ApsaraDB RDS utilise des rôles liés au service pour accéder à d'autres services Alibaba Cloud en votre nom. Chaque rôle est un rôle RAM doté d'une politique d'accès prédéfinie. RDS crée et utilise le rôle automatiquement, ce qui vous évite de configurer les autorisations manuellement.
ApsaraDB RDS prend en charge trois rôles liés au service :
|
Nom du rôle |
Utilisé par |
|
|
ApsaraDB RDS for MySQL |
|
|
ApsaraDB RDS for PostgreSQL |
|
|
Proxy de base de données pour ApsaraDB RDS for PostgreSQL |
Pour plus d'informations sur les rôles liés au service dans Alibaba Cloud, consultez la rubrique Rôles liés au service.
AliyunServiceRoleForRds
Détails du rôle
|
Champ |
Valeur |
|
Role name |
AliyunServiceRoleForRds |
|
Access policy |
AliyunServiceRolePolicyForRds |
|
Used by |
ApsaraDB RDS for MySQL |
Autorisations
Cette politique accorde à RDS for MySQL l'accès aux ressources réseau ECS, à la topologie VPC et la possibilité de supprimer ce rôle lorsqu'il n'est plus nécessaire.
{
"Version": "1",
"Statement": [
{
"Action": [
"ecs:CreateNetworkInterface",
"ecs:DeleteNetworkInterface",
"ecs:AttachNetworkInterface",
"ecs:DetachNetworkInterface",
"ecs:DescribeNetworkInterfaces",
"ecs:CreateNetworkInterfacePermission",
"ecs:DescribeNetworkInterfacePermissions",
"ecs:CreateSecurityGroup",
"ecs:DeleteSecurityGroup",
"ecs:DescribeSecurityGroupAttribute",
"ecs:DescribeSecurityGroups",
"ecs:ModifySecurityGroupAttribute",
"ecs:AuthorizeSecurityGroup",
"ecs:AuthorizeSecurityGroupEgress",
"ecs:RevokeSecurityGroup",
"ecs:RevokeSecurityGroupEgress",
"ecs:DescribeKeyPairs",
"ecs:ModifyImageSharePermission",
"ecs:DescribeImages"
],
"Resource": "*",
"Effect": "Allow"
},
{
"Action": [
"vpc:DescribeVSwitches",
"vpc:AssociateEipAddress",
"vpc:DescribeVpcs"
],
"Resource": "*",
"Effect": "Allow"
},
{
"Action": "ram:DeleteServiceLinkedRole",
"Resource": "*",
"Effect": "Allow",
"Condition": {
"StringEquals": {
"ram:ServiceName": "rds-ecs-service.rds.aliyuncs.com"
}
}
}
]
}Créer le rôle
Ce rôle est créé automatiquement lorsque vous créez une base de données dans la console. Suivez les instructions affichées à l'écran pour accorder l'autorisation. Pour plus d'informations, consultez la rubrique Créer une base de données.
Supprimer le rôle
Avant de supprimer ce rôle, supprimez toutes les bases de données ApsaraDB RDS for MySQL qui en dépendent.
Supprimez chaque base de données dépendante. Consultez la rubrique Supprimer une base de données.
Supprimez le rôle lié au service. Consultez la rubrique Supprimer un rôle lié au service.
Astuce : Si vous ne savez pas si ce rôle est toujours utilisé, essayez de le supprimer. En cas d'échec, le message d'erreur indique quelles ressources dépendent du rôle.
AliyunServiceRoleForRdsPgsqlOnEcs
Détails du rôle
|
Champ |
Valeur |
|
Role name |
AliyunServiceRoleForRdsPgsqlOnEcs |
|
Access policy |
AliyunServiceRolePolicyForRdsPgsqlOnEcs |
|
Used by |
ApsaraDB RDS for PostgreSQL |
Autorisations
Cette politique accorde à RDS for PostgreSQL l'accès aux ressources réseau ECS, au service Key Management Service (KMS) pour le chiffrement, à la topologie VPC et la possibilité de supprimer ce rôle lorsqu'il n'est plus nécessaire.
