Kelola aset database dari beberapa Akun Alibaba Cloud secara terpusat - Data Security Center

Data Security Center (DSC) memungkinkan Anda mengelola aset data, objek data, dan log audit dari beberapa Akun Alibaba Cloud secara terpusat. Dengan manajemen multi-akun, Anda dapat menjalankan identifikasi data sensitif, klasifikasi data, dan pemantauan keamanan di semua akun dari satu akun administrator yang didelegasikan—tanpa perlu berpindah antar akun.

Batasan

Hanya edisi berbayar DSC yang mendukung manajemen multi-akun.
Semua akun harus berada dalam direktori sumber daya yang sama dan entitas perusahaan yang sama. Perusahaan tersebut harus telah lulus verifikasi nama asli perusahaan.
Anggota yang telah membeli DSC tidak dapat ditambahkan sebagai anggota DSC oleh akun lain.
Akun yang ditambahkan sebagai anggota DSC tidak dapat membeli atau menggunakan DSC secara mandiri.
Aset data anggota DSC tidak mendukung mode pengumpulan traffic (agent).
Aset AnalyticDB for PostgreSQL milik anggota DSC tidak didukung oleh fitur-fitur DSC.

Konsep utama

Term	Description	Service
Management account	Akun Alibaba Cloud yang telah lulus verifikasi nama asli perusahaan. Setelah Anda menggunakan akun ini untuk mengaktifkan resource directory, akun tersebut menjadi management account dan bertindak sebagai super administrator dari resource directory—dengan izin penuh atas semua folder dan anggota. Setiap resource directory memiliki tepat satu management account.	Resource Management
Root folder	Folder tingkat teratas dalam resource directory. Semua folder lain diatur secara hirarkis di bawahnya.
Folder	Unit organisasi dalam resource directory, biasanya merepresentasikan unit bisnis, cabang, atau proyek. Folder dapat berisi anggota dan subfolder, membentuk struktur pohon.
Member	Akun yang termasuk dalam resource directory. Anggota yang dibuat di dalam direktori merupakan resource account. Akun Alibaba Cloud yang sudah ada dan menerima undangan untuk bergabung menjadi cloud account.
Delegated administrator account	Anggota yang ditunjuk oleh management account untuk mengelola layanan tepercaya (seperti DSC) dalam resource directory. Akun administrator yang didelegasikan dapat melihat struktur direktori dan anggotanya, serta mengelola semua operasi layanan dalam direktori tersebut.
Member of DSC	Anggota dalam resource directory yang ditambahkan ke DSC oleh akun administrator yang didelegasikan. Setelah ditambahkan, akun administrator yang didelegasikan dapat mengakses dan mengelola aset cloud anggota tersebut di DSC.	DSC

Management account tidak termasuk dalam resource directory itu sendiri dan tidak tunduk pada kebijakan kontrol aksesnya.

Cara kerja

Skenario berikut menggambarkan konfigurasi multi-akun yang lengkap:

Skenario: Akun A, B, C, D, dan E berada dalam resource directory yang sama. Akun A adalah management account. Akun A menunjuk Akun B sebagai delegated administrator account DSC. Akun B kemudian dapat mengelola aset data Akun B, C, D, dan E secara terpusat, serta menggunakan fitur-fitur DSC seperti perlindungan data sensitif, pemeriksaan baseline, audit data, dan penyamaran data. Pengguna RAM dari Akun B dapat dikonfigurasi untuk hanya mengelola aset Akun D dan E.

Pengaturan ini mencakup tiga langkah:

Gunakan management account untuk menunjuk anggota sebagai delegated administrator account DSC.
Gunakan delegated administrator account untuk menambahkan anggota yang ingin dikelola ke dalam DSC.
Kelola aset anggota tersebut dari Konsol DSC.

Pilih delegated administrator account

Sebelum memulai, tentukan akun anggota mana yang akan ditunjuk sebagai delegated administrator account.

Kami menyarankan agar Anda menggunakan Akun Alibaba Cloud yang tidak memiliki sumber daya sebagai management account saat mengaktifkan resource directory. Buat pengguna RAM (Resource Access Management) untuk management account tersebut dan lampirkan kebijakan AliyunResourceDirectoryFullAccess ke pengguna RAM tersebut. Kemudian, gunakan pengguna RAM tersebut untuk mengelola resource directory, bukan menggunakan kredensial root management account secara langsung.

Akun yang Anda tunjuk sebagai delegated administrator account harus telah membeli edisi berbayar DSC sebelum Anda dapat menyelesaikan Langkah 1.

