Autorização RAM - ApsaraDB for ClickHouse: Central de Documentação do Alibaba Cloud

O Resource Access Management (RAM) é um serviço fornecido pela Alibaba Cloud para gerenciar identidades de usuários e permissões de acesso a recursos. O uso do RAM ajuda a evitar o compartilhamento das chaves da sua conta da Alibaba Cloud com outros usuários e permite conceder aos usuários o acesso com privilégio mínimo. O RAM usa políticas de permissão para definir autorizações. Este tópico descreve a estrutura geral de uma política RAM e os elementos de instrução de política (Action, Resource e Condition) definidos por ApsaraDB for ClickHouse para políticas de permissão RAM. O código RAM (RamCode) para ApsaraDB for ClickHouse é clickhouse , e a granularidade de autorização suportada é RESOURCE .

Estrutura geral de uma política

As políticas de permissão suportam o formato JSON com a seguinte estrutura geral:

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "<Effect>",
      "Action": "<Action>",
      "Resource": "<Resource>",
      "Condition": {
        "<Condition_operator>": {
          "<Condition_key>": [
            "<Condition_value>"
          ]
        }
      }
    }
  ]
}

A lista a seguir descreve os campos da política:

Version: Especifica o número da versão da política. É fixo em 1.
Statement:
- Effect: Especifica o resultado da autorização. Valores válidos: Allow e Deny.
- Action: Especifica uma ou mais operações que são permitidas ou negadas.
- Resource: Especifica os objetos específicos afetados pelas operações. Você pode usar os Alibaba Cloud Resource Names (ARNs) para descrever recursos específicos.
- Condition: Especifica as condições para que a autorização entre em vigor. Este campo é opcional.
  - Operador de condição: Especifica os operadores condicionais. Diferentes tipos de condições suportam diferentes operadores condicionais.
  - Condition_key: Especifica as chaves de condição.
  - Condition_value: Especifica os valores de condição.

Action

A tabela a seguir lista as ações definidas por ApsaraDB for ClickHouse. As colunas da tabela são descritas a seguir:

Action: As ações podem ser usadas no elemento Action das instruções de política de permissão RAM para conceder permissões para realizar a operação.
API: A API que você pode chamar para realizar a ação.
Nível de acesso: O nível de acesso predefinido concedido para cada API. Valores válidos: create, list, get, update e delete.
Tipo de recurso: O tipo de recurso que suporta autorização para realizar a ação. Indica se a ação suporta permissão em nível de recurso. O recurso especificado deve ser compatível com a ação. Caso contrário, a política será ineficaz.
- Para APIs com permissões em nível de recurso, os tipos de recursos obrigatórios são marcados com um asterisco (*). Especifique o ARN correspondente no elemento Resource da política.
- Para APIs sem permissões em nível de recurso, é exibido como Todos os Recursos. Use um asterisco (*) no elemento Resource da política.
Chave de condição: As chaves de condição definidas pelo serviço. A chave permite controle granular, aplicando-se apenas a ações ou a ações associadas a recursos específicos. Além das chaves de condição específicas do serviço, a Alibaba Cloud fornece um conjunto de chaves de condição comuns aplicáveis a todos os serviços integrados ao RAM. Para mais informações, consulte Chaves de condição comuns.
Ação dependente: As ações dependentes necessárias para executar a ação. Para concluir a ação, o usuário RAM ou a função RAM deve ter permissões para realizar todas as ações dependentes.

