Bagaimana cara mengonfigurasi kebijakan RAM untuk pengguna RAM? - ApsaraDB RDS

Gunakan kebijakan Resource Access Management (RAM) untuk mengontrol tindakan yang dapat dilakukan pengguna RAM pada instans ApsaraDB RDS. Halaman ini memandu Anda melalui seluruh alur kerja: buat kebijakan RAM kustom dari templat JSON yang telah disediakan, lalu sambungkan ke pengguna RAM.

Kebijakan dalam bagian referensi di bawah menggunakan "Effect": "Deny" dengan blok Condition untuk menerapkan aturan kepatuhan—misalnya, memblokir pembuatan instans tanpa enkripsi disk atau mencegah pengguna menonaktifkan enkripsi SSL. Penolakan eksplisit (Deny) mengesampingkan izin Allow yang diberikan di tempat lain, sehingga kebijakan ini tetap berlaku meskipun terdapat izin yang lebih luas.

Prasyarat

Sebelum memulai, pastikan Anda telah memiliki:

Pengguna RAM yang ingin Anda beri atau batasi izinnya
Akses ke Konsol RAM

Buat dan sambungkan kebijakan RAM

Masuk ke Konsol RAM.
Di panel navigasi sebelah kiri, pilih Permissions > Policies.
Di halaman Policies, klik Create Policy.
Di tab JSON, tempel dokumen kebijakan lalu klik OK. Temukan JSON kebijakan di bagian Kebijakan RAM untuk ApsaraDB RDS di bawah. Untuk sintaks dan struktur kebijakan, lihat Struktur dan sintaks kebijakan.
Di kotak dialog Create Policy, atur Name dan Description, lalu klik OK. Nama kebijakan harus memenuhi persyaratan berikut:
- 1 hingga 128 karakter
- Hanya huruf, angka, dan tanda hubung (-)
Di panel navigasi sebelah kiri, pilih Permissions > Grants, lalu klik Grant Permission. Konfigurasikan pengaturan berikut:
1. Resource Scope: Pilih Account untuk menerapkan izin ke semua resource dalam Akun Alibaba Cloud Anda, atau ResourceGroup untuk membatasi cakupan hanya pada kelompok sumber daya tertentu.
2. Principal: Masukkan sebagian username RAM untuk mencari dengan pencocokan kabur, lalu pilih pengguna RAM target.
3. Di bagian Policy, pilih Custom Policy dari daftar drop-down.
4. Cari dan pilih kebijakan yang telah Anda buat pada langkah 4, lalu klik OK.
Untuk menggunakan ResourceGroup, ApsaraDB RDS harus mendukung kelompok sumber daya. Lihat Layanan yang kompatibel dengan Resource Group.

Masukkan sebagian nama kebijakan di kotak pencarian untuk menemukannya melalui pencocokan kabur.

Kebijakan RAM untuk ApsaraDB RDS

Setiap kebijakan menggunakan "Effect": "Deny" dengan Condition untuk memblokir aksi tertentu yang tidak sesuai kebijakan. Terapkan kebijakan yang sesuai dengan kebutuhan keamanan Anda.

