操作步驟

1. 創建自定義權限策略。具體操作請參見創建自定義權限策略。

   常見的自定義權限策略：

   • 示例1：授權目標RAM用戶管理2個指定的PolarDB集群。

     假設您的賬號下擁有多個PolarDB集群，但作為RAM管理員，您希望僅授權其中的2個集群（集群ID分別為i-001和i-002）給目標RAM用戶，那么您可以創建如下權限策略：

     {
       "Statement": [
         {
           "Action": "polardb:*",
           "Effect": "Allow",
           "Resource": [
                       "acs:polardb:*:*:*/i-001",
                       "acs:polardb:*:*:*/i-002"
                       ]
         },
         {
           "Action": "polardb:Describe*",
           "Effect": "Allow",
           "Resource": "*"
         }
       ],
       "Version": "1"
     }

     說明

     • 被授予該權限策略的RAM用戶號可以查看所有的集群及資源，但只能管理已被授權的2個集群（即集群i-001和集群i-002）。同時作為RAM管理員，您仍然可以使用API、CLI或SDK直接管理上述兩個集群。

     • Describe*在權限策略中是必須的，否則被授權的RAM用戶無法在控制臺看到任何集群。

   • 示例2：僅授權PolarDB的部分功能給目標RAM用戶。

     假設您希望僅授權PolarDB的部分功能給目標RAM用戶，則可以創建如下權限策略：

     {
         "Statement": [
             {
                 "Action": [
                   "polardb:Describe*",
                   "polardb:CreateBackup",
                   "polardb:DeleteBackup",
                   "polardb:ModifyDBClusterAccessWhitelist"
                 ],
                 "Resource": "*",
                 "Effect": "Allow"
             }
         ],
         "Version": "1"
     }

     說明

     • 被授予該權限策略的目標RAM用戶僅可以對賬號下所有的PolarDB集群進行集群信息查詢、備份查詢、創建備份、刪除備份、修改白名單操作，但不允許進行其他任何操作。

     • PolarDB支持通過RAM進行API級別的訪問控制，您可以通過相關API對PolarDB進行細粒度的權限訪問控制，詳情請參見支持RAM的云服務和API概覽。

   • 示例3：限制目標RAM用戶的IP訪問。

     假設您希望限制目標RAM用戶的IP訪問，則可以創建如下權限策略：

     {
         "Version": "1",
         "Statement": [
             {
                 "Action": "*",
                 "Effect": "Allow",
                 "Resource": "*",
                 "Condition": {
                     "IpAddress": {
                         "acs:SourceIp": [
                             "xxx.xxx.x.x"
                         ]
                     }
                 }
             }
         ]
     }

     說明

     • 被授予該權限策略的目標RAM用戶僅可以從已被授權的IP地址對賬號下所有PolarDB集群進行管理操作。

     • 請將acs:SourceIp中的IP地址值修改為您實際環境的真實IP地址。

2. 為RAM用戶授權自定義策略。具體操作請參見為RAM用戶授權。