Action	API	Nível de acesso	Tipo de recurso	Chave de condição	Ação dependente
clickhouse:DescribeAllDataSources	DescribeAllDataSources	get	All Resource ``	Nenhum	Nenhum
clickhouse:ModifyAccountDescription	ModifyAccountDescription	update	All Resource ``	Nenhum	Nenhum
clickhouse:TagResources	TagResources	update	*DBCluster `acs:clickhouse:{#regionId}:{#accountId}:dbcluster/{#DBClusterId}`	Nenhum	Nenhum
clickhouse:DeleteSLB	DeleteSLB	delete	All Resource ``	Nenhum	Nenhum
clickhouse:TransferVersion	TransferVersion	create	*DBCluster `acs:clickhouse:{#regionId}:{#accountId}:dbcluster/{#DBClusterId}`	Nenhum	Nenhum
clickhouse:DescribeTransferHistory	DescribeTransferHistory	get	*DBCluster `acs:clickhouse:{#regionId}:{#accountId}:dbcluster/{#DBClusterId}`	Nenhum	Nenhum
clickhouse:ListTagResources	ListTagResources	list	*DBCluster `acs:clickhouse:{#regionId}:{#accountId}:dbcluster/{#DBClusterId}`	Nenhum	Nenhum
clickhouse:DescribeSlowLogRecords	DescribeSlowLogRecords	get	*DBCluster `acs:clickhouse:{#regionId}:{#accountId}:dbcluster/{#DBClusterId}`	Nenhum	Nenhum
clickhouse:DescribeProcessList	DescribeProcessList	get	*DBCluster `acs:clickhouse:{#regionId}:{#accountId}:dbcluster/{#DBClusterId}`	Nenhum	Nenhum
clickhouse:CreateAccount	CreateAccount	create	All Resource ``	Nenhum	Nenhum
clickhouse:CreateOSSStorage	CreateOSSStorage	create	*DBCluster `acs:clickhouse:{#regionId}:{#accountId}:dbcluster/{#DBClusterId}`	Nenhum	Nenhum
clickhouse:DescribeAccountAuthority	DescribeAccountAuthority	get	*DBCluster `acs:clickhouse:{#regionId}:{#accountId}:dbcluster/{#DBClusterId}`	Nenhum	Nenhum
clickhouse:CheckMonitorAlert	CheckMonitorAlert	get	*DBCluster `acs:clickhouse:{#regionId}:{#accountId}:dbcluster/{#DBClusterId}`	Nenhum	Nenhum
clickhouse:ReleaseClusterPublicConnection	ReleaseClusterPublicConnection	update	All Resource ``	Nenhum	Nenhum
clickhouse:ModifyDBClusterMaintainTime	ModifyDBClusterMaintainTime	update	All Resource ``	Nenhum	Nenhum
clickhouse:CreateAccountAndAuthority	CreateAccountAndAuthority	create	*DBCluster `acs:clickhouse:{#regionId}:{#accountId}:dbcluster/{#dbclusterId}`	Nenhum	Nenhum
clickhouse:ModifyAccountAuthority	ModifyAccountAuthority	update	*DBCluster `acs:clickhouse:{#regionId}:{#accountId}:dbcluster/{#DBClusterId}`	Nenhum	Nenhum
clickhouse:DescribeAutoRenewAttribute	DescribeAutoRenewAttribute	get	*DBCluster `acs:clickhouse:{#regionId}:{#accountId}:dbcluster/{#DBClusterId}`	Nenhum	Nenhum
clickhouse:ModifyDBClusterDescription	ModifyDBClusterDescription	update	All Resource ``	Nenhum	Nenhum
clickhouse:DescribeBackups	DescribeBackups	get	*DBCluster `acs:clickhouse:{#regionId}:{#accountId}:dbcluster/{#DBClusterId}`	Nenhum	Nenhum
clickhouse:DeleteDBCluster	DeleteDBCluster	delete	All Resource ``	Nenhum	Nenhum
clickhouse:CreateSLB	CreateSLB	create	All Resource ``	Nenhum	Nenhum
clickhouse:CheckScaleOutBalanced	CheckScaleOutBalanced	get	*DBCluster `acs:clickhouse:{#regionId}:{#accountId}:dbcluster/{#DBClusterId}`	Nenhum	Nenhum
clickhouse:ModifyActiveOperationTasks	ModifyActiveOperationTasks	update	All Resource ``	Nenhum	Nenhum
clickhouse:DescribeDBClusterNodeInfos	DescribeDBClusterNodeInfos	get	All Resource ``	Nenhum	Nenhum
clickhouse:CreateServiceLinkedRole	CreateServiceLinkedRole	create	All Resource ``	Nenhum	Nenhum
