ApsaraDB RDS:Accorder des autorisations en lecture seule sur une instance RDS spécifique

Créez une politique.

1. Connectez-vous à la console RAM.

2. Dans le volet de navigation de gauche, sélectionnez Permissions > Policies.

3. Cliquez sur Create Policy.

4. Sélectionnez l'onglet visual editor ou l'onglet Edit Script.

   Éditeur visuel

   1. Définissez Effect sur Allow et Services sur ApsaraDB RDS / RDS.

   2. Pour Actions, sélectionnez toutes les autorisations liées à Describe dans la catégorie Read. Vous pouvez trouver ces autorisations en recherchant « Describe ».

      Important

      Si le document de politique dépasse la limite de longueur car vous avez sélectionné trop d'autorisations, soumettez un ticket pour demander une augmentation de la limite.

   3. Pour Resources, sélectionnez Specify Resources et définissez l'option ARN sur acs:rds:{#regionId}:{#accountId}:dbinstance/{#dbinstanceId} afin de configurer les Resources comme l'instance spécifique nécessitant une autorisation. Ne configurez pas Condition.

   4. Cliquez sur Add Statement. Définissez Effect sur Allow et Services sur ApsaraDB RDS / RDS.

   5. Définissez Actions sur rds:DescribeDBInstances. Définissez Resources sur All Resources. Ne configurez pas Condition.

   Éditeur de script

   Dans la fenêtre de l'éditeur de script, saisissez le contenu suivant :

   {
     "Statement": [
       {
         "Effect": "Allow",
         "Action": "rds:Describe*",
         "Resource": "acs:rds:*:*:dbinstance/"
       },
       {
         "Effect": "Allow",
         "Action": "rds:DescribeDBInstances",
         "Resource": "*"
       }
     ],
     "Version": "1"
   }

5. Cliquez sur OK. Dans le panneau Create Policy, saisissez un Policy Name et une Description. Vérifiez que le contenu de la politique est correct et cliquez sur OK.

Attachez la politique à l'utilisateur RAM.

1. Dans le volet de navigation de gauche, sélectionnez Identities > User.

2. Recherchez l'utilisateur cible et cliquez sur Add Permissions dans la colonne Actions.

3. Pour Grant Scope, spécifiez le groupe de ressources que vous avez créé pour cet exemple. Ensuite, dans la section Policies, cliquez sur Custom Policy, recherchez et sélectionnez la politique que vous avez créée.

4. Cliquez sur OK.

Connectez-vous à la console ApsaraDB RDS en tant qu'utilisateur RAM et consultez l'instance.

1. En tant qu'utilisateur RAM, accédez à la page Instances. Sélectionnez une région en haut de la page pour afficher la liste des instances.

2. Cliquez sur l'instance autorisée. Vous pouvez consulter ses détails.

   Remarque

   Avec cette méthode d'autorisation, l'utilisateur RAM peut voir toutes les instances sur la page de liste des instances, mais ne peut consulter les détails que de l'instance spécifiquement autorisée. Toute tentative de consultation d'autres instances non autorisées entraîne une erreur « autorisations insuffisantes ».

Créez un groupe de ressources.

1. Connectez-vous à la console Resource Management. Dans le volet de navigation de gauche, cliquez sur Resource Group.

2. Cliquez sur Create Resource Group, saisissez un Resource Group Identifier et un Resource Group Name, puis cliquez sur OK.

Déplacez l'instance cible vers le nouveau groupe de ressources.

1. Recherchez l'instance cible dans son groupe de ressources actuel. Par exemple, si l'instance se trouve dans le Default Resource Group, cliquez sur Resource Management dans la colonne Actions du groupe de ressources par défaut.

2. Recherchez l'instance cible par son ID, sélectionnez l'instance et cliquez sur Transfer Resource Group.

3. Dans la fenêtre Transfer Resource Group, sélectionnez le groupe de ressources que vous avez créé à l'étape 1, puis cliquez sur OK.

4. Dans la fenêtre de confirmation de réussite, cliquez sur OK.

   Le transfert est terminé lorsque l'instance cible apparaît dans le nouveau groupe de ressources.

Créez une politique.

1. Connectez-vous à la console RAM.

2. Dans le volet de navigation de gauche, sélectionnez Permissions > Policies.

3. Cliquez sur Create Policy.

4. Sélectionnez l'onglet visual editor ou l'onglet Edit Script.

   Éditeur visuel

   1. Définissez Effect sur Allow et Services sur ApsaraDB RDS / RDS.

   2. Pour Actions, sélectionnez les autorisations liées à Describe dans la catégorie Read. Vous pouvez rechercher « Describe » et sélectionner toutes les autorisations associées.

      Important

      Si le document de politique dépasse la limite de longueur car vous avez sélectionné trop d'autorisations, soumettez un ticket pour demander une augmentation de la limite.

