Data Management:Alibaba Cloud アカウント間での DMS の使用

Alibaba Cloud アカウント A が、Alibaba Cloud アカウント B のリソースをアカウント A の DMS テナントに登録する場合を想定します。アカウント B の RAM ユーザーは、RAM コンソールで次の手順を実行する必要があります。

1. リソース所有者の Alibaba Cloud アカウント B で、AliyunRAMFullAccess 権限を持つ RAM ユーザー を使用して、RAM コンソールにログインします。

2. ロールページで RAM ロールを作成し、アカウント A の信頼ポリシーを設定します。次のいずれかの方法を使用します。

   方法 1：ビジュアルエディター

   1. [ロールの作成] ページで、[ポリシーエディターに切り替え] をクリックします。

      [信頼されたエンティティの選択] で [Alibaba Cloud アカウント] を選択します。[ポリシーエディターに切り替え] ボタンは、ページ下部のプロンプトの右側にあります。

   2. [ビジュアルエディター] タブで、[プリンシパル] をクラウドサービスに設定し、次のパラメーターを設定します。

      • [その他のアカウント] の下にあるテキストボックスに、アカウント A の UID を入力します。

      • [クラウドサービス] には、[データ管理/DMSEnterprise] を選択します。

   3. [OK] をクリックします。

   方法 2：スクリプトエディター

   1. [ロールの作成] ページで、[ポリシーエディターに切り替える] をクリックします。

   2. [スクリプトエディター] タブで、次のポリシーを入力します。

      この信頼ポリシーにより、指定されたユーザーがクロスアカウントインスタンス登録のためにリソースを管理できるようになります。

      {
        "Statement": [
          {
            "Action": "sts:AssumeRole",
            "Effect": "Allow",
            "Principal": {
              "Service": [
                "<Alibaba Cloud アカウント A の UID>@dms.aliyuncs.com"
              ]
            }
          }
        ],
        "Version": "1"
      }

   3. [OK] をクリックします。

3. [ポリシー] ページで、カスタムポリシーを作成します。 たとえば、ポリシーに DmsCrossAccountPolicy という名前を付けます。

   権限ポリシーでは、次のデータベースタイプとアクセス方法 (VPC) がサポートされています：Tair (Redis OSS-compatible)、PolarDB-X、OceanBase、ApsaraDB for Lindorm、Hologres、GDB、SelectDB、ClickHouse Enterprise Edition。

   説明

   RDS、PolarDB for MySQL、PolarDB for PostgreSQL、PolarDB for PostgreSQL(Compatible with Oracle) の場合は、手順 3 と手順 4 をスキップして手順 5 に進んでください。

   ここをクリックして、各データベースタイプの権限ポリシーを表示します。

   Redis

   {
     "Statement": [
       {
         "Action": [
           "kvstore:DescribeSecurityIps",
           "kvstore:ModifySecurityIps",
           "kvstore:DescribeRegions",
           "kvstore:DescribeInstances",
           "kvstore:DescribeInstanceAttribute",
           "kvstore:DescribeInstanceConfig"
         ],
         "Resource": "*",
         "Effect": "Allow"
       }
     ],
     "Version": "1"
   }

   PolarDB-X 1.0

   {
     "Statement": [
       {
         "Action": [
           "drds:DescribeDrdsInstances",
           "drds:QueryInstanceInfoByConn",
           "drds:DescribeDrdsInstanceList",
           "drds:DescribeDrdsDBIpWhiteList",
           "drds:ModifyDrdsIpWhiteList",
           "drds:DescribeDrdsInstanceVersion"
         ],
         "Resource": "*",
         "Effect": "Allow"
       }
     ],
     "Version": "1"
   }

   PolarDB-X 2.0

   {
     "Statement": [
       {
         "Action": [
           "polardbx:DescribeDBInstances",
           "polardbx:DescribeSecurityIps",
           "polardbx:ModifySecurityIps",
           "polardbx:DescribeDBInstanceAttribute",
           "polardbx:DescribeDBInstanceViaEndpoint"
         ],
         "Resource": "*",
         "Effect": "Allow"
       }
     ],
     "Version": "1"
   }

   OceanBase

   {
     "Statement": [
       {
         "Action": [
           "oceanbase:DescribeAllTenantsConnectionInfo",
           "oceanbase:DescribeInstances"
         ],
         "Resource": "*",
         "Effect": "Allow"
       }
     ],
     "Version": "1"
   }

   ApsaraDB for Lindorm

   {
     "Statement": [
       {
         "Action": [
           "lindorm:GetLindormInstanceList",
           "lindorm:GetLindormInstance",
           "lindorm:GetLindormInstanceListForDMS",
           "lindorm:GetLindormInstanceForDMS",
           "lindorm:GetLindormInstanceForDMSByConnStr",
           "lindorm:GetInstanceIpWhiteList",
           "lindorm:UpdateInstanceIpWhiteList"
         ],
         "Resource": "*",
         "Effect": "Allow"
       }
     ],
     "Version": "1"
   }

   Hologres

   {
     "Statement": [
       {
         "Action": [
           "hologram:GetInstance",
           "hologram:ListInstances"
         ],
         "Resource": "*",
         "Effect": "Allow"
       }
     ],
     "Version": "1"
   }

   GDB

   {
     "Statement": [
       {
         "Action": [
           "gdb:DescribeDbInstances"
         ],
         "Resource": "*",
         "Effect": "Allow"
       }
     ],
     "Version": "1"
   }

   SelectDB

   {
     "Statement": [
       {
         "Action": [
           "selectdb:DescribeDBInstances",
           "selectdb:DescribeDBInstanceAttribute",
           "selectdb:DescribeDBInstanceNetInfo",
           "selectdb:DescribeSecurityIPList",
           "selectdb:ModifySecurityIPList"
         ],
         "Resource": "*",
         "Effect": "Allow"
       }
     ],
     "Version": "1"
   }

   ClickHouse Enterprise Edition

   {
     "Statement": [
       {
         "Action": [
           "clickhouse:DescribeDBClusters",
           "clickhouse:DescribeDBInstances",
           "clickhouse:DescribeDBInstanceAttribute",
           "clickhouse:DescribeEndpoints",
           "clickhouse:DescribeSecurityIPList",
           "clickhouse:ModifySecurityIPList"
         ],
         "Resource": "*",
         "Effect": "Allow"
       }
     ],
     "Version": "1"
   }

   次のポリシー例では、VPC 経由でのデータベース登録が許可されます。

   {
     "Statement": [
       {
         "Action": [
           "vpc:DescribeVpcs"
         ],
         "Resource": "*",
         "Effect": "Allow"
       }
     ],
     "Version": "1"
   }

4. [ロール] ページで、ステップ 2 で作成したロールに DmsCrossAccountPolicy ポリシーをアタッチします。詳細については、「RAM ロールの権限を管理する」をご参照ください。

5. [ロール] ページで、ロール名をクリックし、ロール詳細ページから [ARN] をコピーします。

インスタンスの登録

ユーザー A がデータベースを登録する際に、ロール ARN を入力します。

[データベースの登録] ダイアログボックスの [基本情報] セクションで、[データベースタイプ] を MySQL に設定し、[インスタンスリージョン] を設定します。[クロスアカウント ARN] フィールドに、手順 5 でコピーした ARN を入力します。