Hologres:Mode otorisasi peran RAM untuk Hologres

Informasi latar belakang

Alibaba Cloud memungkinkan pengguna perusahaan mengelola dan menggunakan sumber daya cloud dengan masuk ke Konsol Manajemen Alibaba Cloud menggunakan akun dan kata sandi. Seiring meningkatnya persyaratan keamanan dan kepatuhan perusahaan, banyak organisasi lebih memilih menggunakan Single Sign-On (SSO) berbasis peran untuk mengakses Alibaba Cloud. Untuk informasi selengkapnya, lihat Ikhtisar SSO peran berbasis SAML.

Skenario

Metode akses yang didukung untuk Hologres

Di Hologres, peran RAM dan Akun Alibaba Cloud (termasuk akun root dan Pengguna RAM) diperlakukan setara. Peran RAM merupakan akun login standar. Superuser harus memberikan izin—seperti SELECT, INSERT, dan UPDATE—langsung kepada peran RAM, bukan kepada akun dasarnya. Pengguna yang mengasumsikan peran RAM tersebut kemudian dapat mengakses Hologres dengan izin yang telah diberikan.

SSO berbasis peran (STS)

Akses Hologres melalui SSO berbasis peran menggunakan Alibaba Cloud Security Token Service (STS). STS adalah layanan cloud yang menyediakan manajemen akses sementara untuk Akun Alibaba Cloud atau Pengguna RAM. Anda dapat menggunakan STS untuk menerbitkan kredensial akses dengan periode validitas dan izin khusus kepada pengguna Anda, seperti pengguna yang dikelola oleh sistem akun lokal Anda. Pengguna dapat menggunakan kredensial keamanan sementara dari STS untuk langsung terhubung ke Hologres dan mengakses sumber daya yang diizinkan.

Langkah 1: Buat peran RAM

Asumsi peran untuk Pengguna RAM

Jika Anda memerlukan Pengguna RAM untuk mengasumsikan peran RAM dengan beralih identitas di Konsol Manajemen Alibaba Cloud, masuk ke Konsol Resource Access Management (RAM) untuk membuat peran RAM. Pilih Alibaba Cloud Account sebagai entitas tepercaya.

1. Buat peran RAM dengan tipe entitas tepercaya Alibaba Cloud account.

   1. Masuk ke Konsol Resource Access Management (RAM). Di panel navigasi kiri, pilih Identities > Roles.

   2. Di halaman Create Role, klik Create Role. Untuk Alibaba Cloud Account, pilih Alibaba Cloud Account. Lalu, pilih Current Alibaba Cloud account. Klik OK.

   3. Di panel Create Role, masukkan RAM Role Name dan klik OK.

2. Buat dan sambungkan kebijakan izin.

   1. Di halaman Roles, klik nama peran target untuk membuka halaman detail peran.

   2. Klik tab Trust Policy. Lalu, klik Edit Trust Policy dan ganti konten kebijakan dengan kode berikut.

      • Deskripsi parameter

        Saat mengonfigurasi kebijakan, ganti <account_id> dalam acs:ram::<account_id>:root dengan ID Akun Alibaba Cloud Anda. Anda dapat menemukan ID akun di halaman User Information.

      • Konten kebijakan

        {
            "Statement": [
                {
                    "Action": "sts:AssumeRole",
                    "Effect": "Allow",
                    "Principal": {
                        "RAM": [
                            "acs:ram::<account_id>:root"
                        ]
                    }
                },
                {
                    "Action": "sts:AssumeRole",
                    "Effect": "Allow",
                    "Principal": {
                        "Service": [
                            "dataworks.aliyuncs.com"
                        ]
                    }
                }
            ],
            "Version": "1"
        }

   3. Klik OK untuk menyelesaikan konfigurasi kebijakan.

3. Buat Pengguna RAM dan berikan izin untuk mengasumsikan peran.

   Untuk memungkinkan Pengguna RAM mengasumsikan peran RAM, Anda harus memberikan izin yang diperlukan kepada pengguna tersebut.

   1. Masuk ke Konsol Resource Access Management (RAM). Di panel navigasi kiri, pilih Identities > User.

   2. (Opsional) Jika Anda sudah memiliki Pengguna RAM, Anda dapat melewati langkah ini. Klik Create User untuk membuat satu atau beberapa Pengguna RAM sekaligus. Untuk informasi selengkapnya, lihat Buat Pengguna RAM.