Item	Kebijakan	Deskripsi
Pembuatan instans	`CreateRdsWithNonDiskEncryptionForbidden`	Mencegah pengguna membuat instans RDS tanpa enkripsi disk. Berlaku hanya untuk instans utama—tidak berlaku untuk instansi hanya baca atau instans yang dibuat dari pemulihan data.
Pembuatan instans	`CreateRdsWithNonVPCNetworkTypeForbidden`	Mencegah pengguna membuat instans RDS dengan jenis jaringan selain Virtual Private Cloud (VPC). Berlaku hanya untuk instans utama—tidak berlaku untuk instansi hanya baca atau instans yang dibuat dari pemulihan data.
Konfigurasi jaringan	`DatabaseConnectionNonVPCNetworkTypeForbidden`	Mencegah pengguna mengubah jenis jaringan instans RDS ke jaringan klasik.
Konfigurasi keamanan	`DataSecuritySSLDisabledForbidden`	Mencegah pengguna menonaktifkan enkripsi SSL pada instans RDS.
Konfigurasi keamanan	`DataSecurityTDEDisabledForbidden`	Mencegah pengguna menonaktifkan Enkripsi Data Transparan (TDE) pada instans RDS.
Konfigurasi proksi database	`DatabaseProxyWithNonVPCNetworkTypeForbidden`	Mencegah pengguna menentukan titik akhir publik saat mengaktifkan fitur proksi database untuk instans RDS.
	`DatabaseProxyCreateEndpointAddressWithNonVPCNetworkTypeForbidden`	Mencegah pengguna menentukan titik akhir publik saat membuat titik akhir untuk menghubungkan ke proksi database instans RDS.
	`DatabaseProxyModifyEndpointAddressWithNonVPCNetworkTypeForbidden`	Mencegah pengguna menentukan titik akhir publik saat memodifikasi titik akhir yang digunakan untuk menghubungkan ke proksi database instans RDS.
	`DatabaseProxyDbProxyInstanceSslDisabledForbidden`	Mencegah pengguna menonaktifkan enkripsi SSL untuk titik akhir tertentu dari proksi database instans RDS.
Konfigurasi terkait cadangan	`BackupAndRestorationCrossBackupDisabledForbidden`	Mencegah pengguna menonaktifkan fitur cadangan lintas wilayah untuk instans RDS.
Konfigurasi terkait cadangan	`BackupAndRestorationBackupPolicyDisabledForbidden`	Mencegah pengguna menonaktifkan fitur cadangan log untuk instans RDS.
Riwayat Peristiwa	`EventCenterActionEventEnableEventLogForbidden`	Mencegah pengguna mengaktifkan fitur riwayat event untuk instans RDS.

Kode kebijakan

CreateRdsWithNonDiskEncryptionForbidden

Memblokir pembuatan instans jika enkripsi disk tidak diaktifkan (rds:DiskEncryptionRequired: false).

{
  "Statement": [
    {
      "Action": [
        "rds:CreateDBInstance",
        "rds:PreCheckCreateOrder",
        "rds:CreateOrder"
      ],
      "Effect": "Deny",
      "Resource": "*",
      "Condition": {
        "Bool": {
          "rds:DiskEncryptionRequired": "false"
        }
      }
    }
  ],
  "Version": "1"
}

CreateRdsWithNonVPCNetworkTypeForbidden

Memblokir pembuatan instans jika jenis jaringan bukan VPC (rds:InstanceNetworkType bukan VPC).

{
  "Statement": [
    {
      "Action": [
        "rds:CreateDBInstance",
        "rds:PreCheckCreateOrder",
        "rds:CreateOrder"
      ],
      "Effect": "Deny",
      "Resource": "*",
      "Condition": {
        "StringNotEquals": {
          "rds:InstanceNetworkType": "VPC"
        }
      }
    }
  ],
  "Version": "1"
}

DatabaseConnectionNonVPCNetworkTypeForbidden

Memblokir perubahan jenis jaringan instans ke jaringan klasik (rds:InstanceNetworkType bukan VPC).

{
  "Statement": [
    {
      "Action": "rds:ModifyDBInstanceNetworkType",
      "Effect": "Deny",
      "Resource": "*",
      "Condition": {
        "StringNotEquals": {
          "rds:InstanceNetworkType": "VPC"
        }
      }
    }
  ],
  "Version": "1"
}

DataSecuritySSLDisabledForbidden

Memblokir penonaktifan enkripsi SSL pada instans (rds:SSLEnabled: 0).

{
  "Statement": [
    {
      "Action": "rds:ModifyDBInstanceSSL",
      "Effect": "Deny",
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "rds:SSLEnabled": "0"
        }
      }
    }
  ],
  "Version": "1"
}

DataSecurityTDEDisabledForbidden

Memblokir penonaktifan TDE pada instans (rds:TDEStatus bukan Enabled).

{
  "Statement": [
    {
      "Action": "rds:ModifyDBInstanceTDE",
      "Effect": "Deny",
      "Resource": "*",
      "Condition": {
        "StringNotEquals": {
          "rds:TDEStatus": "Enabled"
        }
      }
    }
  ],
  "Version": "1"
}

DatabaseProxyWithNonVPCNetworkTypeForbidden

Memblokir pengaktifan fitur proksi database dengan jenis jaringan non-VPC (rds:InstanceNetworkType bukan VPC).

