ApsaraDB for MongoDB：Cara memberikan izin kepada pengguna RAM untuk ApsaraDB for MongoDB

Berikan izin kepada pengguna RAM

1. Masuk ke RAM console sebagai administrator RAM.

2. Di panel navigasi sebelah kiri, pilih Identities > Users.

3. Pada halaman Users, temukan pengguna RAM target dan klik Add Permissions di kolom Actions.Tip: Untuk memberikan izin kepada beberapa pengguna RAM sekaligus, pilih pengguna RAM tersebut lalu klik Add Permissions di bagian bawah halaman.

4. Pada panel Grant Permission, konfigurasikan parameter berikut:

   Penting

   Jika Anda memilih Resource Group untuk Resource Scope, pastikan ApsaraDB for MongoDB mendukung kelompok sumber daya. Untuk informasi selengkapnya, lihat Services that work with Resource Group. Untuk informasi lebih lanjut tentang cara memberikan izin pada kelompok sumber daya, lihat Use a resource group to grant a RAM user the permissions to manage a specific ECS instance.

   Catatan Sistem secara otomatis mengidentifikasi kebijakan sistem berisiko tinggi seperti AdministratorAccess dan AliyunRAMFullAccess. Hindari menyambungkan kebijakan berisiko tinggi kecuali benar-benar diperlukan.

   Parameter	Deskripsi
   Resource Scope	Account: Kebijakan berlaku pada akun Alibaba Cloud saat ini. Resource Group: Kebijakan berlaku pada kelompok sumber daya tertentu.
   Principal	Pengguna RAM yang akan diberikan izin. Pengguna RAM saat ini dipilih secara default.
   Policy	Kebijakan yang akan disambungkan. Pilih satu atau beberapa kebijakan sistem atau kebijakan kustom.

5. Klik Grant permissions.

6. Klik Close.

Kebijakan sistem

ApsaraDB for MongoDB menyediakan dua kebijakan sistem:

Gunakan AliyunMongoDBFullAccess untuk administrator yang mengelola instans. Gunakan AliyunMongoDBReadOnlyAccess untuk pengguna yang hanya perlu melihat informasi instans, data pemantauan, atau status backup.

Kebijakan kustom

Kebijakan kustom menyediakan kontrol akses detail halus atas operasi API dan instans tertentu. Untuk referensi sintaks lengkap, lihat Struktur dan sintaks kebijakan.

acs:dds:$regionid:$accountid:dbinstance/$dbinstanceid

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "dds:DescribeDBInstances",
        "dds:DescribeDBInstanceAttribute",
        "dds:DescribeDBInstancePerformance",
        "dds:DescribeReplicaSetRole",
        "dds:DescribeSecurityIps",
        "dds:DescribeAccounts",
        "dds:DescribeBackupPolicy"
      ],
      "Resource": "acs:dds:cn-hangzhou:1234567890:dbinstance/dds-bp1234567890"
    }
  ]
}

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "dds:DescribeBackupPolicy",
        "dds:ModifyBackupPolicy",
        "dds:CreateBackup",
        "dds:RestoreDBInstance",
        "dds:DescribeDBInstances"
      ],
      "Resource": "acs:dds:*:*:dbinstance/*"
    }
  ]
}

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "dds:*",
      "Resource": "acs:dds:cn-hangzhou:*:dbinstance/*"
    }
  ]
}

Konsep inti

Praktik terbaik

• Mulai dengan kebijakan sistem. Gunakan AliyunMongoDBFullAccess atau AliyunMongoDBReadOnlyAccess untuk sebagian besar skenario. Buat kebijakan kustom hanya jika diperlukan kontrol yang lebih rinci.

• Terapkan akses hak istimewa minimal. Berikan hanya izin minimum yang dibutuhkan pengguna RAM. Misalnya, pengguna pemantauan hanya memerlukan operasi Describe*, bukan operasi Modify* atau Delete*.

• Batasi resource berdasarkan instans. Gunakan format deskripsi resource untuk membatasi izin hanya pada instans tertentu, bukan memberikan akses ke semua instans dengan wildcard (*).

• Pisahkan tugas. Tetapkan kebijakan kustom berbeda kepada pengguna RAM berbeda sesuai perannya. Misalnya, pisahkan operator backup dari administrator instans.

• Tinjau izin secara berkala. Audit izin pengguna RAM secara berkala dan cabut izin yang tidak lagi diperlukan.

• Hindari kebijakan berisiko tinggi. Jangan sambungkan AdministratorAccess atau AliyunRAMFullAccess kecuali pengguna RAM memerlukan akses luas ke seluruh layanan Alibaba Cloud.

Referensi

• Buat pengguna RAM

• Buat kebijakan kustom

• Struktur dan sintaks kebijakan

• Services that work with RAM

• Services that work with Resource Group