通过自定义策略授权RAM用户管理PolarDB

常见的自定义权限策略：

• 示例1：授权目标RAM用户管理2个指定的PolarDB集群。

  假设您的账号下拥有多个PolarDB集群，但作为RAM管理员，您希望仅授权其中的2个集群（集群ID分别为i-001和i-002）给目标RAM用户，那么您可以创建如下权限策略：

  {
    "Statement": [
      {
        "Action": "polardb:*",
        "Effect": "Allow",
        "Resource": [
                    "acs:polardb:*:*:dbinstance/i-001",
                    "acs:polardb:*:*:dbinstance/i-002"
                    ]
      },
      {
        "Action": "polardb:Describe*",
        "Effect": "Allow",
        "Resource": "*"
      }
    ],
    "Version": "1"
  }

  说明

  • 被授予该权限策略的RAM用户号可以查看所有的集群及资源，但只能管理已被授权的2个集群（即集群i-001和集群i-002）。同时作为RAM管理员，您仍然可以使用API、CLI或SDK直接管理上述两个集群。
  • Describe*在权限策略中是必须的，否则被授权的RAM用户无法在控制台看到任何集群。
• 示例2：仅授权PolarDB的部分功能给目标RAM用户。

  假设您希望仅授权PolarDB的部分功能给目标RAM用户，则可以创建如下权限策略：

  {
      "Statement": [
          {
              "Action": [
                "polardb:Describe*",
                "polardb:CreateBackup",
                "polardb:DeleteBackup",
                "polardb:ModifyDBClusterAccessWhitelist"
              ],
              "Resource": "*",
              "Effect": "Allow"
          }
      ],
      "Version": "1"
  }

  说明

  • 被授予该权限策略的目标RAM用户仅可以对账号下所有的PolarDB集群进行集群信息查询、备份查询、创建备份、删除备份、修改白名单操作，但不允许进行其他任何操作。
  • PolarDB支持通过RAM进行API级别的访问控制，您可以通过相关API对PolarDB进行细粒度的权限访问控制，详情请参见支持RAM的云服务和API概览。