如何为RAM子账号授予单一RDS实例的访问权限？-阿里云开发者社区

如何为RAM子账号授予单一RDS实例的访问权限？

2023-11-14 62810

版权

本文内容由阿里云实名注册用户自发贡献，版权归原作者所有，阿里云开发者社区不拥有其著作权，亦不承担相应法律责任。具体规则请查看《阿里云开发者社区用户服务协议》和《阿里云开发者社区知识产权保护指引》。如果您发现本社区中有涉嫌抄袭的内容，填写侵权投诉表单进行举报，一经查实，本社区将立刻删除涉嫌侵权内容。

本文涉及的产品

RDS MySQL DuckDB 分析主实例，集群系列 4核8GB

简介： 在阿里云中，如何为RAM子账号进行精准授权，授予单一RDS实例的访问权限？这篇文档帮到你

问题背景

由于公司权限控制，需要对阿里云RDS MySQL实例的进行资源隔离，即单一RAM子账号只能访问特定的资源，下面我们举一个例子来看看如何处理。

操作流程

1、主账号下有两个RDS实例A和B，我们选其中实例A来赋予RAM子账号独立访问操作的权限

2、首先我们在RAM访问控制中创建RAM子账号。

3、创建自定义权限策略

{
  "Statement": [
    {
      "Action": "rds:Describe*",
      "Effect": "Allow",
      "Resource": "acs:rds:*:*:dbinstance/rm-bxxxxxxxxo"
    },
    {
      "Action": "rds:DescribeDBInstances",
      "Effect": "Allow",
      "Resource": "*"
    }
  ],
  "Version": "1"
}

RDS支持policy在resource中指定资源实例ID写法。

4、授权操作，确认后点击【完成】即可。具体详见为RAM账户授权。

授权成功。

5、使用对应的RAM账号登录验证：

6、此时，控制台还是能看到实例B。

7、访问实例A正常的，由于没有实例B的授权，因此点进实例页面会发现报错：“该实例不存在，请确认实例是否存在或已过期”，这个是因为没有授权导致。

这个问题的原因是由于单个实例授权在控制台现在不支持，实例列表页请求本身不带资源ID鉴权不会通过，现在只能支持到acs:rds:*:主账号uid:dbinstance/*这种策略，单一api调用是可以用实例级别的策略。

那能不能进一步优化，隐藏掉未指定的实例？接着往下看

1、首先我们使用主账号回到RAM访问控制>用户页面为RAM账户绑定标签，注意：Tag的key和value不要用大写字母。

2、因为在【资源管理/标签】对应的标签就自动创建了，我们再给实例绑定该标签。

3、验证下，按照标签检索

4、回到前面自定义的授权页面，变更授权

参考：权限策略由哪些元素组成_访问控制-阿里云帮助中心

5、变更后：

文本格式：

{
    "Statement": [
        {
            "Action": "rds:*",
            "Effect": "Allow",
            "Resource": "acs:rds:*:*:*",
            "Condition": {
                "StringEquals": {
                    "rds:ResourceTag/chytag": "test"
                }
            }
        },
        {
            "Action": "rds:DescribeTag*",
            "Effect": "Allow",
            "Resource": "*"
        }
    ],
    "Version": "1"
}

更详细授权如下：

{
    "Statement": [
        {
            "Action": "rds:Describe*",
            "Effect": "Allow",
            "Resource": "acs:rds:*:*:*",
            "Condition": {
                "StringEquals": {
                    "rds:ResourceTag/chytag": "test"
                }
            }
        },
        {
            "Action": "rds:DescribeTag*",
            "Effect": "Allow",
            "Resource": "*"
        },
        {
            "Action": [
                "rds:DescribeSQLCollectorVersion",
                "rds:DescribeVSwitches"
            ],
            "Effect": "Allow",
            "Resource": "acs:rds:*:*:*"
        },
        {
            "Action": [
                "hdm:Get*",
                "hdm:Describe*",
                "hdm:Query*"
            ],
            "Resource": "*",
            "Effect": "Allow"
        },
        {
            "Action": [
                "actiontrail:Lookup*",
                "actiontrail:Describe*",
                "actiontrail:Get*",
                "actiontrail:Check*",
                "actiontrail:List*"
            ],
            "Resource": "*",
            "Effect": "Allow"
        }
    ],
    "Version": "1"
}