Data Management:Use DMS across Alibaba Cloud accounts

Suponha que a conta A da Alibaba Cloud queira registrar um recurso da conta B da Alibaba Cloud no tenant do DMS da conta A. Um usuário RAM da conta B deve executar as seguintes etapas no console do RAM:

1. Faça login no console do RAM usando um usuário RAM da conta B da Alibaba Cloud (proprietária do recurso) que possua a permissão AliyunRAMFullAccess.

2. Na página Roles, crie uma função RAM e configure uma política de confiança para a conta A. Utilize um dos seguintes métodos:

   Método 1: Editor visual

   1. Na página Create Role, clique em Switch to Policy Editor.

      Em Select Trusted Entity, selecione Alibaba Cloud Account. O botão Switch to Policy Editor está localizado no lado direito do aviso na parte inferior da página.

   2. Na aba Visual Editor, defina Principal como Cloud Service. Configure os seguintes parâmetros:

      • Na caixa de texto abaixo de Other Account, insira o UID da Conta A.

      • Para Cloud Service, selecione Data Management/DMSEnterprise.

   3. Clique em OK.

   Método 2: Editor de script

   1. Na página Create Role, clique em Switch to Policy Editor.

   2. Na aba Script Editor, insira a seguinte política.

      Esta política de confiança permite que o usuário especificado gerencie recursos para o registro de instâncias entre contas.

      {
        "Statement": [
          {
            "Action": "sts:AssumeRole",
            "Effect": "Allow",
            "Principal": {
              "Service": [
                "<UID of Alibaba Cloud account A>@dms.aliyuncs.com"
              ]
            }
          }
        ],
        "Version": "1"
      }

   3. Clique em OK.

3. Na página Policies, crie uma política personalizada. Por exemplo, nomeie a política como DmsCrossAccountPolicy.

   A política de permissão suporta os seguintes tipos de banco de dados e métodos de acesso (VPC): Tair (Redis OSS-compatible), PolarDB-X, OceanBase, ApsaraDB for Lindorm, Hologres, GDB, SelectDB e ClickHouse Enterprise Edition.

   Nota

   Para RDS, PolarDB for MySQL, PolarDB for PostgreSQL e PolarDB for PostgreSQL(Compatible with Oracle), pule as Etapas 3 e 4 e vá para a Etapa 5.

   Clique aqui para visualizar as políticas de permissão para cada tipo de banco de dados.

   Redis

   {
     "Statement": [
       {
         "Action": [
           "kvstore:DescribeSecurityIps",
           "kvstore:ModifySecurityIps",
           "kvstore:DescribeRegions",
           "kvstore:DescribeInstances",
           "kvstore:DescribeInstanceAttribute",
           "kvstore:DescribeInstanceConfig"
         ],
         "Resource": "*",
         "Effect": "Allow"
       }
     ],
     "Version": "1"
   }

   PolarDB-X 1.0

   {
     "Statement": [
       {
         "Action": [
           "drds:DescribeDrdsInstances",
           "drds:QueryInstanceInfoByConn",
           "drds:DescribeDrdsInstanceList",
           "drds:DescribeDrdsDBIpWhiteList",
           "drds:ModifyDrdsIpWhiteList",
           "drds:DescribeDrdsInstanceVersion"
         ],
         "Resource": "*",
         "Effect": "Allow"
       }
     ],
     "Version": "1"
   }

   PolarDB-X 2.0

   {
     "Statement": [
       {
         "Action": [
           "polardbx:DescribeDBInstances",
           "polardbx:DescribeSecurityIps",
           "polardbx:ModifySecurityIps",
           "polardbx:DescribeDBInstanceAttribute",
           "polardbx:DescribeDBInstanceViaEndpoint"
         ],
         "Resource": "*",
         "Effect": "Allow"
       }
     ],
     "Version": "1"
   }

   OceanBase

   {
     "Statement": [
       {
         "Action": [
           "oceanbase:DescribeAllTenantsConnectionInfo",
           "oceanbase:DescribeInstances"
         ],
         "Resource": "*",
         "Effect": "Allow"
       }
     ],
     "Version": "1"
   }

   ApsaraDB for Lindorm

   {
     "Statement": [
       {
         "Action": [
           "lindorm:GetLindormInstanceList",
           "lindorm:GetLindormInstance",
           "lindorm:GetLindormInstanceListForDMS",
           "lindorm:GetLindormInstanceForDMS",
           "lindorm:GetLindormInstanceForDMSByConnStr",
           "lindorm:GetInstanceIpWhiteList",
           "lindorm:UpdateInstanceIpWhiteList"
         ],
         "Resource": "*",
         "Effect": "Allow"
       }
     ],
     "Version": "1"
   }

   Hologres

   {
     "Statement": [
       {
         "Action": [
           "hologram:GetInstance",
           "hologram:ListInstances"
         ],
         "Resource": "*",
         "Effect": "Allow"
       }
     ],
     "Version": "1"
   }

   GDB

   {
     "Statement": [
       {
         "Action": [
           "gdb:DescribeDbInstances"
         ],
         "Resource": "*",
         "Effect": "Allow"
       }
     ],
     "Version": "1"
   }

   SelectDB

   {
     "Statement": [
       {
         "Action": [
           "selectdb:DescribeDBInstances",
           "selectdb:DescribeDBInstanceAttribute",
           "selectdb:DescribeDBInstanceNetInfo",
           "selectdb:DescribeSecurityIPList",
           "selectdb:ModifySecurityIPList"
         ],
         "Resource": "*",
         "Effect": "Allow"
       }
     ],
     "Version": "1"
   }

   ClickHouse Enterprise Edition

   {
     "Statement": [
       {
         "Action": [
           "clickhouse:DescribeDBClusters",
           "clickhouse:DescribeDBInstances",
           "clickhouse:DescribeDBInstanceAttribute",
           "clickhouse:DescribeEndpoints",
           "clickhouse:DescribeSecurityIPList",
           "clickhouse:ModifySecurityIPList"
         ],
         "Resource": "*",
         "Effect": "Allow"
       }
     ],
     "Version": "1"
   }

   A política de exemplo a seguir permite o registro de banco de dados por meio de uma VPC.

   {
     "Statement": [
       {
         "Action": [
           "vpc:DescribeVpcs"
         ],
         "Resource": "*",
         "Effect": "Allow"
       }
     ],
     "Version": "1"
   }

4. Na página Roles, anexe a política DmsCrossAccountPolicy à função criada na Etapa 2. Para mais informações, consulte Gerenciar permissões para uma função RAM.

5. Na página Roles, clique em no nome da função e copie o ARN da página de detalhes da função.

Registrar a instância

Ao registrar um banco de dados, o usuário A deve inserir o ARN da função.

Na caixa de diálogo Register Database, na seção Basic Information, defina Database Type como MySQL e configure Instance Region. No campo Cross-account ARN, insira o ARN copiado na Etapa 4.