effect": "Allow",
        "Resource": "*",
        "Condition": {
          "StringEquals": {
            "rds:ResourceTag/team": "ops"
           }
         }
       },
      {
         "Action": "rds:DescribeTag*",
         "Effect": "Allow",
         "Resource": "*"
       }
    ],
    "Version": "1"
  }

Chaque politique se compose de deux parties :

• La partie "Action":"rds:*" qui inclut Condition spécifie les instances ApsaraDB RDS auxquelles le tag team:dev ou team:ops est ajouté.

• La partie "Action": "rds:DescribeTag*" autorise les utilisateurs RAM à interroger tous les tags dans ApsaraDB RDS. Lorsqu'un utilisateur RAM se connecte à la console ApsaraDB RDS, tous les tags existants s'affichent. L'utilisateur RAM doit sélectionner la valeur d'une clé de tag pour afficher les instances ApsaraDB RDS associées.

FAQ

Si des erreurs d'autorisation surviennent après avoir utilisé des tags pour accorder aux utilisateurs RAM un accès aux instances ApsaraDB RDS par groupe, vérifiez si les conditions suivantes sont remplies :

• Le tag est ajouté aux instances ApsaraDB RDS.

• Les clés et valeurs de tag spécifiées dans les politiques correspondent exactement aux clés et valeurs des tags ajoutés aux instances ApsaraDB RDS.

  Remarque

  Les clés et valeurs des tags dans ApsaraDB RDS ne peuvent pas contenir de lettres majuscules. Si vous saisissez des lettres majuscules lors de la création d'un tag, ApsaraDB RDS les convertit en minuscules.

• La politique requise est attachée aux utilisateurs RAM.

• La région sélectionnée dans la console ApsaraDB RDS correspond à la région où résident les instances ApsaraDB RDS.

• La valeur de tag correspondante permettant de filtrer les instances est sélectionnée.