As políticas de somente leitura do RAM abrangem apenas operações de consulta Describe*. Como o download de arquivos de backup exige a ação CreateDownload (uma operação de escrita), usuários com acesso somente leitura não conseguem baixar backups por padrão. Para conceder acesso ao download sem liberar permissões completas no banco de dados, crie uma política personalizada com as duas ações necessárias e anexe-a ao usuário do RAM.
Pré-requisitos
Antes de começar, verifique se você tem:
Uma conta Alibaba Cloud com acesso administrativo ao Resource Access Management (RAM)
Um usuário do RAM existente com permissões somente leitura
Como funciona
O recurso Advanced Download utiliza o gerenciamento de políticas do RAM para autenticação. Para permitir que um usuário do RAM baixe arquivos de backup, crie uma política personalizada que conceda as permissões dbs:CreateDownload e dbs:DescribeDBInstanceDownloadSize e anexe-a ao usuário.
Caso o usuário do RAM não consiga criar ou consultar tarefas do Advanced Download, verifique se a política AliyunDBSFullAccess está anexada. Para mais informações, consulte Grant permissions to a RAM user .
Conceder permissões de download a um usuário do RAM
Faça login no console do RAM.
No painel de navegação à esquerda, escolha Permissions > Policies.
-
Clique em Create Policy. Na página exibida, clique em na aba JSON, insira o conteúdo da política abaixo e clique em OK. A política contém duas instruções: a primeira concede acesso de leitura às configurações de backup do RDS; a segunda libera as duas ações necessárias para criar tarefas de download e verificar o tamanho dos arquivos.
{ "Statement": [ { "Effect": "Allow", "Action": [ "rds:Describe*", "rds:ModifyBackupPolicy", "rds:CheckRegionSupportBackupEncryption" ], "Resource": "*" }, { "Effect": "Allow", "Action": [ "dbs:CreateDownload", "dbs:DescribeDBInstanceDownloadSize" ], "Resource": "*" } ], "Version": "1" } Na caixa de diálogo Create Policy, configure os campos Name e Description da política e clique em OK.
No painel de navegação à esquerda, escolha Permissions > Grants.
Clique em Grant Permission para anexar a nova política ao usuário do RAM. Para mais informações, consulte Grant permissions to a RAM user.
Clique em Grant permissions.
Bloquear acesso a URLs de advanced download
Para permitir que um usuário do RAM utilize o Data Disaster Recovery, mas impedir a obtenção de URLs para advanced downloads, crie uma política personalizada com uma instrução Deny e anexe-a ao usuário.
A política a seguir nega a ação que retorna URLs de download e mantém todas as demais operações do Data Disaster Recovery inalteradas.
{
"Version": "1",
"Statement": [
{
"Effect": "Deny",
"Action": "dbs:DescribeDownloadBackupsetStorageInfo",
"Resource": "*"
}
]
}Após criar a política personalizada, anexe-a ao usuário do RAM. Para mais informações, consulte Create custom policies e Grant permissions to a RAM user.