Resource Access Management:Control ApsaraDB RDS access for RAM user groups using tags

Informações gerais

Neste exemplo, você possui 10 instâncias do ApsaraDB RDS. O objetivo é autorizar a equipe de desenvolvedores a gerencie 5 instâncias e a equipe de operações a gerencie as outras 5. Cada equipe deve visualize apenas as instâncias autorizadas para ela.

Para isso, crie dois grupos de usuários RAM com os nomes developer e operator.

Em seguida, crie duas políticas personalizadas com os nomes policyForDevTeam e policyForOpsTeam.

Você também precisa crie as seguintes tags:

• Uma tag adicionada a cinco instâncias do ApsaraDB RDS, com a chave de tag team e o valor dev.

• Uma tag adicionada às outras cinco instâncias do ApsaraDB RDS, com a chave de tag team e o valor ops.

Procedimento

O procedimento para conceder acesso a instâncias do ApsaraDB RDS por grupo usando tags é o mesmo utilizado para conceder acesso a instâncias do ECS por grupo. Para mais informações, consulte Authorize ECS instances by group.

Crie as duas políticas personalizadas a seguir para autorizar as equipes:

• A política policyForDevTeam para o grupo de usuários RAM developer

  {
    "Statement": [
      {
        "Action": "rds:*",
        "Effect": "Allow",
        "Resource": "*",
        "Condition": {
          "StringEquals": {
            "rds:ResourceTag/team": "dev"
           }
         }
       },
      {
         "Action": "rds:DescribeTag*",
         "Effect": "Allow",
         "Resource": "*"
       }
    ],
    "Version": "1"
  }

• A política policyForOpsTeam para o grupo de usuários RAM operator

  {
    "Statement": [
      {
        "Action": "rds:*",
        "Effect": "Allow",
        "Resource": "*",
        "Condition": {
          "StringEquals": {
            "rds:ResourceTag/team": "ops"
           }
         }
       },
      {
         "Action": "rds:DescribeTag*",
         "Effect": "Allow",
         "Resource": "*"
       }
    ],
    "Version": "1"
  }

Cada política é composta por duas partes:

• A parte "Action":"rds:*", que inclui a Condition, especifica as instâncias do ApsaraDB RDS que possuem a tag team:dev ou team:ops.

• A parte "Action": "rds:DescribeTag*" autoriza os usuários RAM a consultar todas as tags no ApsaraDB RDS. Ao fazer login no console do ApsaraDB RDS, o usuário visualize todas as tags existentes. Para ver as instâncias do ApsaraDB RDS associadas a uma tag, selecione o valor da chave de tag desejada.

Perguntas frequentes

Se ocorrerem erros de permissão após você conceder acesso a instâncias do ApsaraDB RDS por grupo usando tags, verifique se as seguintes condições são atendidas:

• A tag está adicionada às instâncias do ApsaraDB RDS.

• As chaves e os valores de tag especificados nas políticas correspondem exatamente às chaves e aos valores das tags adicionadas às instâncias do ApsaraDB RDS.

  Nota

  As chaves e os valores de tags no ApsaraDB RDS não podem conter letras maiúsculas. Se você insira letras maiúsculas ao crie uma tag, o ApsaraDB RDS as converterá automaticamente em letras minúsculas.

• A política necessária está vinculada aos usuários RAM.

• A região selecionada no console do ApsaraDB RDS corresponde à região onde as instâncias do ApsaraDB RDS residem.

• O valor de tag correspondente está selecionado para filtrar as instâncias.