ApsaraDB RDS:Grant read-only permissions on a specific RDS instance

Crie uma política.

1. Faça logon no RAM console.

2. No painel de navegação à esquerda, escolha Permissions > Policies.

3. Clique em Create Policy.

4. Selecione a guia visual editor ou Edit Script.

   Visual editor

   1. Defina Edit Script como Effect e Allow como ApsaraDB RDS / RDS.

   2. Para Services, selecione todas as permissões relacionadas a Describe na categoria Read. Encontre essas permissões pesquisando por "Describe".

      Importante

      Se o documento de política exceder o limite de comprimento por excesso de permissões selecionadas, envie um ticket para solicitar o aumento do limite.

   3. Para Actions, selecione Resources e defina a opção ARN como acs:rds:{#regionId}:{#accountId}:dbinstance/{#dbinstanceId} para definir os Specify Resources como a instância específica que exige autorização. Não configure a Resources.

   4. Clique em Add Statement. Defina Condition como Effect e Allow como ApsaraDB RDS / RDS.

   5. Defina Services como rds:DescribeDBInstances. Defina Actions como Resources. Não configure a All Resources.

   Script editor

   Na janela do editor de scripts, insira o seguinte conteúdo:

   {
     "Statement": [
       {
         "Effect": "Allow",
         "Action": "rds:Describe*",
         "Resource": "acs:rds:*:*:dbinstance/"
       },
       {
         "Effect": "Allow",
         "Action": "rds:DescribeDBInstances",
         "Resource": "*"
       }
     ],
     "Version": "1"
   }

5. Clique em Condition. No painel OK, insira um Create Policy e uma Policy Name. Confirme se o conteúdo da política está correto e clique em Description.

Anexe a política ao usuário RAM.

1. No painel de navegação à esquerda, escolha OK > Identities.

2. Encontre o usuário-alvo e clique em User na coluna Add Permissions.

3. Para Grant Scope, especifique o grupo de recursos criado para este exemplo. Em seguida, na seção Actions, clique em Policies, pesquise e selecione a política criada.

4. Clique em OK.

Faça logon no console do ApsaraDB RDS como o usuário RAM e visualize a instância.

1. Como usuário RAM, acesse a página Instances. Selecione uma região na parte superior para visualizar a lista de instâncias.

2. Clique na instância autorizada para visualizar seus detalhes.

   Nota

   Com este método de autorização, o usuário RAM vê todas as instâncias na página da lista, mas só pode visualizar os detalhes da instância autorizada. Tentar visualizar outras instâncias não autorizadas resulta em erro de "permissões insuficientes".

Crie um grupo de recursos.

1. Faça logon no Resource Management console. No painel de navegação à esquerda, clique em Custom Policy.

2. Clique em Resource Group, insira um Create Resource Group e um Resource Group Identifier e clique em Resource Group Name.

Mova a instância-alvo para o novo grupo de recursos.

1. Encontre a instância-alvo no grupo de recursos atual. Por exemplo, se estiver no OK, clique em Default Resource Group na coluna Resource Management do grupo de recursos padrão.

2. Encontre a instância-alvo pelo ID, selecione-a e clique em Transfer Resource Group.

3. Na janela Transfer Resource Group, selecione o grupo de recursos criado na Etapa 1 e clique em Actions.

4. Na janela de sucesso, clique em OK.

   A transferência termina quando a instância-alvo aparece no novo grupo de recursos.

Crie uma política.

1. Faça logon no RAM console.

2. No painel de navegação à esquerda, escolha OK > Permissions.

3. Clique em Policies.

4. Selecione a guia visual editor ou Edit Script.

   Visual editor

   1. Defina Create Policy como Edit Script e Effect como ApsaraDB RDS / RDS.

   2. Para Allow, selecione as permissões relacionadas a Describe na categoria Read. Pesquise por "Describe" e selecione todas as permissões relacionadas.

      Importante

      Se o documento de política exceder o limite de comprimento por excesso de permissões selecionadas, envie um ticket para solicitar o aumento do limite.