{
  "Statement": [
    {
      "Action": "rds:ModifyDBProxy",
      "Effect": "Deny",
      "Resource": "*",
      "Condition": {
        "StringNotEquals": {
          "rds:InstanceNetworkType": "VPC"
        }
      }
    }
  ],
  "Version": "1"
}

DatabaseProxyCreateEndpointAddressWithNonVPCNetworkTypeForbidden

Memblokir pembuatan titik akhir proksi database dengan jenis jaringan non-VPC (rds:InstanceNetworkType bukan VPC).

{
  "Statement": [
    {
      "Action": "rds:ModifyDBProxy",
      "Effect": "Deny",
      "Resource": "*",
      "Condition": {
        "StringNotEquals": {
          "rds:InstanceNetworkType": "VPC"
        }
      }
    }
  ],
  "Version": "1"
}

DatabaseProxyModifyEndpointAddressWithNonVPCNetworkTypeForbidden

Memblokir modifikasi titik akhir proksi database agar menggunakan string koneksi non-VPC (rds:DBProxyConnectStringNetType bukan VPC).

{
  "Statement": [
    {
      "Action": "rds:ModifyDBProxyEndpointAddress",
      "Effect": "Deny",
      "Resource": "*",
      "Condition": {
        "StringNotEquals": {
          "rds:DBProxyConnectStringNetType": "VPC"
        }
      }
    }
  ],
  "Version": "1"
}

DatabaseProxyDbProxyInstanceSslDisabledForbidden

Memblokir penonaktifan enkripsi SSL pada titik akhir proksi database (rds:DbProxySslEnabled: 0).

{
  "Statement": [
    {
      "Action": "rds:ModifyDbProxyInstanceSsl",
      "Effect": "Deny",
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "rds:DbProxySslEnabled": "0"
        }
      }
    }
  ],
  "Version": "1"
}

BackupAndRestorationCrossBackupDisabledForbidden

Memblokir penonaktifan fitur cadangan lintas wilayah. Kebijakan ini berisi dua pernyataan: satu memeriksa bahwa rds:BackupEnabled bernilai 1, yang lain memeriksa bahwa rds:LogBackupEnabled bernilai 1.

{
  "Statement": [
    {
      "Action": "rds:ModifyInstanceCrossBackupPolicy",
      "Effect": "Deny",
      "Resource": "*",
      "Condition": {
        "StringNotEquals": {
          "rds:BackupEnabled": "1"
        }
      }
    },
    {
      "Action": "rds:ModifyInstanceCrossBackupPolicy",
      "Effect": "Deny",
      "Resource": "*",
      "Condition": {
        "StringNotEquals": {
          "rds:LogBackupEnabled": "1"
        }
      }
    }
  ],
  "Version": "1"
}

BackupAndRestorationBackupPolicyDisabledForbidden

Memblokir penonaktifan fitur cadangan log. Kebijakan ini berisi dua pernyataan: satu menolak jika rds:EnableBackupLog bernilai 0, yang lain menolak jika rds:BackupLog bernilai Disabled.

{
  "Statement": [
    {
      "Action": "rds:ModifyBackupPolicy",
      "Effect": "Deny",
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "rds:EnableBackupLog": "0"
        }
      }
    },
    {
      "Action": "rds:ModifyBackupPolicy",
      "Effect": "Deny",
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "rds:BackupLog": "Disabled"
        }
      }
    }
  ],
  "Version": "1"
}

EventCenterActionEventEnableEventLogForbidden

Memblokir pengaktifan fitur riwayat event (rds:EnableEventLog bukan False).

{
  "Statement": [
    {
      "Action": "rds:ModifyActionEventPolicy",
      "Effect": "Deny",
      "Resource": "*",
      "Condition": {
        "StringNotEquals": {
          "rds:EnableEventLog": "False"
        }
      }
    }
  ],
  "Version": "1"
}

Langkah berikutnya

Ikhtisar kebijakan — Pelajari cara kerja kebijakan RAM, termasuk urutan evaluasi kebijakan dan aturan Deny-mengesampingkan-Allow.
Struktur dan sintaks kebijakan — Pahami struktur JSON kebijakan RAM agar Anda dapat menulis kondisi kustom.