clickhouse:ResetAccountPassword	ResetAccountPassword	update	All Resource ``	Nenhum	Nenhum
clickhouse:ChangeResourceGroup	ChangeResourceGroup	update	*DBCluster `acs:clickhouse:{#regionId}:{#accountId}:dbcluster/{#DBClusterId}`	Nenhum	Nenhum
clickhouse:DescribeAllDataSource	DescribeAllDataSource	get	All Resource ``	Nenhum	Nenhum
clickhouse:DeleteSyndb	DeleteSyndb	delete	*DBCluster `acs:clickhouse:{#regionId}:{#accountId}:dbcluster/{#DBClusterId}`	Nenhum	Nenhum
clickhouse:DescribeUserEncryptionKeyList	DescribeUserEncryptionKeyList	get	All Resource ``	Nenhum	Nenhum
clickhouse:CancelRestartInstance	CancelRestartInstance	update	*DBCluster `acs:clickhouse:{#regionId}:{#accountId}:dbcluster/{#DBClusterId}`	Nenhum	Nenhum
clickhouse:ModifyBackupPolicy	ModifyBackupPolicy	update	All Resource ``	Nenhum	Nenhum
clickhouse:DescribeActiveOperationTasks	DescribeActiveOperationTasks	get	All Resource ``	Nenhum	Nenhum
clickhouse:DeleteAccount	DeleteAccount	delete	All Resource ``	Nenhum	Nenhum
clickhouse:CheckModifyConfigNeedRestart	CheckModifyConfigNeedRestart	get	All Resource ``	Nenhum	Nenhum
clickhouse:ModifyDBClusterConfig	ModifyDBClusterConfig	update	*DBCluster `acs:clickhouse:{#regionId}:{#accountId}:dbcluster/{#DBClusterId}`	Nenhum	Nenhum
clickhouse:ModifyDBClusterConfigInXML	ModifyDBClusterConfigInXML	update	All Resource ``	Nenhum	Nenhum
clickhouse:ModifyDBCluster	ModifyDBCluster	update	*DBCluster `acs:clickhouse:{#regionId}:{#accountId}:dbcluster/{#DBClusterId}`	Nenhum	Nenhum
clickhouse:DescribeSlowLogTrend	DescribeSlowLogTrend	get	*DBCluster `acs:clickhouse:{#regionId}:{#accountId}:dbcluster/{#DBClusterId}`	Nenhum	Nenhum
clickhouse:DescribeConfigHistory	DescribeConfigHistory	get	All Resource ``	Nenhum	Nenhum
clickhouse:ModifyMinorVersionGreadeType	ModifyMinorVersionGreadeType	update	*DBCluster `acs:clickhouse:{#regionId}:{#accountId}:dbcluster/{#DBClusterId}`	Nenhum	Nenhum
clickhouse:DescribeColumns	DescribeColumns	get	All Resource ``	Nenhum	Nenhum
clickhouse:CreatePortsForClickHouse	CreatePortsForClickHouse	create	All Resource ``	Nenhum	Nenhum
clickhouse:DescribeConfigVersionDifference	DescribeConfigVersionDifference	get	All Resource ``	Nenhum	Nenhum
clickhouse:CreateRDSToClickhouseDb	CreateRDSToClickhouseDb	create	*DBCluster `acs:clickhouse:{#regionId}:{#accountId}:dbcluster/{#DBClusterId}`	Nenhum	Nenhum
clickhouse:DescribeDBConfig	DescribeDBConfig	get	*DBCluster `acs:clickhouse:{#regionId}:{#accountId}:dbcluster/{#DBClusterId}`	Nenhum	Nenhum
clickhouse:RestartInstanceNodeList	RestartInstanceNodeList	update	All Resource ``	Nenhum	Nenhum
clickhouse:ModifyRDSToClickhouseDb	ModifyRDSToClickhouseDb	update	*DBCluster `acs:clickhouse:{#regionId}:{#accountId}:dbcluster/{#DBClusterId}`	Nenhum	Nenhum
clickhouse:CreateSQLAccount	CreateSQLAccount	create	*DBCluster `acs:clickhouse:{#regionId}:{#accountId}:dbcluster/{#DBClusterId}`	Nenhum	Nenhum
clickhouse:AllocateClusterPublicConnection	AllocateClusterPublicConnection	update	All Resource ``	Nenhum	Nenhum
clickhouse:DescribeSynDbTables	DescribeSynDbTables	get	*DBCluster `acs:clickhouse:{#regionId}:{#accountId}:dbcluster/{#DBClusterId}`	Nenhum	Nenhum
clickhouse:DescribeOSSStorage	DescribeOSSStorage	get	*DBCluster `acs:clickhouse:{#regionId}:{#accountId}:dbcluster/{#DBClusterId}`	Nenhum	Nenhum