{
"Version": "1",
"Statement": [
{
"Action": [
"ecs:CreateNetworkInterface",
"ecs:DeleteNetworkInterface",
"ecs:AttachNetworkInterface",
"ecs:DetachNetworkInterface",
"ecs:DescribeNetworkInterfaces",
"ecs:CreateNetworkInterfacePermission",
"ecs:DescribeNetworkInterfacePermissions",
"ecs:CreateSecurityGroup",
"ecs:DeleteSecurityGroup",
"ecs:DescribeSecurityGroupAttribute",
"ecs:DescribeSecurityGroups",
"ecs:ModifySecurityGroupAttribute",
"ecs:AuthorizeSecurityGroup",
"ecs:AuthorizeSecurityGroupEgress",
"ecs:RevokeSecurityGroup",
"ecs:RevokeSecurityGroupEgress"
],
"Resource": "*",
"Effect": "Allow"
},
{
"Action": [
"kms:Listkeys",
"kms:Listaliases",
"kms:ListResourceTags",
"kms:DescribeKey",
"kms:UntagResource",
"kms:TagResource",
"kms:DescribeAccountKmsStatus"
],
"Resource": "*",
"Effect": "Allow"
},
{
"Action": [
"kms:Encrypt",
"kms:Decrypt",
"kms:GenerateDataKey"
],
"Resource": "*",
"Effect": "Allow",
"Condition": {
"StringEqualsIgnoreCase": {
"kms:tag/acs:rds:instance-encryption": "true"
}
}
},
{
"Action": [
"vpc:DescribeVSwitches",
"vpc:DescribeVpcs"
],
"Resource": "*",
"Effect": "Allow"
},
{
"Action": "ram:DeleteServiceLinkedRole",
"Resource": "*",
"Effect": "Allow",
"Condition": {
"StringEquals": {
"ram:ServiceName": "pgsql-onecs.rds.aliyuncs.com"
}
}
}
]
}Créer le rôle
Ce rôle est créé automatiquement lorsque vous créez une instance ApsaraDB RDS for PostgreSQL. Suivez les instructions affichées dans la console pour accorder l'autorisation. Pour plus d'informations, consultez la rubrique Créer une instance ApsaraDB RDS for PostgreSQL.
Supprimer le rôle
Avant de supprimer ce rôle, libérez toutes les instances ApsaraDB RDS for PostgreSQL qui en dépendent.
Libérez chaque instance dépendante. Consultez la rubrique Libérer une instance.
Supprimez le rôle lié au service. Consultez la rubrique Supprimer un rôle lié au service.
Astuce : Si vous ne savez pas si ce rôle est toujours utilisé, essayez de le supprimer. En cas d'échec, le message d'erreur indique quelles ressources dépendent du rôle.
AliyunServiceRoleForRDSProxyOnEcs
Détails du rôle
|
Champ |
Valeur |
|
Role name |
AliyunServiceRoleForRDSProxyOnEcs |
|
Access policy |
AliyunServiceRolePolicyForRDSProxyOnEcs |
|
Used by |
Proxy de base de données pour ApsaraDB RDS for PostgreSQL |
Autorisations
Cette politique accorde au proxy de base de données l'accès aux ressources réseau ECS, à la topologie VPC et la possibilité de supprimer ce rôle lorsqu'il n'est plus nécessaire.
{
"Version": "1",
"Statement": [
{
"Action": [
"ecs:CreateNetworkInterface",
"ecs:DeleteNetworkInterface",
"ecs:AttachNetworkInterface",
"ecs:DetachNetworkInterface",
"ecs:DescribeNetworkInterfaces",
"ecs:CreateNetworkInterfacePermission",
"ecs:DescribeNetworkInterfacePermissions",
"ecs:CreateSecurityGroup",
"ecs:DeleteSecurityGroup",
"ecs:DescribeSecurityGroupAttribute",
"ecs:DescribeSecurityGroups",
"ecs:ModifySecurityGroupAttribute",
"ecs:AuthorizeSecurityGroup",
"ecs:AuthorizeSecurityGroupEgress",
"ecs:RevokeSecurityGroup",
"ecs:RevokeSecurityGroupEgress"
],
"Resource": "*",
"Effect": "Allow"
},
{
"Action": [
"vpc:DescribeVSwitches",
"vpc:DescribeVpcs"
],
"Resource": "*",
"Effect": "Allow"
},
{
"Action": "ram:DeleteServiceLinkedRole",
"Resource": "*",
"Effect": "Allow",
"Condition": {
"StringEquals": {
"ram:ServiceName": "rdsproxy-onecs.rds.aliyuncs.com"
}
}
}
]
}Créer le rôle
Ce rôle est créé automatiquement lorsque vous activez le proxy de base de données pour une instance ApsaraDB RDS for PostgreSQL. Suivez les instructions affichées dans la console pour accorder l'autorisation. Pour plus d'informations, consultez la rubrique Activer le proxy de base de données.
Supprimer le rôle
Ne supprimez pas ce rôle si vous prévoyez de continuer à utiliser le proxy de base de données ou les instances Serverless.
Avant de supprimer ce rôle, désactivez tous les proxys de base de données qui en dépendent.
Désactivez le proxy de base de données. Consultez la rubrique Désactiver le proxy de base de données.
Supprimez le rôle lié au service. Consultez la rubrique Supprimer un rôle lié au service.
Astuce : Si vous ne savez pas si ce rôle est toujours utilisé, essayez de le supprimer. En cas d'échec, le message d'erreur indique quelles ressources dépendent du rôle.
Référence API
Utilisez l'opération CreateServiceLinkedRole pour créer un rôle lié au service pour une instance ApsaraDB RDS.
|
Paramètre |
Description |
Exemple |
|
|
ID de la région. Appelez l'opération DescribeRegions pour obtenir les ID de région disponibles. |
|
|
|
Rôle à créer : |
|