   3. Temukan Pengguna RAM target dan klik Add Permissions di kolom Actions.

   4. Di halaman Add Permissions, sambungkan kebijakan AliyunSTSAssumeRoleAccess ke Pengguna RAM. Kebijakan ini memberikan izin kepada pengguna untuk memanggil operasi API AssumeRole dari STS.

   5. Klik OK.

Asumsi peran untuk pengguna IdP

Jika Anda perlu masuk ke Alibaba Cloud sebagai pengguna IdP on-premises dan mengasumsikan peran RAM, masuk ke Konsol Resource Access Management (RAM) untuk membuat peran RAM. Pilih Identity Provider sebagai entitas tepercaya.

1. Buat peran RAM dengan tipe entitas tepercaya Identity Provider.

   1. Masuk ke Konsol Resource Access Management (RAM). Di panel navigasi kiri, pilih Identities > Role.

   2. Di halaman Role, klik Create Role. Untuk Identity Provider, pilih Identity Provider.

   3. Klik OK dan konfigurasikan Role Name dan Remarks.

   4. Pilih IdP Type dan Select IdP. Setelah meninjau kondisinya, klik Complete. Muncul pesan yang menunjukkan bahwa peran telah dibuat.

2. Buat dan sambungkan kebijakan izin.

   1. Di halaman Roles, klik nama peran target untuk membuka halaman detail peran.

   2. Klik tab Trust Policy. Lalu, klik Edit Trust Policy dan ganti konten kebijakan dengan kode berikut.

      • Deskripsi parameter

        Saat mengonfigurasi kebijakan, Anda perlu mengganti ID akun root dalam skrip acs:ram::Root-Account-ID:saml-provider/IDP dengan ID akun Anda. Buka halaman User Information untuk mendapatkan ID akun.

      • Konten kebijakan

        {
            "Statement": [
                {
                    "Action": "sts:AssumeRole",
                    "Condition": {
                        "StringEquals": {
                            "saml:recipient": "https://signin.aliyun.com/saml-role/sso"
                        }
                    },
                    "Effect": "Allow",
                    "Principal": {
                        "Federated": [
                            "acs:ram::<account_id>:saml-provider/<idp_name>"
                        ]
                    }
                },
                {
                    "Action": "sts:AssumeRole",
                    "Effect": "Allow",
                    "Principal": {
                        "Service": [
                            "dataworks.aliyuncs.com"
                        ]
                    }
                }
            ],
            "Version": "1"
        }

   3. Klik OK untuk menyelesaikan konfigurasi kebijakan.

Langkah 2: Tambahkan dan otorisasi peran RAM

Peran RAM harus memiliki izin pengembangan pada instans Hologres untuk menggunakan Hologres. Secara default, peran RAM tidak memiliki izin untuk melihat atau mengelola instans di konsol Hologres. Akun root harus memberikan izin RAM yang diperlukan sebelum Anda dapat melanjutkan. Untuk informasi selengkapnya, lihat Berikan izin kepada Pengguna RAM. Anda dapat menggunakan salah satu metode berikut untuk menambahkan peran RAM ke instans Hologres dan memberikan izin.

1. Otorisasi peran di konsol manajemen Hologres.

   1. Di panel navigasi kiri, klik Instances. Klik instans yang ingin Anda otorisasi. Di tab User Management, temukan peran RAM dan tambahkan sebagai pengguna ke instans tersebut.

   2. Di tab DB-level Authorization, berikan izin pengembangan yang diperlukan kepada Pengguna RAM.

2. Otorisasi peran menggunakan SQL.

   Anda dapat memberikan izin menggunakan pernyataan SQL. Untuk informasi selengkapnya, lihat Ikhtisar manajemen izin.

3. Jika Pengguna RAM mengasumsikan peran RAM, peran tersebut tidak memiliki izin di Konsol Manajemen Hologres secara default. Akun root harus memberikan izin AliyunRAMReadOnlyAccess kepada Pengguna RAM melalui Konsol Resource Access Management (RAM). Jika tidak, peran RAM tidak dapat melakukan operasi apa pun di Konsol Hologres. Untuk informasi selengkapnya, lihat Berikan izin kepada Pengguna RAM.

Langkah 3: Login dan gunakan Hologres