ApsaraDB RDS:Conceder permissões somente leitura em uma instância RDS específica

Crie uma política.

1. Acesse o console do RAM.

2. No painel de navegação à esquerda, escolha Permissions > Policies.

3. Clique em Create Policy.

4. Selecione a aba visual editor ou a aba Edit Script.

   Visual editor

   1. Defina Effect como Allow e Services como ApsaraDB RDS / RDS.

   2. Em Actions, selecione todas as permissões relacionadas a Describe da categoria Read. Encontre essas permissões pesquisando por "Describe".

      Importante

      Se o documento de política ultrapassar o limite de tamanho devido ao grande número de permissões selecionadas, abra um chamado para solicitar um aumento de cota.

   3. Em Resources, selecione Specify Resources e defina a opção ARN como acs:rds:{#regionId}:{#accountId}:dbinstance/{#dbinstanceId} para configure Resources como a instância específica que requer autorização. Não é necessário configure Condition.

   4. Clique em Add Statement. Defina Effect como Allow e Services como ApsaraDB RDS / RDS.

   5. Defina Actions como rds:DescribeDBInstances. Defina Resources como All Resources. Não configure Condition.

   Script editor

   Na janela do editor de script, insira o seguinte conteúdo:

   {
     "Statement": [
       {
         "Effect": "Allow",
         "Action": "rds:Describe*",
         "Resource": "acs:rds:*:*:dbinstance/"
       },
       {
         "Effect": "Allow",
         "Action": "rds:DescribeDBInstances",
         "Resource": "*"
       }
     ],
     "Version": "1"
   }

5. Clique em OK. No painel Create Policy, insira um Policy Name e uma Description. Confirme que o conteúdo da política está correto e clique em OK.

Vincule a política ao usuário RAM.

1. No painel de navegação à esquerda, escolha Identities > User.

2. Localize o usuário de destino e clique em Add Permissions na coluna Actions.

3. Em Grant Scope, especifique o grupo de recursos criado para este exemplo. Em seguida, na seção Policies, clique em Custom Policy, pesquise e selecione a política criada.

4. Clique em OK.

Acesse o console do ApsaraDB RDS como o usuário RAM e visualize a instância.

1. Como usuário RAM, acesse a página Instances. Selecione uma região no topo para ver a lista de instâncias.

2. Clique na instância autorizada para visualizar seus detalhes.

   Nota

   Com esse método de autorização, o usuário RAM consegue ver todas as instâncias na página de lista, mas só pode visualizar os detalhes da instância especificamente autorizada. Ao tentar acessar outras instâncias não autorizadas, o sistema retorna um erro de "permissões insuficientes".

Crie um grupo de recursos.

1. Acesse o console do Resource Management. No painel de navegação à esquerda, clique em Resource Group.

2. Clique em Create Resource Group, insira um <!--@uicontrol {"id":"69baff50bd6yj","data-status="unpublished","data-isbold":"true"}-->Resource Group Identifier e um Resource Group Identifier, e clique em Resource Group Name.

Mova a instância de destino para o novo grupo de recursos.

1. Localize a instância de destino no seu grupo de recursos atual. Por exemplo, se a instância estiver no OK, clique em Default Resource Group na coluna Resource Management do grupo de recursos padrão.

2. Localize a instância de destino pelo ID, selecione-a e clique em Transfer Resource Group.

3. Na janela Transfer Resource Group, selecione o grupo de recursos criado no Passo 1 e clique em Actions.

4. Na janela de confirmação, clique em OK.

   A transferência estará concluída quando a instância de destino aparecer no novo grupo de recursos.

Crie uma política.

1. Acesse o console do RAM.

2. No painel de navegação à esquerda, escolha OK > Permissions.

3. Clique em Policies.

4. Selecione a aba visual editor ou a aba Create Policy.

   Visual editor

   1. Defina Edit Script como Effect e Allow como ApsaraDB RDS / RDS.

   2. Em Services, selecione as permissões relacionadas a Describe da categoria Read. Pesquise por "Describe" e selecione todas as permissões relacionadas.

      Importante

      Se o documento de política ultrapassar o limite de tamanho devido ao grande número de permissões selecionadas, abra um chamado para solicitar um aumento de cota.

