权限管理-九游平台
如果您需要对华为云上购买的数据复制服务（data replication service）资源，给企业中的员工设置不同的访问权限，以达到不同员工之间的权限隔离，您可以使用统一身份认证服务（identity and access management，简称iam）进行精细的权限管理。该服务提供用户身份认证、权限分配、访问控制等功能，可以帮助您安全的控制华为云资源的访问。
通过iam，您可以在华为账号中给员工创建iam用户，并授权控制他们对华为云资源的访问范围。例如您的员工中有负责软件开发的人员，您希望他们拥有数据复制服务（data replication service）的使用权限，但是不希望他们拥有删除数据复制服务资源等高危操作的权限，那么您可以使用iam为开发人员创建用户，通过授予仅能使用数据复制服务资源，但是不允许删除数据复制服务资源的权限，控制他们对数据复制服务资源的使用范围。
如果华为账号已经能满足您的要求，不需要创建独立的iam用户进行权限管理，您可以跳过本章节，不影响您使用数据复制服务的其它功能。
iam是华为云提供权限管理的基础服务，无需付费即可使用，您只需要为您账号中的资源进行付费。关于iam的详细介绍，请参见《iam产品介绍》。
drs权限
默认情况下，管理员创建的iam用户没有任何权限，需要将其加入用户组，并给用户组授予策略或角色，才能使得用户组中的用户获得对应的权限，这一过程称为授权。授权后，用户就可以基于被授予的权限对云服务进行操作。
drs部署时通过物理区域划分，为项目级服务。授权时，“作用范围”需要选择“区域级项目”，然后在指定区域（如华北-北京四）对应的项目（cn-north-4）中设置相关权限，并且该权限仅对此项目生效；如果在“所有项目”中设置权限，则该权限在所有区域项目中都生效。访问drs时，需要先切换至授权区域。
- 角色：iam最初提供的一种根据用户的工作职能定义权限的粗粒度授权机制。该机制以服务为粒度，提供有限的服务相关角色用于授权。由于华为云各服务之间存在业务依赖关系，因此给用户授予角色时，可能需要一并授予依赖的其他角色，才能正确完成业务。角色并不能满足用户对精细化授权的要求，无法完全达到企业对权限最小化的安全管控要求。
- 策略：iam最新提供的一种细粒度授权的能力，可以精确到具体服务的操作、资源以及请求条件等。基于策略的授权是一种更加灵活的授权方式，能够满足企业对权限最小化的安全管控要求。例如：针对ecs服务，管理员能够控制iam用户仅能对某一类云服务器资源进行指定的管理操作。多数细粒度策略以api接口为粒度进行权限拆分。
如表1所示，包括了drs的所有系统权限。
|
策略名称/系统角色 |
描述 |
类别 |
依赖关系 |
|---|---|---|---|
|
security administrator |
安全管理员。 为了提高数据复制服务的可用性，您需要在正式使用数据复制服务之前，在统一身份认证服务用户组管理中添加security administrator全局权限，避免由于权限问题造成某些功能不可用，如定时启动任务、全量完成自动结束、自动重试失败任务等自动功能。如果自动功能不可用，可参考常见问题drs创建任务后执行自动功能失败。 |
系统角色 |
无。 |
|
drs administrator |
数据复制服务的管理员。 该权限为使用数据复制服务时必须添加的基础权限。 |
系统角色 |
依赖tenant guest、server administrator和rds administrator角色。
|
|
drs fullaccess |
数据复制服务所有执行权限。 |
系统策略 |
依赖vpc fullaccess、rds readonlyaccess、smn administrator、obs administrator、eps readonlyaccess策略。
如果为包周期任务需要配置如下权限： bss operator或bss administrator |
|
drs readonlyaccess |
数据复制服务资源只读权限。 |
系统策略 |
根据选择需要配置如下策略： rds readonlyaccess：选择rds需要配置。 smn administrator：消息通知需要配置。 |
|
drs fullwithoutdeletepermission |
数据复制服务除删除外的所有权限 |
系统策略 |
依赖vpc fullaccess、rds readonlyaccess、smn administrator、obs administrator策略。
如果为包周期任务需要配置如下权限： bss operator或bss administrator |
除了以上权限外，还需要根据选择配置对应数据库实例的读权限，例如界面选择ddm需要配置ddm readonlyaccess权限，选择dds需要配置dds readonlyaccess权限。
