Todos os produtos
Search

Este produto

    ApsaraDB RDS:Restrict RAM user permissions with RAM policies

    Central de documentação

    ApsaraDB RDS:Restrict RAM user permissions with RAM policies

    Última atualização: Oct 12, 2026

    Configure uma política do RAM e anexe-a a um usuário do RAM para restringir as operações desse usuário em instâncias do ApsaraDB RDS.

    Introdução

    O Alibaba Cloud fornece políticas de permissão do RAM para aumentar a segurança das instâncias do ApsaraDB RDS. É importante que você configure essas políticas para controlar o acesso em diversos cenários. Para mais informações, consulte RDS permission policy reference.

    Nota

    Para mais informações sobre as políticas do RAM, consulte Policy overview.

    Procedimento

    1. Faça logon no console do RAM.

    2. No painel de navegação à esquerda, escolha Permissions > Policies.

    3. Na página Policies, clique em Create Policy.

    4. Clique na aba Edit Script, edite o documento de política no editor de código e, em seguida, clique em OK.

      Nota

    5. Na caixa de diálogo exibida, insira um Policy Name e uma Description para a política, confirme se o conteúdo da política está correto e clique em OK.

      Nota

      Você pode personalizar o nome da política. O nome deve atender aos seguintes requisitos:

      • Deve ter de 1 a 128 caracteres.

      • Pode conter letras, dígitos e hifens (-).

    6. No painel de navegação à esquerda, escolha Permissions > Authorize, e então clique em Grant Permission.

      1. Selecione o Scope.

        • Alibaba Cloud Account: As permissões se aplicam aos recursos na conta atual do Alibaba Cloud.

        • Resource Group: As permissões se aplicam aos recursos no grupo de recursos especificado.

          Nota

          Para conceder permissões em um grupo de recursos, o service deve oferecer suporte a grupos de recursos. Para mais informações, consulte Services that work with Resource Group.

      2. Selecione um Principal.

        Nota

        O Principal é o usuário do RAM que você está autorizando. Insira o nome de usuário do RAM na caixa de pesquisa para encontrar o usuário do RAM de destino.

      3. Na seção Policies, clique em Custom Policy.

      4. Na lista de políticas, encontre a política que você criou na Etapa 4 e clique em OK.

        Nota

        Insira o nome da política na caixa de pesquisa para encontrar a política de destino.

    Referência de políticas do ApsaraDB RDS

    Categoria

    Nome da política

    Código

    Descrição

    Criação de instância

    CreateRdsWithNonDiskEncryptionForbidden

    Clique para expandir

    { 
  "Statement": [ 
    {
      "Action": [
        "rds:CreateDBInstance", 
        "rds:PreCheckCreateOrder", 
        "rds:CreateOrder"
      ], 
      "Effect": "Deny", 
      "Resource": "*", 
      "Condition": {
        "Bool": { 
          "rds:DiskEncryptionRequired": "false" 
        } 
      } 
    } 
  ], 
  "Version": "1" 
}

    Impede que o usuário crie uma instância do ApsaraDB RDS sem criptografia de disco.

    Nota

    Esta política se aplica apenas quando você cria uma instância primária. Ela não se aplica a outros cenários, como a criação de uma instância somente leitura ou a restauração de dados para uma nova instância.

    CreateRdsWithNonVPCNetworkTypeForbidden

    Clique para expandir

    { 
  "Statement": [
    {
      "Action": [
        "rds:CreateDBInstance",
        "rds:PreCheckCreateOrder",
        "rds:CreateOrder"
      ], 
      "Effect": "Deny", 
      "Resource": "*", 
      "Condition": { 
        "StringNotEquals": { 
          "rds:InstanceNetworkType": "VPC" 
        } 
      }
    } 
  ], 
  "Version": "1" 
}

    Bloqueia a criação de instâncias do ApsaraDB RDS com tipos de rede diferentes de Virtual Private Cloud (VPC).

    Nota

    Esta política se aplica apenas quando você cria uma instância primária. Ela não se aplica a outros cenários, como a criação de uma instância somente leitura ou a restauração de dados para uma nova instância.

    Configuração de rede

    DatabaseConnectionNonVPCNetworkTypeForbidden

    Clique para expandir

    {
  "Statement": [
    {
      "Action": "rds:ModifyDBInstanceNetworkType", 
      "Effect": "Deny", 
      "Resource": "*", 
      "Condition": {
        "StringNotEquals": {
          "rds:InstanceNetworkType": "VPC" 
        }
      }
    }
  ],
  "Version": "1" 
}

    Não permite que o usuário altere o tipo de rede de uma instância do ApsaraDB RDS para rede clássica.

    Configuração de segurança

    DataSecuritySSLDisabledForbidden

    Clique para expandir

    { 
  "Statement": [
    {
      "Action": "rds:ModifyDBInstanceSSL", 
      "Effect": "Deny", 
      "Resource": "*", 
      "Condition": {
        "StringEquals": { 
          "rds:SSLEnabled": "0" 
        }
      }
    }
  ],
  "Version": "1" 
}

    Proíbe a desativação da criptografia SSL em uma instância do ApsaraDB RDS.