clickhouse:DescribeActiveOperationMaintainConf	DescribeActiveOperationMaintainConf	get	All Resource ``	Nenhum	Nenhum
clickhouse:DescribeDBClusterAttribute	DescribeDBClusterAttribute	get	All Resource ``	Nenhum	Nenhum
clickhouse:CheckServiceLinkedRole	CheckServiceLinkedRole	get	All Resource ``	Nenhum	Nenhum
clickhouse:DescribeSchemas	DescribeSchemas	get	All Resource ``	Nenhum	Nenhum
clickhouse:CreateDBInstance	CreateDBInstance	create	All Resource ``	clickhouse:EncryptionType	Nenhum
clickhouse:DescribeDBClusterNetInfoItems	DescribeDBClusterNetInfoItems	get	All Resource ``	Nenhum	Nenhum
clickhouse:DescribeDBClusterConfig	DescribeDBClusterConfig	get	*DBCluster `acs:clickhouse:{#regionId}:{#accountId}:dbcluster/{#DBClusterId}`	Nenhum	Nenhum
clickhouse:CreateBackupPolicy	CreateBackupPolicy	create	All Resource ``	Nenhum	Nenhum
clickhouse:CheckClickhouseToRDS	CheckClickhouseToRDS	get	*DBCluster `acs:clickhouse:{#regionId}:{#accountId}:dbcluster/{#DBClusterId}`	Nenhum	Nenhum
clickhouse:RestartInstance	RestartInstance	update	*DBCluster `acs:clickhouse:{#regionId}:{#accountId}:dbcluster/{#DBClusterId}`	Nenhum	Nenhum
clickhouse:KillProcess	KillProcess	update	*DBCluster `acs:clickhouse:{#regionId}:{#accountId}:dbcluster/{#DBClusterId}`	Nenhum	Nenhum
clickhouse:DescribeDBClusterAccessWhiteList	DescribeDBClusterAccessWhiteList	get	All Resource ``	Nenhum	Nenhum
clickhouse:DescribeTables	DescribeTables	get	All Resource ``	Nenhum	Nenhum
clickhouse:DescribeBackupPolicy	DescribeBackupPolicy	get	All Resource ``	Nenhum	Nenhum
clickhouse:UntagResources	UntagResources	update	*DBCluster `acs:clickhouse:{#regionId}:{#accountId}:dbcluster/{#DBClusterId}`	Nenhum	Nenhum
clickhouse:CancelActiveOperationTasks	CancelActiveOperationTasks	none	All Resource ``	Nenhum	Nenhum
clickhouse:ModifyAutoRenewAttribute	ModifyAutoRenewAttribute	update	*DBCluster `acs:clickhouse:{#regionId}:{#accountId}:dbcluster/{#DBClusterId}`	Nenhum	Nenhum
clickhouse:UpgradeMinorVersion	UpgradeMinorVersion	update	*DBCluster `acs:clickhouse:{#regionId}:{#accountId}:dbcluster/{#DBClusterId}`	Nenhum	Nenhum
clickhouse:DescribeSynDbs	DescribeSynDbs	get	*DBCluster `acs:clickhouse:{#regionId}:{#accountId}:dbcluster/{#DBClusterId}`	Nenhum	Nenhum
clickhouse:CreateMonitorDataReport	CreateMonitorDataReport	create	*DBCluster `acs:clickhouse:{#regionId}:{#accountId}:dbcluster/{#DBClusterId}`	Nenhum	Nenhum
clickhouse:ModifyActiveOperationMaintainConf	ModifyActiveOperationMaintainConf	none	All Resource ``	Nenhum	Nenhum
clickhouse:ModifyDBClusterAccessWhiteList	ModifyDBClusterAccessWhiteList	update	All Resource ``	Nenhum	Nenhum
clickhouse:DeleteBackupPolicy	DeleteBackupPolicy	delete	All Resource ``	Nenhum	Nenhum
clickhouse:DescribeDBClusterConfigInXML	DescribeDBClusterConfigInXML	get	All Resource ``	Nenhum	Nenhum
clickhouse:DescribeAccounts	DescribeAccounts	get	All Resource ``	Nenhum	Nenhum
clickhouse:ModifyDBConfig	ModifyDBConfig	update	*DBCluster `acs:clickhouse:{#regionId}:{#accountId}:dbcluster/{#DBClusterId}`	Nenhum	Nenhum
clickhouse:DescribeDBClusterPerformance	DescribeDBClusterPerformance	get	All Resource ``	Nenhum	Nenhum
clickhouse:DescribeDBClusters	DescribeDBClusters	get	All Resource ``	Nenhum	Nenhum