Catatan penggunaan

Category	Detail
Verifikasi multi-akun	Semua akun harus berada dalam resource directory yang sama dan termasuk dalam entitas perusahaan yang sama, yang telah menyelesaikan verifikasi nama asli perusahaan.
Pembelian DSC	Beli DSC menggunakan akun yang ditunjuk sebagai delegated administrator account. Akun yang ditambahkan sebagai anggota DSC tidak dapat membeli atau menggunakan DSC secara mandiri.
Manajemen anggota berdasarkan level	Delegated administrator account dapat membuat pengguna RAM dan memberikan izin detail halus yang dibatasi pada anggota atau folder tertentu dalam resource directory. Lihat Otorisasi pengguna RAM untuk mengelola anggota tertentu.
Batasan fitur	Aset data anggota DSC tidak mendukung mode pengumpulan traffic (agent). Aset AnalyticDB for PostgreSQL milik anggota tidak didukung.
Biaya anggota	Ketika fitur identifikasi data dan audit keamanan diaktifkan untuk aset anggota, anggota tersebut membayar biaya untuk pembacaan data dan penyimpanan log audit di layanan database tertentu. Untuk detailnya, lihat Biaya tambahan untuk aset database yang terhubung ke DSC.

Prasyarat

Sebelum memulai, pastikan bahwa:

Resource directory telah diaktifkan. Untuk detailnya, lihat Aktifkan resource directory.
Setidaknya satu anggota sudah ada dalam resource directory—baik anggota yang baru dibuat maupun Akun Alibaba Cloud yang sudah ada dan telah menerima undangan untuk bergabung. Untuk detailnya, lihat Buat anggota dan Undang Akun Alibaba Cloud untuk bergabung ke resource directory.
Jika Anda berencana menggunakan pengguna RAM untuk mengelola anggota berdasarkan folder, buat folder sumber daya yang diperlukan terlebih dahulu dan tambahkan atau undang akun ke dalamnya. Untuk detailnya, lihat Buat folder.
Akun yang ditunjuk sebagai delegated administrator account telah membeli edisi berbayar DSC. Untuk detailnya, lihat Beli DSC.

Langkah 1: Konfigurasikan delegated administrator account DSC

Gunakan management account untuk menunjuk anggota sebagai delegated administrator account DSC. Setelah ini, anggota yang ditunjuk dapat mengakses struktur resource directory dan anggotanya, serta mengelola semua operasi DSC di seluruh direktori.

Login ke Konsol Resource Management menggunakan management account.
Di panel navigasi kiri, pilih Resource Directory > Trusted Services.
Di halaman Trusted Services, temukan Data Security Center (DSC) dan klik Manage di kolom Actions.
Pada bagian Delegated Administrator Accounts, klik Add.
Di panel Add Delegated Administrator Account, pilih Akun Alibaba Cloud yang telah membeli DSC sebagai delegated administrator account, lalu klik OK.

Setelah Anda mengklik OK, anggota yang ditunjuk ditetapkan sebagai delegated administrator account DSC. Mulai saat ini, gunakan delegated administrator account untuk melanjutkan pengaturan.

Langkah 2: Tambahkan anggota di DSC

Otorisasi pengguna RAM untuk mengelola anggota tertentu

Lewati bagian ini jika Anda menggunakan delegated administrator account secara langsung—bukan pengguna RAM—untuk menambahkan dan mengelola anggota.

Untuk memberikan pengguna RAM kontrol detail halus atas anggota atau folder tertentu, buat kebijakan deny kustom yang membatasi operasi penambahan dan penghapusan pengguna RAM hanya pada cakupan yang diizinkan.

Login ke Konsol RAM menggunakan delegated administrator account dan buat pengguna RAM. Untuk detailnya, lihat Buat pengguna RAM.
Di panel navigasi kiri Konsol RAM, pilih Permissions > Policies.
Di halaman Policies, klik Create Policy.

Di halaman Create Policy, klik tab JSON dan masukkan konten kebijakan kustom Anda. Kebijakan ini mengontrol dua aksi: menambahkan anggota (yundun-sddp:AddMultiAccountMembers) dan menghapus anggota (yundun-sddp:DeleteMultiAccountMembers). Gunakan kunci kondisi acs:RDManageScope untuk membatasi cakupan akses. Pilih salah satu pola berikut: Otorisasi pengguna RAM untuk mengelola anggota tertentu Tetapkan acs:RDManageScope dalam kondisi StringNotEquals ke path resource directory (RDPath) folder yang digabungkan dengan UID anggota tersebut. Temukan RDPath di halaman Resource Directory.

{
    "Version": "1",
    "Statement": [
        {
            "Effect": "Deny",
            "Action": [
                "yundun-sddp:AddMultiAccountMembers",
                "yundun-sddp:DeleteMultiAccountMembers"
            ],
            "Resource": "*",
            "Condition": {
                "StringNotEquals": {
                    "acs:RDManageScope": [
                        "rd-BXXXXs/r-cXXXX6/163XXXXXX1494597"
                    ]
                }
            }
        }
    ]
}

Otorisasi pengguna RAM untuk mengelola semua anggota dalam folder tertentu Tetapkan acs:RDManageScope dalam kondisi StringNotLike ke RDPath folder yang dimaksud diikuti dengan /*.

