ApsaraDB RDS:Granting RAM users access to RDS instances

Prérequis

Un utilisateur RAM a été créé. Pour plus d'informations, consultez la rubrique Création d'un utilisateur RAM.

Contexte

L'octroi d'autorisations à un utilisateur RAM permet à ce dernier d'appeler des opérations API spécifiques. Par exemple, si vous accordez à un utilisateur RAM l'autorisation d'appeler l'API CreateDBInstance, celui-ci peut créer des instances via la console.

Cette rubrique utilise un exemple pour illustrer la procédure d'octroi d'autorisations permettant à un utilisateur RAM de consulter la configuration des instances RDS.

Procédure

1. Créez une stratégie personnalisée.

   1. Connectez-vous à la console RAM.

   2. Dans le volet de navigation de gauche, sélectionnez Permission Management > Policy.

   3. Cliquez sur Create Policy.

   4. Sélectionnez Visual Editor ou Script editing.

      Éditeur visuel

      Paramètre	Description
      Effect	Autorisez ou refusez l'utilisateur RAM à appliquer les paramètres suivants. Par exemple, Allow.
      Services	Sélectionnez le produit ou le service cible. Par exemple, sélectionnez ApsaraDB RDS.
      Action	Sélectionnez un type d'action : All Actions ou Specified Operations. Si vous sélectionnez Specified Operations, vous devez sélectionner les actions autorisées dans la section All Actions et les ajouter à la section Selected Actions. Nous vous recommandons également de sélectionner DescribeDBInstances, qui se trouve sous Read. Sans cette action, vous ne pourrez pas afficher la liste des instances. Important Si le document de stratégie dépasse la limite de longueur en raison du nombre élevé d'actions sélectionnées, vous pouvez soumettre un ticket pour demander une augmentation de la limite. Par exemple, sélectionnez toutes les actions Read.
      Resources	Sélectionnez les ressources. Vous pouvez choisir All Resources ou Specified Resources. Si vous sélectionnez Specified Resources, vous devez ajouter des ressources spécifiques. Cliquez sur Add Resource à droite pour faire correspondre les ressources selon le format ARN de la ressource. La méthode spécifique est la suivante : Important Pour garantir l'application d'une politique d'autorisation, la console marque les ARN de ressource requis pour une action comme Required. Nous vous recommandons vivement de configurer ces ARN de ressource. Par exemple, l'ARN acs:rds::{#accountId}:dbinstance/ est requis. Si vous ne configurez pas cet ARN, l'utilisateur RAM ne pourra afficher aucune instance dans la liste des instances. acs:rds:{#regionId}:{#accountId}:dbinstance/{#dbinstanceId} (Requis) : Fait correspondre les ressources par région, compte et ID d'instance. acs:rds:{#regionId}:{#accountId}:dbinstance/* : Fait correspondre les ressources par région et compte. acs:rds::{#accountId}:dbinstance/ (Requis) : Fait correspondre les ressources par compte. acs:rds:*:{#accountId}:dbinstance/{#dbinstanceId} (Requis) : Fait correspondre les ressources par compte et ID d'instance. Remarque RAM prend en charge l'autorisation fine via plusieurs méthodes, telles que ARN, resource group authorization et tag-based authorization. Pour un exemple d'octroi d'autorisations en lecture seule sur une instance RDS spécifique à un utilisateur RAM, consultez la rubrique Octroi d'autorisations en lecture seule à un utilisateur RAM sur une instance RDS spécifique.
      Condition	Vous pouvez ajouter des conditions pour restreindre davantage l'accès, par exemple par adresse IP source. Pour plus d'informations, consultez la rubrique Éléments d'une stratégie.

      JSON

      Saisissez le contenu suivant dans l'éditeur :

      {
          "Version": "1",
          "Statement": [
              {
                  "Effect": "Allow",
                  "Action": "rds:Describe*",
                  "Resource": "*"
              }
          ]
      }

      Remarque

      Par rapport à l'Visual Editor, il est plus pratique d'utiliser directement Describe* pour les opérations concernées.

   5. Cliquez sur OK. Dans la boîte de dialogue Create Policy, saisissez un Policy Name et une Note, vérifiez que le contenu de la stratégie est correct, puis cliquez à nouveau sur OK.

2. Attachez la stratégie personnalisée à l'utilisateur RAM.

   1. Dans le volet de navigation de gauche, sélectionnez Identities > Users.

   2. Localisez l'utilisateur cible et, dans la colonne Action à droite, cliquez sur Add Permissions.

   3. Dans la section Policies, cliquez sur Custom Policy, recherchez la stratégie que vous avez créée et sélectionnez-la.

   4. Cliquez sur OK.

La configuration est terminée. Vous pouvez désormais vous connecter à la console avec l'utilisateur RAM et consulter la configuration des instances RDS. Vous pouvez également accorder d'autres autorisations à l'utilisateur RAM selon les besoins de votre activité.

• Pour obtenir la liste des opérations API RDS, consultez la rubrique Présentation des API.

• Pour plus d'informations sur les éléments d'une stratégie, consultez la rubrique Éléments d'une stratégie.