O ApsaraDB RDS implementa controle de acesso multidimensional para garantir a segurança dos dados. Os dois mecanismos principais são as permissões baseadas em conta, que definem as ações permitidas aos usuários, e as listas de permissões de endereços IP, que controlam os hosts autorizados a se conectar. Aplique ambas as camadas conjuntamente para reduzir a superfície de ataque da instância de banco de dados.
Controle de acesso baseado em conta
O ApsaraDB RDS oferece suporte a dois tipos de conta com diferentes níveis de granularidade de permissão.
|
Tipo de conta |
Granularidade da permissão |
Recomendado para |
|
Conta padrão |
Nível de banco de dados: somente leitura, leitura/gravação, somente DDL ou somente DML |
Maioria das cargas de trabalho — conceda permissões no nível do banco de dados aos usuários da aplicação |
|
Conta privilegiada |
Nível de tabela, visualização e campo |
Controle refinado — utilize quando as permissões no nível do banco de dados forem muito amplas |
Para a maioria das cargas de trabalho, as contas padrão fornecem controle de acesso suficiente. Crie uma conta privilegiada apenas quando precisar restringir o acesso abaixo do nível do banco de dados.
Conta padrão
Uma conta padrão permite conceder permissões de somente leitura, leitura/gravação, somente DDL ou somente DML em bancos de dados específicos. Crie e gerencie contas padrão pelo console do ApsaraDB RDS ou pela API.
Para obter instruções de configuração, consulte Create an account on an ApsaraDB RDS for MySQL instance.
Conta privilegiada
A conta privilegiada oferece controle mais refinado, abrangendo os níveis de tabela, visualização e campo. Após criar uma conta privilegiada pelo console ou pela API, faça login na instância RDS com essa conta para criar contas padrão e conceder permissões detalhadas.
Para obter instruções de configuração, consulte Authorize accounts to manage tables, views, and fields.
Controle de acesso baseado em lista de permissões
As listas de permissões de endereços IP controlam quais hosts podem se conectar à instância RDS no nível de rede.
Por padrão, a lista de permissões de endereços IP contém apenas 127.0.0.1. Isso significa que a instância nega todas as conexões provenientes da Internet e de redes internas. Para permitir o acesso, adicione à lista de permissões os endereços IP que precisam se conectar à instância.
Configure as listas de permissões na página Data Security do console do ApsaraDB RDS ou pela API do ApsaraDB RDS. As atualizações da lista de permissões entram em vigor sem reinicialização da instância, evitando interrupções nas cargas de trabalho.
Para obter as etapas de configuração, consulte Configure a whitelist for an ApsaraDB RDS for MySQL instance.