O Data Disaster Recovery oferece políticas de sistema predefinidas para o Resource Access Management (RAM). Anexe essas políticas a usuários RAM, grupos de usuários RAM ou funções RAM conforme o nível de acesso necessário para cada identidade.
Visão geral das políticas
|
Política |
Tipo |
Quando usar |
|
|
Política de sistema de serviço |
A identidade gerencia todos os recursos do Data Disaster Recovery |
|
|
Política de sistema de serviço |
A identidade apenas monitora ou audita recursos do Data Disaster Recovery |
|
|
Política de função de serviço |
Uso interno da função de serviço AliyunDBSDefaultRole (não anexe manualmente) |
|
|
Política de função vinculada ao serviço |
Uso interno da função vinculada ao serviço AliyunServiceRoleForDBS (não anexe manualmente) |
O que é uma política de sistema?
Uma política é um conjunto de permissões definido com a estrutura e a sintaxe de políticas do RAM. Ela descreve os recursos, as operações e as condições autorizados.
O RAM fornece dois tipos de políticas:
Políticas de sistema: a Alibaba Cloud as cria e gerencia. Você pode anexá-las a identidades RAM, mas não pode modificá-las. Durante as iterações do serviço, o Data Disaster Recovery adiciona novas permissões às políticas de sistema para oferecer suporte a novos recursos. Essas atualizações se aplicam a todas as identidades RAM com a política anexada, incluindo usuários RAM, grupos de usuários RAM e funções RAM.
Políticas personalizadas: você as cria e gerencia. Utilize políticas personalizadas quando as políticas de sistema forem muito abrangentes para seus requisitos.
As políticas de sistema funcionam no Alibaba Cloud Management Console e em métodos de acesso programático, como operações de API e comandos CLI. Para acesso programático, utilize políticas personalizadas detalhadas a fim de restringir o acesso apenas aos usuários designados e aos recursos necessários.
As políticas de sistema dividem-se em três categorias. Alguns serviços fornecem apenas um ou dois desses tipos:
Políticas de sistema de serviço: anexe-as a identidades RAM para conceder acesso ao usuário final.
Políticas de função de serviço: dedicadas a uma função de serviço específica. Não as anexe a outras identidades RAM.
Políticas de função vinculada ao serviço: o Data Disaster Recovery as utiliza para acessar outros serviços de nuvem. Não as anexe a outras identidades RAM.
Para obter mais informações sobre políticas do RAM, consulte Visão geral de políticas.
Políticas de sistema de serviço
AliyunDBSFullAccess
Concede permissões totais de gerenciamento no Data Disaster Recovery. Anexe esta política às identidades RAM que precisam gerenciar recursos do Data Disaster Recovery.
Para visualizar a lista completa de permissões, consulte AliyunDBSFullAccess.
AliyunDBSReadOnlyAccess
Concede acesso somente leitura ao Data Disaster Recovery. Anexe esta política às identidades RAM que precisam visualizar recursos do Data Disaster Recovery sem permissão para fazer alterações.
Para visualizar a lista completa de permissões, consulte AliyunDBSReadOnlyAccess.
Políticas de função de serviço
AliyunDBSRolePolicy
Esta é a política de autorização dedicada à função de serviço AliyunDBSDefaultRole. O serviço a utiliza internamente; portanto, não se destina a anexação manual. Não anexe esta política a nenhuma identidade RAM além da função de serviço AliyunDBSDefaultRole.
Para visualizar a lista completa de permissões, consulte AliyunDBSRolePolicy.
Políticas de função vinculada ao serviço
AliyunServiceRolePolicyForDBS
O Data Disaster Recovery assume a função vinculada ao serviço AliyunServiceRoleForDBS para acessar recursos em outros serviços de nuvem. A AliyunServiceRolePolicyForDBS é a política de autorização dedicada a essa função vinculada ao serviço. O Data Disaster Recovery a define e utiliza, de modo que você não pode modificá-la nem excluí-la. Não anexe esta política a nenhuma identidade RAM além da função vinculada ao serviço AliyunServiceRoleForDBS.
Para visualizar a lista completa de permissões, consulte AliyunServiceRolePolicyForDBS.
Próximos passos
Por padrão, as identidades RAM não possuem permissões. Um administrador de conta deve conceder explicitamente as permissões necessárias. Siga o princípio do menor privilégio e conceda apenas as permissões indispensáveis para cada identidade.