Resource Access Management:Gerenciar permissões do ApsaraDB RDS

Informações básicas

• Antes de gerenciar as permissões do ApsaraDB RDS para usuários do RAM, observe as seguintes políticas de sistema:

  • AliyunRDSFullAccess: concede ao usuário do RAM permissões para gerenciar instâncias do ApsaraDB RDS.

  • AliyunRDSReadOnlyAccess: concede permissões somente leitura em instâncias do ApsaraDB RDS.

  Se as políticas de sistema não atenderem aos seus requisitos de negócios, crie políticas personalizadas.

• Antes de gerenciar as permissões do ApsaraDB RDS para usuários do RAM, verifique também as permissões específicas do serviço. Para mais informações, consulte Usar o RAM para autorização de recursos.

Procedimento

1. Crie um usuário do RAM.

   Para mais informações, consulte Criar um usuário do RAM.

2. Crie uma política personalizada.

   Para mais informações, consulte Criar políticas personalizadas e Exemplos de políticas.

3. Anexe a política ao usuário do RAM.

   Para mais informações, consulte Conceder permissões a usuários do RAM.

Exemplos de políticas

• Exemplo 1: Autorizar um usuário do RAM a gerenciar duas instâncias específicas do ApsaraDB RDS.

  Para autorizar um usuário do RAM a gerenciar as instâncias do ApsaraDB RDS rm-abcdxxxx001 e rm-abcdxxxx002 na sua conta Alibaba Cloud, use o seguinte script de exemplo:

  {
    "Statement": [
      {
        "Action": "rds:*",
        "Effect": "Allow",
        "Resource": [
                    "acs:rds:*:*:dbinstance/rm-abcdxxxx001",
                    "acs:rds:*:*:dbinstance/rm-abcdxxxx002"
                    ]
      },
      {
        "Action": "rds:Describe*",
        "Effect": "Allow",
        "Resource": "*"
      }
    ],
    "Version": "1"
  }

  Nota

  • O usuário do RAM autorizado pode visualizar todas as instâncias do ApsaraDB RDS, mas só consegue gerenciar as duas instâncias especificadas.

  • O elemento Describe* é obrigatório na política. Sem ele, o usuário do RAM autorizado não consegue visualizar as instâncias no console do ApsaraDB RDS. No entanto, esse usuário ainda pode chamar operações da API ou usar uma CLI ou SDK para gerenciar as duas instâncias do ApsaraDB RDS especificadas.

• Exemplo 2: Autorizar um usuário do RAM a acessar o Data Management (DMS).

  • Para autorizar um usuário do RAM a fazer login em uma instância específica do ApsaraDB RDS, use o seguinte script de exemplo:

    {
      "Statement": [
        {
          "Action": "dms:LoginDatabase",
          "Effect": "Allow",
          "Resource": "acs:rds:*:*:dbinstance/rds783a0639ks5k7****"
        }
      ],
      "Version": "1"
    }

    Nota

    Substitua rds783a0639ks5k7**** pelo ID da instância do ApsaraDB RDS.

  • Para autorizar um usuário do RAM a fazer login em todas as instâncias do ApsaraDB RDS, use o seguinte script de exemplo:

    {
      "Statement": [
        {
          "Action": "dms:LoginDatabase",
          "Effect": "Allow",
          "Resource": "acs:rds:*:*:*"
        }
      ],
      "Version": "1"
    }