DMS は、データベースインスタンス、データベース、テーブル、列、行に対してきめ細かい権限管理を提供します。リソースごとにログイン、クエリ、エクスポート、変更の権限を付与できます。
権限のカテゴリと種類
|
権限カテゴリ |
権限タイプ |
説明 |
セキュリティホスティングの要否 |
|
操作権限 (通常の権限) |
データベースインスタンスの権限 |
データベースインスタンスへのログイン権限。セキュリティホスティングが無効な場合にのみ利用可能です。ログイン権限を取得すると、データベースのアカウントとパスワードでインスタンスにアクセスできます。 説明
データベースの認証情報は、組織内の関連する所有者によって管理されます。 |
不要 |
|
データベースインスタンスのパフォーマンスを表示する権限。データベースパフォーマンス。 |
必要 |
||
|
アクセス制御された機密列および行のデータを除き、インスタンスデータをクエリ、エクスポート、変更する権限。 |
|||
|
データベースの権限 |
アクセス制御された機密列および行のデータを除き、データベースデータをクエリ、エクスポート、変更する権限。 |
||
|
テーブルの権限 |
アクセス制御された機密列および行のデータを除き、テーブルデータをクエリ、エクスポート、変更する権限。 |
||
|
機密列の権限 |
機密列のデータをクエリ、エクスポート、変更する権限。 説明
機密列の権限を申請する前に：
|
||
|
行の権限 |
行データをクエリ、エクスポート、変更する権限。詳細については、「行レベルの制御」をご参照ください。 説明
行の権限を申請する前に、その行を含むデータベースとテーブルに対する権限が必要です。 |
||
|
プログラマブルオブジェクトの権限 |
プログラマブルオブジェクトのデータをクエリ、エクスポート、変更する権限。セキュリティホスティングが有効な場合、プログラマブルオブジェクトにアクセスする前にこれらの権限を取得する必要があります。詳細については、「プログラマブルオブジェクト」をご参照ください。 |
||
|
データ権限 (リソース所有者権限) |
インスタンス所有者 |
リソース (インスタンス、データベース、またはテーブル) に対する所有者権限。所有者は、リソース権限の表示、付与、取り消し、およびリソースデータのクエリが可能です。ただし、アクセス制御された機密列および行のデータは除きます。 説明
セキュリティホスティングが無効な場合、DMS 管理者と DBA のみがインスタンス所有者を管理できます。DMS コンソールで、左側の [Database Instances] セクションでデータベースインスタンスを右クリックし、 を選択します。 |
必要 |
|
データベース所有者 |
|||
|
テーブル所有者 |
|||
|
メタデータアクセス制御 |
メタデータアクセス制御 |
説明
インスタンスまたはデータベースに対するデータ権限または操作権限のいずれかを持っている場合、そのリソースに対する権限を持っていると見なされます。 |
必要 |
権限：
-
クエリ：SQL コンソールで SQL クエリを実行する権限。
-
変更：SQL コンソールで変更ステートメントを実行し、データ変更およびデータベースとテーブルの同期チケットを送信する権限。
-
エクスポート：データエクスポートチケットを送信する権限。
説明SQL コンソールから SQL 結果セットをエクスポートする場合には不要です。
権限検証
Alibaba Cloud アカウントまたは RAM ユーザーとして DMS でデータベースの操作を実行すると、DMS は権限を検証します。DMS は、まずきめ細かい権限をチェックし、次に RAM ユーザーの権限をチェックします。
許可されていないユーザーがインスタンスやデータベースを検索できないようにするには、データベースインスタンスのアクセス制御を有効にします。これにより、許可されたユーザーのみがこれらのリソースを検索できるようになります。詳細については、「メタデータアクセス制御を有効にする」をご参照ください。
-
RAM 権限検証を無効にする。
を選択し、[RAM 権限検証] をオフにします。これにより、RAM ユーザーは既存の RAM 権限を使用して DMS のインスタンスを操作できなくなります。
-
データベースインスタンスのアクセス制御を有効にする。
説明アクセス制御は、セキュアコラボレーションモードで管理されているインスタンスでのみ利用可能です。
を選択します。「インスタンスリスト」タブで、対象のインスタンスを探し、「操作」列でを選択して、アクセス制御を有効にします。
次のステップ
以下の操作を実行できます：
-
ロールごとにリソース権限を管理する。詳細については、「権限の管理」をご参照ください。
-
付与された操作権限とデータ権限を表示する。詳細については、「権限の管理」をご参照ください。
-
さまざまなシナリオに合わせて権限承認プロセスを設定する：
-
本番データおよびコアビジネスデータベースには厳格な承認を使用する。
-
非コアビジネスおよびテストデータには、簡易的な承認または承認不要のアクセスを使用する。
詳細については、「承認プロセスの設定」をご参照ください。
-
-
アカウント管理機能を使用して、他のデータベースアカウントの権限を管理する。詳細については、「アカウントの権限管理」をご参照ください。
説明アカウント管理は、MySQL、PostgreSQL、MongoDB でのみ利用可能です。他のエンジンについては、対応するコンソールでデータベースアカウントを管理してください。
よくある質問
-
Q：DMS でインスタンスのログイン権限を付与された後でも、クエリ実行時に "permission denied" エラーが表示されるのはなぜですか？
A：非セキュアホスティングモードでは、ユーザーはログオン権限のみで操作を実行できます。セキュアホスティングモードに切り替えた後、ユーザーは特定の権限 (クエリ、エクスポート、変更) を申請する必要があります。ユーザー権限は、「アクセス制御権限の管理」ページで管理します。