ApsaraDB for MongoDB:Como conceder permissões a um usuário RAM para ApsaraDB for MongoDB

Pré-requisitos

Antes de começar, verifique se você tem:

• Uma conta Alibaba Cloud com privilégios de administrador RAM

• Um usuário RAM criado no console RAM. Para mais informações, consulte Criar um usuário RAM

Conceder permissões a um usuário RAM

1. Faça login no console RAM como administrador RAM.

2. No painel de navegação à esquerda, escolha Identities > Users.

3. Na página Users, localize o usuário RAM desejado e clique em Add Permissions na coluna Actions. > Dica: Para conceder permissões a vários usuários RAM simultaneamente, selecione os usuários e clique em Add Permissions na parte inferior da página.

4. No painel Grant Permission, configure os seguintes parâmetros:

   Importante

   Se você selecionar Resource Group para Resource Scope, certifique-se de que o ApsaraDB for MongoDB suporta grupos de recursos. Para mais informações, consulte Serviços compatíveis com Resource Group. Para obter detalhes sobre como conceder permissões em um grupo de recursos, veja Usar um grupo de recursos para conceder a um usuário RAM permissões para gerenciar uma instância ECS específica.

   Nota

   O sistema identifica automaticamente políticas de sistema de alto risco, como AdministratorAccess e AliyunRAMFullAccess. Evite anexar políticas de alto risco, a menos que seja estritamente necessário.

   Parâmetro	Descrição
   Resource Scope	Account: A política entra em vigor na conta Alibaba Cloud atual. Resource Group: A política entra em vigor em um grupo de recursos específico.
   Principal	Usuário RAM que receberá as permissões. O usuário RAM atual é selecionado por padrão.
   Policy	Política a ser anexada. Selecione uma ou mais políticas de sistema ou personalizadas.

5. Clique em Grant permissions.

6. Clique em Close.

Políticas de sistema

O ApsaraDB for MongoDB fornece duas políticas de sistema:

Use AliyunMongoDBFullAccess para administradores que gerenciam instâncias. Use AliyunMongoDBReadOnlyAccess para usuários que precisam apenas visualizar informações de instâncias, dados de monitoramento ou status de backup.

Políticas personalizadas

Políticas personalizadas oferecem controle de acesso granular sobre operações de API e instâncias específicas. Para a referência completa de sintaxe, consulte Estrutura e sintaxe de políticas.

acs:dds:$regionid:$accountid:dbinstance/$dbinstanceid

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "dds:DescribeDBInstances",
        "dds:DescribeDBInstanceAttribute",
        "dds:DescribeDBInstancePerformance",
        "dds:DescribeReplicaSetRole",
        "dds:DescribeSecurityIps",
        "dds:DescribeAccounts",
        "dds:DescribeBackupPolicy"
      ],
      "Resource": "acs:dds:cn-hangzhou:1234567890:dbinstance/dds-bp1234567890"
    }
  ]
}

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "dds:DescribeBackupPolicy",
        "dds:ModifyBackupPolicy",
        "dds:CreateBackup",
        "dds:RestoreDBInstance",
        "dds:DescribeDBInstances"
      ],
      "Resource": "acs:dds:*:*:dbinstance/*"
    }
  ]
}

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "dds:*",
      "Resource": "acs:dds:cn-hangzhou:*:dbinstance/*"
    }
  ]
}

Conceitos principais

Melhores práticas

• Comece com políticas de sistema. Use AliyunMongoDBFullAccess ou AliyunMongoDBReadOnlyAccess para a maioria dos cenários. Crie políticas personalizadas apenas quando for necessário um controle mais refinado.

• Aplique o acesso de menor privilégio. Conceda apenas as permissões mínimas necessárias ao usuário RAM. Por exemplo, um usuário de monitoramento precisa apenas de operações Describe*, e não de operações Modify* ou Delete*.

• Restrinja recursos por instância. Use o formato de descrição de recursos para limitar permissões a instâncias específicas, em vez de conceder acesso a todas as instâncias com um caractere curinga (*).

• Separe funções. Atribua políticas personalizadas diferentes a usuários RAM distintos com base em suas funções. Por exemplo, separe operadores de backup de administradores de instâncias.

• Revise as permissões regularmente. Audite periodicamente as permissões dos usuários RAM e revogue aquelas que não forem mais necessárias.

• Evite políticas de alto risco. Não anexe AdministratorAccess ou AliyunRAMFullAccess, a menos que o usuário RAM precise de amplo acesso em todos os serviços da Alibaba Cloud.

Referências

• Criar um usuário RAM

• Criar uma política personalizada

• Estrutura e sintaxe de políticas

• Serviços compatíveis com RAM

• Serviços compatíveis com Resource Group