    DataSecurityTDEDisabledForbidden

    Clique para expandir

    { 
  "Statement": [
    {
      "Action": "rds:ModifyDBInstanceTDE", 
      "Effect": "Deny",
      "Resource": "*",
      "Condition": {
        "StringNotEquals": {
          "rds:TDEStatus": "Enabled" 
        }
      }
    }
  ], 
  "Version": "1"
}

    Impede o usuário de desativar a Transparent Data Encryption (TDE) em uma instância do ApsaraDB RDS.

    Configuração de proxy de banco de dados

    DatabaseProxyWithNonVPCNetworkTypeForbidden

    Clique para expandir

    { 
  "Statement": [
    { 
      "Action": "rds:ModifyDBProxy",
      "Effect": "Deny",
      "Resource": "*",
      "Condition": { 
        "StringNotEquals": {
          "rds:InstanceNetworkType": "VPC"
        }
      }
    }
  ],
  "Version": "1" 
}

    Restringe a especificação de um endpoint público ao ativar o recurso de proxy de banco de dados para uma instância do ApsaraDB RDS.

    DatabaseProxyCreateEndpointAddressWithNonVPCNetworkTypeForbidden

    Clique para expandir

    {
  "Statement": [
    {
      "Action": "rds:CreateDBProxyEndpointAddress", 
      "Effect": "Deny",
      "Resource": "*",
      "Condition": { 
        "StringNotEquals": {
          "rds:DBProxyConnectStringNetType": "VPC"
        }
      }
    }
  ],
  "Version": "1" 
}

    Bloqueia o usuário de especificar um endpoint público ao criar um endpoint para o proxy de banco de dados de uma instância do ApsaraDB RDS.

    DatabaseProxyModifyEndpointAddressWithNonVPCNetworkTypeForbidden

    Clique para expandir

    { 
  "Statement": [
    {
      "Action": "rds:ModifyDBProxyEndpointAddress",
      "Effect": "Deny", 
      "Resource": "*",
      "Condition": {
        "StringNotEquals": {
          "rds:DBProxyConnectStringNetType": "VPC"
        }
      }
    }
  ],
  "Version": "1" 
}

    Não permite a especificação de um endpoint público durante a modificação de um endpoint para o proxy de banco de dados de uma instância do ApsaraDB RDS.

    DatabaseProxyDbProxyInstanceSslDisabledForbidden

    Clique para expandir

    { 
  "Statement": [
    {
      "Action": "rds:ModifyDbProxyInstanceSsl",
      "Effect": "Deny",
      "Resource": "*", 
      "Condition": {
        "StringEquals": {
          "rds:DbProxySslEnabled": "0" 
        }
      }
    }
  ], 
  "Version": "1" 
}

    Proíbe que o usuário desative a criptografia SSL para o proxy de banco de dados de uma instância do ApsaraDB RDS.

    Configuração de backup

    BackupAndRestorationCrossBackupDisabledForbidden

    Clique para expandir

    { 
  "Statement": [
    {
      "Action": "rds:ModifyInstanceCrossBackupPolicy",
      "Effect": "Deny", 
      "Resource": "*",
      "Condition": { 
        "StringNotEquals": {
          "rds:BackupEnabled": "1" 
        }
      }
    },
    {
      "Action": "rds:ModifyInstanceCrossBackupPolicy",
      "Effect": "Deny", 
      "Resource": "*",
      "Condition": { 
        "StringNotEquals": {
          "rds:LogBackupEnabled": "1" 
        } 
      }
    }
  ],
  "Version": "1"
}

    Impede a desativação do backup entre regiões para uma instância do ApsaraDB RDS.

    BackupAndRestorationBackupPolicyDisabledForbidden

    Clique para expandir

    { 
  "Statement": [
    {
      "Action": "rds:ModifyBackupPolicy",
      "Effect": "Deny",
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "rds:EnableBackupLog": "0"
        }
      }
    },
    {
      "Action": "rds:ModifyBackupPolicy",
      "Effect": "Deny", 
      "Resource": "*",
      "Condition": { 
        "StringEquals": {
          "rds:BackupLog": "Disabled"
        }
      }
    }
  ],
  "Version": "1"
}

    Bloqueia o usuário de desativar o backup de log para uma instância do ApsaraDB RDS.

    Histórico de eventos

    EventCenterActionEventEnableEventLogForbidden

    Clique para expandir

    { 
  "Statement": [
    { 
      "Action": "rds:ModifyActionEventPolicy",
      "Effect": "Deny",
      "Resource": "*",
      "Condition": { 
        "StringNotEquals": {
          "rds:EnableEventLog": "False"
        }
      }
    }
  ],
  "Version": "1" 
}

    Não permite que o usuário ative o histórico de eventos para uma instância do ApsaraDB RDS.