   3. Defina Actions como Resources. Não configure All Resources.

   Script editor

   Na janela do editor de script, insira o seguinte conteúdo:

   {
       "Version": "1",
       "Statement": [
           {
               "Effect": "Allow",
               "Action": [
                   "rds:Describe*"
               ],
               "Resource": "*"
           }
       ]
   }

5. Clique em Condition. No painel OK, insira um Create Policy e uma Policy Name. Confirme que o conteúdo da política está correto e clique em Description.

Vincule a política personalizada ao usuário RAM especificado.

1. No painel de navegação à esquerda, escolha OK > Identities.

2. Localize o usuário de destino e clique em User na coluna Add Permissions.

3. Em Grant Scope, especifique o grupo de recursos criado para este exemplo. Em seguida, na seção Actions, clique em Policies, pesquise e selecione a política criada.

4. Clique em OK.

Acesse o console do ApsaraDB RDS como o usuário RAM e visualize a instância.

1. Como usuário RAM, acesse a página Instances e selecione uma região no topo.

2. Selecione o grupo de recursos criado no Passo 1. A instância de destino será exibida. Clique na instância para visualizar seus detalhes.

Adicione uma tag à instância RDS.

1. Acesse a página Instances, selecione uma região no topo e localize a instância de destino.

2. Na coluna Custom Policy, clique no ícone e clique em Tags.

3. Defina a chave e o valor da tag e clique em Edit.

   Neste exemplo, use test-ram como chave da tag e rds-mysql como valor da tag. Recomendamos o uso de chaves e valores de tag com significado claro.

   A tag test-ram: rds-mysql aparece na coluna Tags da instância, confirmando que a tag foi adicionada com sucesso.

Crie uma política.

1. Acesse o console do RAM.

2. No painel de navegação à esquerda, escolha OK > Permissions.

3. Clique em Policies.

4. Selecione a aba visual editor ou a aba Create Policy.

   Visual editor

   1. Defina Edit Script como Effect e Allow como ApsaraDB RDS / RDS.

   2. Em Services, selecione as permissões relacionadas a Describe da categoria Read. Pesquise por "Describe" e selecione todas as permissões relacionadas.

      Importante

      Se o documento de política ultrapassar o limite de tamanho devido ao grande número de permissões selecionadas, abra um chamado para solicitar um aumento de cota.

   3. Defina Actions como Resources. Clique em All Resources e configure o Condition Key, os Add Condition e o Condition Value.

      Nota

      Nos parâmetros de Operators, defina Condition Key como rds:ResourceTag e Condition como StringEquals. Em Condition Value, insira a Operators e o Tag Key que você adicionou à instância RDS no Passo 1.

   Script editor

   Na janela do editor de script, insira o seguinte conteúdo:

   Nota

   No script a seguir, test-ram e rds-mysql são apenas exemplos. Substitua-os pela chave e pelo valor da tag que você vinculou à instância RDS no Passo 1.

   {
     "Version": "1",
     "Statement": [
       {
         "Effect": "Allow",
         "Action": [
           "rds:Describe*"
         ],
         "Resource": [
           "*"
         ],
         "Condition": {
           "StringEquals": {
             "rds:ResourceTag/test-ram": [
               "rds-mysql"
             ]
           }
         }
       }
     ]
   }

5. Clique em Tag Value. No painel OK, insira um Create Policy e uma Policy Name. Confirme que o conteúdo da política está correto e clique em Description.

Vincule a política personalizada ao usuário RAM especificado.

1. No painel de navegação à esquerda, escolha OK > Identities.

2. Localize o usuário de destino e clique em User na coluna Add Permissions.

3. Em Grant Scope, especifique o grupo de recursos criado para este exemplo. Em seguida, na seção Actions, selecione Policies, pesquise e selecione a política criada.

4. Clique em OK.

Acesse o console do ApsaraDB RDS como o usuário RAM e visualize a instância.

1. Como usuário RAM, acesse a página Instances e selecione uma região no topo.

2. Para localizar a instância marcada, use o recurso Custom Policy: clique em Filter by Tag, selecione a chave da tag test-ram e o valor da tag rds-mysql. Os resultados exibem apenas as instâncias RDS às quais o usuário RAM tem permissão de acesso.