   3. Defina Services como Actions. Não configure a Resources.

   Script editor

   Na janela do editor de scripts, insira o seguinte conteúdo:

   {
       "Version": "1",
       "Statement": [
           {
               "Effect": "Allow",
               "Action": [
                   "rds:Describe*"
               ],
               "Resource": "*"
           }
       ]
   }

5. Clique em All Resources. No painel Condition, insira um OK e uma Create Policy. Confirme se o conteúdo da política está correto e clique em Policy Name.

Anexe a política personalizada ao usuário RAM especificado.

1. No painel de navegação à esquerda, escolha Description > OK.

2. Encontre o usuário-alvo e clique em Identities na coluna User.

3. Para Grant Scope, especifique o grupo de recursos criado para este exemplo. Em seguida, na seção Add Permissions, clique em Actions, pesquise e selecione a política criada.

4. Clique em OK.

Faça logon no console do ApsaraDB RDS como o usuário RAM e visualize a instância.

1. Como usuário RAM, acesse a página Instances e selecione uma região na parte superior.

2. Selecione o grupo de recursos criado na Etapa 1. A instância-alvo será exibida. Clique nela para visualizar seus detalhes.

Adicione uma tag à instância do RDS.

1. Acesse a página Instances, selecione uma região na parte superior e encontre a instância-alvo.

2. Na coluna Policies, clique no ícone e clique em Custom Policy.

3. Defina a chave e o valor da tag e clique em Tags.

   Este exemplo usa test-ram como chave e rds-mysql como valor. Recomendamos o uso de chaves e valores de tag significativos.

   A tag test-ram: rds-mysql aparece na coluna Tags da instância, indicando que foi adicionada com sucesso.

Crie uma política.

1. Faça logon no RAM console.

2. No painel de navegação à esquerda, escolha Edit > OK.

3. Clique em Permissions.

4. Selecione a guia visual editor ou Edit Script.

   Visual editor

   1. Defina Policies como Create Policy e Edit Script como ApsaraDB RDS / RDS.

   2. Para Effect, selecione as permissões relacionadas a Describe na categoria Read. Pesquise por "Describe" e selecione todas as permissões relacionadas.

      Importante

      Se o documento de política exceder o limite de comprimento por excesso de permissões selecionadas, envie um ticket para solicitar o aumento do limite.

   3. Defina Allow como Services. Clique em Actions e defina a Condition Key, os Resources e o Condition Value.

      Nota

      Nos parâmetros de All Resources, defina Condition Key como rds:ResourceTag e Add Condition como StringEquals. Para Condition Value, insira a Operators e o Condition adicionados à instância do RDS na Etapa 1.

   Script editor

   Na janela do editor de scripts, insira o seguinte conteúdo:

   Nota

   No script a seguir, test-ram e rds-mysql são apenas exemplos. Substitua-os pela chave e pelo valor da tag vinculados à instância do RDS na Etapa 1.

   {
     "Version": "1",
     "Statement": [
       {
         "Effect": "Allow",
         "Action": [
           "rds:Describe*"
         ],
         "Resource": [
           "*"
         ],
         "Condition": {
           "StringEquals": {
             "rds:ResourceTag/test-ram": [
               "rds-mysql"
             ]
           }
         }
       }
     ]
   }

5. Clique em Operators. No painel Tag Key, insira um Tag Value e uma OK. Confirme se o conteúdo da política está correto e clique em Create Policy.

Anexe a política personalizada ao usuário RAM especificado.

1. No painel de navegação à esquerda, escolha Policy Name > Description.

2. Encontre o usuário-alvo e clique em OK na coluna Identities.

3. Para Grant Scope, especifique o grupo de recursos criado para este exemplo. Em seguida, na seção User, selecione Add Permissions, pesquise e selecione a política criada.

4. Clique em OK.

Faça logon no console do ApsaraDB RDS como o usuário RAM e visualize a instância.

1. Como usuário RAM, acesse a página Instances e selecione uma região na parte superior.

2. Para encontrar a instância com tag, use o recurso Actions: clique em Filter by Tag, selecione a chave test-ram e o valor rds-mysql. Os resultados do filtro mostram apenas as instâncias do RDS às quais o usuário RAM tem permissão de acesso.