O DMS oferece gerenciamento granular de permissões para instâncias de banco de dados, bancos de dados, tabelas, colunas e linhas. Você pode conceder permissões de logon, consulta, exportação e alteração por recurso.
Categorias e tipos de permissão
Categoria de permissão | Tipo de permissão | Descrição | Requer hospedagem de segurança |
Permissões de operação (permissões regulares) | Permissões em instâncias de banco de dados | Permissões de logon para uma instância de banco de dados. Disponíveis apenas quando a hospedagem de segurança está desativada. Após obter as permissões de logon, acesse a instância com a conta e a senha do banco de dados. Nota Os proprietários relevantes da sua organização gerenciam as credenciais do banco de dados. | Não |
Permissões para visualizar o desempenho da instância de banco de dados. Database performance. | Sim | ||
Permissões para consultar, exportar e alterar dados da instância, exceto dados em colunas e linhas sensíveis com controle de acesso. | |||
Permissões em bancos de dados | Permissões para consultar, exportar e alterar dados do banco de dados, exceto dados em colunas e linhas sensíveis com controle de acesso. | ||
Permissões em tabelas | Permissões para consultar, exportar e alterar dados da tabela, exceto dados em colunas e linhas sensíveis com controle de acesso. | ||
Permissões em colunas sensíveis | Permissões para consultar, exportar e alterar dados de colunas sensíveis. Nota Antes de solicitar permissões para colunas sensíveis:
| ||
Permissões em linhas | Permissões para consultar, exportar e alterar dados de linhas. Row-level control. Nota Antes de solicitar permissões de linha, verifique se você tem permissões no banco de dados e na tabela que contêm a linha. | ||
Permissões em objetos programáveis | Permissões para consultar, exportar e alterar dados de objetos programáveis. Quando a hospedagem de segurança está ativada, obtenha essas permissões antes de acessar objetos programáveis. Programmable objects. | ||
Permissões de dados (permissões de proprietário de recurso) | Proprietário da instância | Permissões de proprietário sobre um recurso (instância, banco de dados ou tabela). Os proprietários podem visualizar, conceder e revogar permissões do recurso, além de consultar seus dados, exceto dados em colunas e linhas sensíveis com controle de acesso. Nota Quando a hospedagem de segurança está desativada, apenas administradores do DMS e DBAs podem gerenciar proprietários de instâncias. No console do DMS, clique em com o botão direito em uma instância de banco de dados na seção Database Instances à esquerda e escolha . | Sim |
Proprietário do banco de dados | |||
Proprietário da tabela | |||
Controle de acesso a metadados | Controle de acesso a metadados |
Nota Ter qualquer permissão de dados ou operação em uma instância ou banco de dados equivale a ter permissões nesse recurso. | Sim |
Permissões:
Consulta: permissão para executar consultas SQL no SQL Console.
Alteração: permissão para executar instruções de alteração no SQL Console e enviar tickets de alteração de dados e de sincronização de bancos de dados e tabelas.
-
Exportação: permissão para enviar tickets de exportação de dados.
NotaNão é necessária para exportar conjuntos de resultados SQL do SQL Console.
Verificação de permissões
Ao realizar operações em um banco de dados no DMS com uma conta Alibaba Cloud ou como usuário RAM, o DMS verifica suas permissões. O sistema valida primeiro as permissões granulares e depois as permissões do usuário RAM.
Para impedir que usuários não autorizados pesquisem instâncias e bancos de dados, ative o controle de acesso nas instâncias de banco de dados. Assim, apenas usuários autorizados poderão pesquisar esses recursos. Enable metadata access control.
Atribuição de permissões no nível da API
A capacidade de chamar uma operação da API do DMS depende tanto da sua política RAM quanto da sua função de sistema no DMS. Uma política RAM controla apenas se você consegue fazer logon no DMS, o que exige a política AliyunDMSLoginConsoleAccess. Já a sua função de sistema no DMS determina quais operações da API você tem autorização para chamar.
|
Categoria da API |
Exemplos de operações da API |
Função necessária no DMS |
Uma política RAM sozinha pode controlar isso? |
|
Gerenciamento de usuários |
|
Administrator |
Não. Mesmo após a autorização RAM, a função de administrador do DMS ainda é necessária. |
|
Regras de aprovação e segurança |
|
Administrator, DBA ou administrador de segurança |
Não. A função correspondente do DMS ainda é necessária. |
|
Outras operações da API |
|
Nenhuma função específica necessária |
Sim. Uma política RAM sozinha é suficiente. |
Operações da API na categoria de gerenciamento de usuários, como ListUsers, RegisterUser e UpdateUser, exigem a função de administrador do DMS. Conceder apenas a ação RAM correspondente não permite que um usuário RAM chame essas operações da API. Outras operações, como ListInstances e GetOrderBaseInfo, podem ser chamadas apenas com autorização via política RAM, sem exigir uma função específica do DMS. Se um usuário RAM receber um erro NoBizPermission após a autorização RAM, significa que a operação da API requer uma função de sistema do DMS além da política RAM.
Próximos passos
Execute as seguintes operações:
Gerencie permissões de recursos por função. Manage permissions.
Visualize suas permissões de operação e de dados concedidas. Manage permissions.
-
Configure processos de aprovação de permissões para diferentes cenários:
Utilize aprovação rigorosa para dados de produção e bancos de dados de negócios essenciais.
Adote aprovação simples ou acesso sem aprovação para dados de testes e negócios não essenciais.
-
Gerencie outras permissões de contas de banco de dados com o recurso de gerenciamento de contas. Account permission management.
NotaO gerenciamento de contas está disponível apenas para MySQL, PostgreSQL e MongoDB. Para outros mecanismos, gerencie as contas de banco de dados no console correspondente.
Perguntas frequentes
P: Por que ainda recebo um erro de "permissão negada" em uma consulta após ter recebido permissão de logon para uma instância no DMS?
R: No modo sem hospedagem de segurança, os usuários precisam apenas da permissão de logon para realizar operações. Após mudar para o modo de hospedagem de segurança, é necessário solicitar permissões específicas (consulta, exportação, alteração). Gerencie as permissões dos usuários na página Manage access control permissions.