Resource

A tabela a seguir lista os recursos definidos por ApsaraDB for ClickHouse. Especifique-os no elemento Resource das instruções de política RAM para conceder permissões para operações específicas. Eles são identificados de forma exclusiva por ARNs. Formato: acs:{#ramcode}:{#regionId}:{#accountId}:{#resourceType}:

acs: A sigla do serviço da Alibaba Cloud, que indica a nuvem pública da Alibaba Cloud.
{#ramcode}: O código usado no RAM para indicar um serviço da Alibaba Cloud.
{#regionId}: O ID da região. Se o recurso abrange todas as regiões, defina-o como um asterisco (*).
{#accountId}: O ID da conta da Alibaba Cloud. Se o recurso abrange todas as contas da Alibaba Cloud, defina-o como um asterisco (*).
{#resourceType}: O identificador de recurso definido pelo serviço. Suporta uma estrutura hierárquica, semelhante a um caminho de arquivo. Se a instrução abrange recursos globais, defina-o como um asterisco (*).

Tipo de recurso	ARN
DBCluster	acs:clickhouse:{#regionId}:{#accountId}:dbcluster/{#DBClusterId} acs:clickhouse:{#regionId}:{#accountId}:dbcluster/*

Condition

A tabela a seguir lista as chaves de condição em nível de produto definidas por ApsaraDB for ClickHouse. Você também pode usar as Chaves de condição comuns da Alibaba Cloud. Especifique essas chaves no elemento Condition das instruções de política RAM para definir regras de autorização granulares. Na chave de condição, especifique os valores de condição no elemento Condition_value da política.

Cada chave de condição possui um tipo de dado específico, como string, número, booleano ou endereço IP. O tipo de dado determina quais operadores condicionais podem ser usados para comparar os valores da solicitação com os valores da política. Você deve especificar os operadores condicionais compatíveis com o tipo de dado da chave de condição. Operadores incompatíveis tornarão a política inválida. Consulte Operador de condição para combinações válidas.

Chave de condição	Descrição	Tipo de dado
clickhouse:EncryptionType	O tipo de criptografia.	Array

Como criar políticas RAM personalizadas?

Você pode criar políticas personalizadas e concedê-las a usuários RAM, grupos de usuários RAM ou funções RAM. Para instruções, consulte: