Utiliser RAM pour l'autorisation des ressources - - Centre de documentation Alibaba Cloud

Utilisez Alibaba Cloud Resource Access Management (RAM) pour accorder aux utilisateurs RAM les autorisations de gestion des instances ApsaraDB RDS.

Description

Toutes les instances RDS créées dans votre compte Alibaba Cloud sont des ressources appartenant à ce compte. Par défaut, vous êtes autorisé à effectuer toutes les opérations sur les ressources de votre compte Alibaba Cloud.

RAM vous permet d'accorder aux utilisateurs RAM des autorisations d'accès et de gestion sur les ressources de votre compte Alibaba Cloud. Pour plus d'informations, consultez Présentation de RAM

Vous ne pouvez accorder aux utilisateurs RAM que des autorisations sur les ressources de type dbinstance. L'autorisation s'applique donc au niveau de l'instance. Les sections suivantes expliquent comment spécifier les ressources concernées.

Paramètres de requête

Type de ressource

Description de la ressource dans la politique d'autorisation

dbinstance

acs:rds:$regionid:$accountid:dbinstance/$dbinstanceid

acs:rds:$regionid:$accountid:dbinstance/

acs:rds:::dbinstance/

Le tableau suivant décrit les paramètres utilisés dans la description de la ressource.

Paramètre	Description
`$regionid`	ID de la région de l'instance. Vous pouvez utiliser un caractère générique (`*`).
`$dbinstanceid`	Nom de l'instance. Vous pouvez utiliser un caractère générique (`*`).
`$accountid`	ID de votre compte Alibaba Cloud. Vous pouvez utiliser un caractère générique (`*`).

Exemples

Remarque

Dans les exemples suivants, le paramètre Action spécifie les autorisations à accorder à un utilisateur RAM. Ces autorisations correspondent à des opérations API. Par exemple, l'opération CreateBackup permet de créer une sauvegarde et l'opération ModifyBackupPolicy permet de modifier les paramètres de sauvegarde. Maîtrisez les opérations de l'API ApsaraDB RDS afin d'accorder les autorisations adaptées à vos besoins métier. Pour plus d'informations, consultez Présentation des API.
Pour plus d'informations sur la configuration des autorisations, consultez Structure et syntaxe des politiques.

Accordez à un utilisateur RAM l'autorisation de consulter toutes les instances RDS, ainsi que les autorisations de création et de gestion des sauvegardes pour une seule instance RDS. Configurez également l'expiration de ces autorisations au 17 août 2020.

{
    "Statement": [
        {
            "Action": [
                "rds:CreateBackup",
                "rds:ModifyBackupPolicy"
            ],
            "Effect": "Allow",
            "Resource": [
                "acs:rds:*:*:*/rm-bpxxxxxxx"
            ],
            "Condition": {
                "DateLessThan": {
                    "acs:CurrentTime": "2020-08-17T23:59:59+08:00"
                }
            }
        },
        {
            "Action": [
                "rds:Describe*"
            ],
            "Effect": "Allow",
            "Resource": [
                "acs:rds:*:*:*/*"
            ],
            "Condition": {
                "DateLessThan": {
                    "acs:CurrentTime": "2020-08-17T23:59:59+08:00"
                }
            }
        }
    ],
    "Version": "1"
}

Règles d'authentification pour l'API ApsaraDB RDS

Lorsqu'un utilisateur RAM demande l'accès à une instance via une opération API, ApsaraDB RDS communique avec RAM pour vérifier les autorisations de l'utilisateur. Les vérifications dépendent des ressources demandées et de la syntaxe de l'opération API appelée.