ApsaraDB for MongoDB：Kontrol sumber daya bergranular halus berdasarkan grup sumber daya

Istilah

Prosedur untuk otorisasi tingkat grup sumber daya

Contoh berikut menjelaskan cara memberikan izin kepada pengguna RAM untuk mengelola sumber daya ApsaraDB for MongoDB dalam grup sumber daya tertentu.

1. Masuk ke Konsol RAM dan buat pengguna RAM.

   Untuk informasi lebih lanjut, lihat Buat Pengguna RAM.

2. Masuk ke Konsol Manajemen Sumber Daya dan buka halaman Grup Sumber Daya untuk membuat grup sumber daya.

   Untuk informasi lebih lanjut, lihat Buat Grup Sumber Daya.

3. Klasifikasikan sumber daya ke dalam grup sumber daya.

   • Jika Anda ingin membuat sumber daya baru, tentukan grup sumber daya tempat sumber daya tersebut akan dimasukkan.

   • Jika Anda ingin menggunakan sumber daya yang sudah ada, transfer sumber daya tersebut ke grup sumber daya yang sesuai. Untuk informasi lebih lanjut, lihat Lakukan Transfer Sumber Daya Manual Lintas Grup Sumber Daya.

4. Masuk ke Konsol RAM dan buat kebijakan kustom.

   Catatan

   Jika Anda ingin melampirkan kebijakan sistem ke pengguna RAM, lewati langkah ini. Dalam lingkungan bisnis sebenarnya, kami sarankan Anda hanya memberikan izin yang diperlukan kepada pengguna RAM berdasarkan prinsip hak istimewa minimal. Hal ini mencegah risiko keamanan yang disebabkan oleh izin pengguna yang berlebihan.

   Kebijakan kustom yang dibuat harus mencakup izin operasi yang diperlukan oleh pengguna RAM. Untuk informasi lebih lanjut, lihat Buat Kebijakan Kustom.

   Contoh kebijakan kustom:

   {
     "Version": "1",
     "Statement": [
       {
         "Effect": "Allow",
         "Action": "dds:DescribeDBInstanceAttribute",
         "Resource": "*"
       }
     ]
   }

5. Lampirkan kebijakan kustom dengan ruang lingkup efektif grup sumber daya ke pengguna RAM.

   Anda dapat memberikan izin kepada pengguna RAM dengan salah satu dari metode berikut:

   • Masuk ke Konsol Manajemen Sumber Daya dan pilih grup sumber daya pada halaman Grup Sumber Daya. Untuk informasi lebih lanjut, lihat Tambahkan Otorisasi RAM.

     

   • Masuk ke Konsol RAM, lalu atur parameter Resource Scope ke ResourceGroup di panel Pemberian Izin. Untuk informasi lebih lanjut, lihat Berikan Izin kepada Pengguna RAM.

     

Tipe sumber daya yang mendukung grup sumber daya

Tabel berikut mencantumkan tipe sumber daya yang mendukung grup sumber daya dalam ApsaraDB for MongoDB.

Tindakan yang tidak mendukung otorisasi tingkat grup sumber daya

Tabel berikut mencantumkan tindakan yang tidak mendukung otorisasi tingkat grup sumber daya dalam ApsaraDB for MongoDB dan API yang sesuai dengan tindakan tersebut.

Untuk informasi lebih lanjut tentang otorisasi RAM untuk ApsaraDB for MongoDB, lihat Otorisasi RAM.

Untuk tipe sumber daya yang tidak mendukung grup sumber daya, izin yang diberikan ke grup sumber daya tidak akan berlaku. Anda harus membuat kebijakan kustom dan mengatur parameter Ruang Lingkup Sumber Daya ke Account di Konsol RAM.

Contoh kode berikut menunjukkan dua kebijakan kustom. Anda dapat menyesuaikan isi kebijakan sesuai kebutuhan.

• Kebijakan kustom berikut mengizinkan operasi baca-saja yang tidak mendukung otorisasi tingkat grup sumber daya. Dalam kebijakan kustom, bidang Action berisi semua operasi baca-saja yang tidak mendukung otorisasi tingkat grup sumber daya.

  {
    "Version": "1",
    "Statement": [
      {
        "Effect": "Allow",
        "Action": [
          "dds:DescribeGlobalSecurityIPGroup",
          "dds:DescribePrice",        
          "dds:CheckServiceLinkedRole",
          "dds:DescribeKmsKeys",
          "dds:DescribeActiveOperationMaintenanceConfig"
        ],
        "Resource": "*"
      }
    ]
  }

• Kebijakan kustom berikut mengizinkan semua operasi yang tidak mendukung otorisasi tingkat grup sumber daya. Dalam kebijakan kustom, bidang Action berisi semua operasi yang tidak mendukung otorisasi tingkat grup sumber daya.

  {
    "Version": "1",
    "Statement": [
      {
        "Effect": "Allow",
        "Action": [
          "dds:DescribeGlobalSecurityIPGroup",
          "dds:DescribePrice",        
          "dds:CheckServiceLinkedRole",
          "dds:DescribeKmsKeys",
          "dds:DescribeActiveOperationMaintenanceConfig",
          "dds:CreateGlobalSecurityIPGroup",
          "dds:ModifyGlobalSecurityIPGroup",
          "dds:ModifyGlobalSecurityIPGroupName",
          "dds:DeleteGlobalSecurityIPGroup",
          "dds:ModifyActiveOperationMaintenanceConfig"
        ],
        "Resource": "*"
      }
    ]
  }