How to separate backup and recovery permissions - Cloud Backup: Central de Documentação do Alibaba Cloud

O Cloud Backup permite separar as permissões de backup e recuperação. Isso aumenta a segurança dos seus backups e ajuda a atender requisitos de conformidade, evitando operações acidentais ou acessos não autorizados. Este tópico descreve como configurar permissões separadas para backup e recuperação.

Informações gerais

Para evitar operações não autorizadas ou acidentais, conceda permissões RAM a um usuário RAM específico, limitando as operações no cofre de backup apenas a backup e recuperação.

Separar permissões de backup e recuperação

Obtenha as políticas de acesso que negam operações de backup e recuperação.

Acesse o cloud console
No painel de navegação à esquerda, clique em Storage Vaults.
Localize o cofre de backup desejado. Na coluna Actions, escolha More > Modify Backup Vault.

Na seção RAM Permission Policy do painel Modify Backup Vault, localize as políticas que negam operações de backup e recuperação.

Política para negar operações de recuperação/restauração

Clique no ícone de cópia no canto superior esquerdo para copiar o script. Por exemplo:

{
    "Version": "1",
    "Statement": [
        {
            "Effect": "Deny",
            "Action": [
                "hbr:CreateRestore",
                "hbr:CreateRestoreJob",
                "hbr:CreateHanaRestore",
                "hbr:CreateUniRestorePlan",
                "hbr:CreateSqlServerRestore"
            ],
            "Resource": [
                "acs:hbr:*:1178037424989531:vault/v-0000ryfi******piu",
                "acs:hbr:*:1178037424989531:vault/v-0000ryfi******piu/client/*"
            ]
        }
    ]
}

Nota

v-0000ryfipiu é o ID do cofre de backup de destino.

Política para negar operações de backup/arquivamento

Clique no ícone de cópia no canto superior esquerdo para copiar o script. Por exemplo:

{
    "Version": "1",
    "Statement": [
        {
            "Effect": "Deny",
            "Action": [
                "hbr:CreateUniBackupPlan",
                "hbr:UpdateUniBackupPlan",
                "hbr:DeleteUniBackupPlan",
                "hbr:CreateHanaInstance",
                "hbr:UpdateHanaInstance",
                "hbr:DeleteHanaInstance",
                "hbr:CreateHanaBackupPlan",
                "hbr:UpdateHanaBackupPlan",
                "hbr:DeleteHanaBackupPlan",
                "hbr:CreateClient",
                "hbr:CreateClients",
                "hbr:UpdateClient",
                "hbr:UpdateClientSettings",
                "hbr:UpdateClientAlertConfig",
                "hbr:DeleteClient",
                "hbr:DeleteClients",
                "hbr:CreateJob",
                "hbr:UpdateJob",
                "hbr:CreateBackupPlan",
                "hbr:UpdateBackupPlan",
                "hbr:ExecuteBackupPlan",
                "hbr:DeleteBackupPlan",
                "hbr:CreateBackupJob",
                "hbr:CreatePlan",
                "hbr:UpdatePlan",
                "hbr:CreateTrialBackupPlan",
                "hbr:ConvertToPostPaidInstance",
                "hbr:KeepAfterTrialExpiration"
            ],
            "Resource": [
                "acs:hbr:*:1178037424989531:vault/v-0000ryfi******piu",
                "acs:hbr:*:1178037424989531:vault/v-0000ryfi******piu/client/*"
            ]
        }
    ]
}

Nota

v-0000ryfipiu é o ID do cofre de backup de destino.

Acesse o RAM console e crie políticas personalizadas.

Para obter mais informações, consulte Create a custom policy.
Anexe as políticas personalizadas criadas na Etapa 2 a diferentes usuários RAM. Dessa forma, um usuário RAM fica impedido de executar operações de backup, enquanto o outro fica impedido de executar operações de recuperação.