API参考 - API参考 - RAM资源授权
描述
您通过云账号创建的RDS实例，都是该账号自己拥有的资源。默认情况下，账号对自己的资源拥有完整的操作权限。
通过使用阿里云的RAM（Resource Access Management）服务，您可以将您云账号下RDS资源的访问及管理权限授予RAM中的子用户。
目前，可以在RAM中进行授权的资源类型只有dbinstance。在通过RAM进行授权时，资源的描述方式如下：
请求参数
acs:rds:$regionid:$accountid:dbinstance/
acs:rds:::dbinstance/
参数说明：
$regionid
$dbinstanceid
$accountid
RDS API的鉴权规则
当子用户通过API访问RDS时，RDS后台会向RAM进行权限检查，以确保调用者拥有相应权限。每个API会根据涉及到的资源以及API的语义来确定需要检查哪些资源的权限。每个API的鉴权规则如下表所示：
展开
收起
版权声明：本文内容由阿里云实名注册用户自发贡献，版权归原作者所有，阿里云开发者社区不拥有其著作权，亦不承担相应法律责任。具体规则请查看《阿里云开发者社区用户服务协议》和《阿里云开发者社区知识产权保护指引》。如果您发现本社区中有涉嫌抄袭的内容，填写侵权投诉表单进行举报，一经查实，本社区将立刻删除涉嫌侵权内容。
阿里云 AI 助理回答
在阿里云环境中，通过Resource Access Management (RAM) 服务，您可以灵活地将云账号下RDS资源的访问及管理权限授予给RAM子用户。以下是关于如何利用RAM进行RDS实例授权的具体指导：
RDS资源类型与授权描述方式
- 资源类型：目前支持授权的RDS资源类型为
dbinstance。 - 授权策略中的资源描述方式：
- 具体格式：
acs:rds:$regionid:$accountid:dbinstance/$dbinstanceid - 参数说明：
$regionid：地域ID，可使用通配符*代表所有地域。$dbinstanceid：RDS实例名称，同样可以使用*作为通配符。$accountid：云账号的数字ID，亦可用*表示所有账号。
- 具体格式：
RAM中资源授权步骤概览
- 登录RAM控制台，导航至权限管理 > 权限策略。
- 点击创建权限策略，选择可视化编辑或脚本编辑方式。
- 配置权限策略，确保至少包含必要的读操作（如
DescribeDBInstances），以允许查看实例列表。 - 在资源部分，根据需要选择全部资源或精确指定资源，使用上述资源描述方式。
- 保存策略，并为其命名及添加备注。
- 将此自定义策略应用到目标RAM用户：进入身份管理 > 用户，找到目标用户并点击添加权限，选择已创建的策略并确认授权。
API鉴权规则
每项RDS API调用都会触发权限检查，确保调用者具备相应权限。例如，CreateDBInstance、DeleteDBInstance等API要求具有特定实例级别的权限，其资源描述遵循上述格式。这意味着，当配置策略时，需精确匹配API所需的操作和资源，确保子用户能够执行期望的操作。
注意事项
- 最小权限原则：仅赋予完成任务所需的最小权限集合，避免过度授权。
- 资源ARN配置：正确填写资源ARN是权限生效的关键，务必根据实际需求选择合适的资源范围。
- 定期审查：随着业务发展，定期回顾和调整RAM策略，保持权限设置的最新和最安全状态。
综上所述，通过细致配置RAM权限策略，您可以安全且高效地控制子用户对RDS实例的访问权限，满足不同场景下的权限管理需求。
有帮助
无帮助
AI 助理回答生成答案可能存在不准确，仅供参考
相关问答