{
    "Version": "1",
    "Statement": [
        {
            "Effect": "Deny",
            "Action": [
                "yundun-sddp:AddMultiAccountMembers",
                "yundun-sddp:DeleteMultiAccountMembers"
            ],
            "Resource": "*",
            "Condition": {
                "StringNotLike": {
                    "acs:RDManageScope": [
                        "rd-BXXXXs/r-cXXXX6/fd-BrXXXXXXM4/*"
                    ]
                }
            }
        }
    ]
}

Untuk referensi sintaks kebijakan lengkap, lihat Struktur dan sintaks kebijakan.

Klik OK.
Di kotak dialog Create Policy, isi bidang Name dan Description, lalu klik OK.
Klik Grant Permission.
Di halaman Grant Permission, cari dan pilih pengguna RAM, pilih kebijakan kustom yang telah Anda buat, klik Grant permissions, lalu klik Close.

Tambahkan anggota

Login ke Konsol DSC menggunakan delegated administrator account atau pengguna RAM yang telah diotorisasi.
Di panel navigasi kiri, klik Multi-account Management.
Jika ini pertama kali Anda menggunakan fitur ini, klik Enable Multi-account Management. Operasi ini memperbarui status layanan tepercaya DSC menjadi Enabled.
Klik Add Member.
Di kotak dialog Add Member, pilih anggota yang ingin dikelola dan klik OK. Jika anggota yang dipilih berada di luar cakupan kebijakan pengguna RAM, sistem akan menampilkan pesan no permission.

Setelah anggota ditambahkan, delegated administrator account dapat mengakses dan mengelola aset cloud mereka dari Konsol DSC.

Langkah 3: Kelola aset anggota

Setelah menambahkan anggota, gunakan halaman Asset Center untuk mengotorisasi dan mengelola aset di semua akun anggota.

Pengelolaan aset berbasis UID tidak tersedia di semua halaman—misalnya, halaman Overview tidak mendukung fitur ini. Gunakan halaman Asset Center untuk operasi aset anggota.

Login ke Konsol DSC.
Di panel navigasi kiri, klik Asset Center.
Di tab Authorization Management, kelola aset dalam setiap Akun Alibaba Cloud menggunakan UID.

Hapus anggota dari DSC

Menghapus anggota dari DSC akan menghapus permanen semua data anggota tersebut dari Konsol DSC. Sebelum menghapus anggota, cabut otorisasi asetnya untuk menghindari kehilangan catatan akses secara tak terduga.

Peringatan

Tindakan ini tidak dapat dibatalkan. Setelah Anda menghapus anggota, semua data anggota tersebut di Konsol DSC akan dihapus secara otomatis.

Login ke Konsol DSC.
Di panel navigasi kiri, klik Asset Center.
Cabut izin dari aset anggota tersebut. Untuk detailnya, lihat Cabut izin dari aset.
Di panel navigasi kiri, pilih System Settings > Multi-account Management.
Di halaman Multi-account Management, temukan anggota tersebut dan klik Delete di kolom Actions. Jika anggota tersebut berada di luar cakupan kebijakan pengguna RAM, sistem akan menampilkan pesan no permission.
Di kotak dialog konfirmasi, klik Delete.

FAQ

Beberapa akun di organisasi saya telah membeli DSC. Bagaimana cara mengonsolidasikannya di bawah satu akun?

Jika suatu akun telah membeli DSC, akun tersebut tidak dapat dikelola sebagai anggota DSC dari akun lain. Untuk mengonsolidasikan, batalkan langganan DSC untuk setiap akun terlebih dahulu, lalu gunakan delegated administrator account untuk menambahkan akun-akun tersebut sebagai anggota DSC. Untuk detail pembatalan langganan, lihat Kebijakan pengembalian dana.

DSC tidak dapat diaktifkan untuk suatu akun. Apa yang harus saya lakukan?

Jika saat mengakses Konsol DSC muncul pesan bahwa akun saat ini tidak dapat mengaktifkan DSC, artinya management account atau delegated administrator account telah menambahkan akun ini sebagai anggota DSC. Untuk mengatasi hal ini, gunakan salah satu pendekatan berikut:

Gunakan manajemen multi-akun: Login ke Konsol DSC menggunakan management account atau delegated administrator account dan kelola aset akun ini melalui fitur manajemen multi-akun.
Hapus akun dan gunakan DSC secara mandiri: Hubungi management account atau delegated administrator account untuk menghapus akun ini dari halaman Multi-account ManagementMulti-account Management. Setelah dihapus, gunakan akun ini untuk membeli dan mengaktifkan DSC secara mandiri.

Data Security Center:Gunakan fitur manajemen multi-akun