   3. Définissez Resources sur All Resources. Ne configurez pas Condition.

   Éditeur de script

   Dans la fenêtre de l'éditeur de script, saisissez le contenu suivant :

   {
       "Version": "1",
       "Statement": [
           {
               "Effect": "Allow",
               "Action": [
                   "rds:Describe*"
               ],
               "Resource": "*"
           }
       ]
   }

5. Cliquez sur OK. Dans le panneau Create Policy, saisissez un Policy Name et une Description. Vérifiez que le contenu de la politique est correct et cliquez sur OK.

Attachez la politique personnalisée à l'utilisateur RAM spécifié.

1. Dans le volet de navigation de gauche, sélectionnez Identities > User.

2. Recherchez l'utilisateur cible et cliquez sur Add Permissions dans la colonne Actions.

3. Pour Grant Scope, spécifiez le groupe de ressources que vous avez créé pour cet exemple. Ensuite, dans la section Policies, cliquez sur Custom Policy, recherchez et sélectionnez la politique que vous avez créée.

4. Cliquez sur OK.

Connectez-vous à la console ApsaraDB RDS en tant qu'utilisateur RAM et consultez l'instance.

1. En tant qu'utilisateur RAM, accédez à la page Instances et sélectionnez une région en haut de la page.

2. Sélectionnez le groupe de ressources que vous avez créé à l'étape 1. L'instance cible s'affiche. Cliquez sur l'instance pour consulter ses détails.

Ajoutez un tag à l'instance RDS.

1. Accédez à la page Instances, sélectionnez une région en haut de la page et recherchez l'instance cible.

2. Dans la colonne Tags, cliquez sur l'icône , puis cliquez sur Edit.

3. Définissez la clé de tag et la valeur de tag, puis cliquez sur OK.

   Cet exemple utilise test-ram comme clé de tag et rds-mysql comme valeur de tag. Nous vous recommandons d'utiliser des clés et des valeurs de tag significatives.

   Le tag test-ram: rds-mysql apparaît dans la colonne Tags de l'instance, indiquant que le tag a été ajouté avec succès.

Créez une politique.

1. Connectez-vous à la console RAM.

2. Dans le volet de navigation de gauche, sélectionnez Permissions > Policies.

3. Cliquez sur Create Policy.

4. Sélectionnez l'onglet visual editor ou l'onglet Edit Script.

   Éditeur visuel

   1. Définissez Effect sur Allow et Services sur ApsaraDB RDS / RDS.

   2. Pour Actions, sélectionnez les autorisations liées à Describe dans la catégorie Read. Vous pouvez rechercher « Describe » et sélectionner toutes les autorisations associées.

      Important

      Si le document de politique dépasse la limite de longueur car vous avez sélectionné trop d'autorisations, soumettez un ticket pour demander une augmentation de la limite.

   3. Définissez Resources sur All Resources. Cliquez sur Add Condition, et définissez la Condition Key, les Operators et la Condition Value.

      Remarque

      Dans les paramètres Condition, définissez Condition Key sur rds:ResourceTag et Operators sur StringEquals. Pour Condition Value, saisissez la Tag Key et la Tag Value que vous avez ajoutées à l'instance RDS à l'étape 1.

   Éditeur de script

   Dans la fenêtre de l'éditeur de script, saisissez le contenu suivant :

   Remarque

   Dans le script suivant, test-ram et rds-mysql sont uniquement des exemples. Remplacez-les par la clé de tag et la valeur de tag que vous avez associées à l'instance RDS à l'étape 1.

   {
     "Version": "1",
     "Statement": [
       {
         "Effect": "Allow",
         "Action": [
           "rds:Describe*"
         ],
         "Resource": [
           "*"
         ],
         "Condition": {
           "StringEquals": {
             "rds:ResourceTag/test-ram": [
               "rds-mysql"
             ]
           }
         }
       }
     ]
   }

5. Cliquez sur OK. Dans le panneau Create Policy, saisissez un Policy Name et une Description. Vérifiez que le contenu de la politique est correct et cliquez sur OK.

Attachez la politique personnalisée à l'utilisateur RAM spécifié.

1. Dans le volet de navigation de gauche, sélectionnez Identities > User.

2. Recherchez l'utilisateur cible et cliquez sur Add Permissions dans la colonne Actions.

3. Pour Grant Scope, spécifiez le groupe de ressources que vous avez créé pour cet exemple. Ensuite, dans la section Policies, sélectionnez Custom Policy, recherchez et sélectionnez la politique que vous avez créée.

4. Cliquez sur OK.

Connectez-vous à la console ApsaraDB RDS en tant qu'utilisateur RAM et consultez l'instance.

1. En tant qu'utilisateur RAM, accédez à la page Instances et sélectionnez une région en haut de la page.

2. Pour trouver l'instance taguée, utilisez la fonctionnalité Filter by Tag : Cliquez sur Filter by Tag, puis sélectionnez la clé de tag test-ram et la valeur de tag rds-mysql. Les résultats du filtre affichent uniquement les instances RDS auxquelles l'utilisateur RAM a le droit d'accéder.