表2列出了数据复制服务常用操作与系统权限的授权关系，您可以参照该表选择合适的系统权限。
|
操作 |
drs fullaccess |
drs readonlyaccess |
drs administrator |
drs fullwithoutdeletepermission |
|---|---|---|---|---|
|
创建任务 |
√ |
x |
√ |
√ |
|
编辑任务 |
√ |
x |
√ |
√ |
|
删除任务 |
√ |
x |
√ |
x |
|
启动任务 |
√ |
x |
√ |
√ |
|
重试任务 |
√ |
x |
√ |
√ |
|
结束任务 |
√ |
x |
√ |
√ |
表3列出了drs常用操作以及对应的授权项，您可以参照该表自定义配置权限策略。
|
权限 |
授权项 |
备注 |
|---|---|---|
|
查询rpo和rto |
drs:dataguardjob:list |
无。 |
|
主备倒换 |
drs:disasterrecoveryjob:switchover |
无。 |
|
任务操作 |
drs:migrationjob:action |
需要在项目上配置vpc fullaccess权限。 需要配置对应实例的读权限，例如数据库为rds，需要配置rds readonlyaccess权限，为dds需要配置dds readonlyaccess权限。 备份任务需要配置obs administrator权限。 |
|
终止迁移任务 |
drs:migrationjob:terminate |
需要在项目上配置如下权限： vpc fullaccess rds readonlyaccess 备份任务需要配置如下权限： obs administrator 消息通知需要配置如下权限： smn administrator |
|
修改迁移任务 |
drs:migrationjob:modify |
界面选择vpc、子网需要配置如下权限： vpc fullaccess 需要配置对应实例的读权限，例如界面选择rds需要配置rds readonlyaccess权限，选择dds需要配置dds readonlyaccess权限。 消息通知需要配置如下权限： smn administrator |
|
创建迁移任务 克隆任务 |
drs:migrationjob:create |
界面选择vpc、子网需要配置如下权限： vpc fullaccess 需要配置对应实例的读权限，例如界面选择rds需要配置rds readonlyaccess权限，选择dds需要配置dds readonlyaccess权限。 消息通知需要配置如下权限： smn administrator 如果为包周期任务需要配置如下权限： bss operator或bss administrator |
|
删除迁移任务 |
drs:migrationjob:delete |
无。 |
|
更新迁移用户信息 |
drs:migrationjob:modifyuserinfo |
需要配置对应实例的读权限，例如数据库为rds时，需要在项目上配置rds readonlyaccess权限。 |
|
迁移速度控制 |
drs:migrationjob:setmigrationtransspeed |
无。 |
|
修改数据库参数 |
drs:databaseparams:modify |
需要配置对应实例的读权限，例如数据库为rds时，需要在项目上配置rds readonlyaccess权限。 |
|
更新数据加工信息 |
drs:datatransformation:update |
需要配置对应实例的读权限，例如数据库为rds时，需要在项目上配置rds readonlyaccess权限。 |
|
添加数据加工信息 |
drs:datatransformation:add |
需要配置对应实例的读权限，例如数据库为rds时，需要在项目上配置rds readonlyaccess权限。 |
|
删除数据加工数据接口 |
drs:datatransformation:delete |
无。 |
|
更新数据库对象选择信息 |
drs:migrationjob:update |
需要配置对应实例的读权限，例如数据库为rds时，需要在项目上配置rds readonlyaccess权限。 |
|
更新同步任务忽略策略 |
drs:synchronizationjob:update |
无。 |
|
更新任务配置 |
drs:migrationjob:updatejobconfig |
无。 |
|
更新过滤ddl策略 |
drs:migrationjob:updateddlpolicy |
无。 |
|
修改对比策略 |
drs:healthcompare:modify |
无。 |
|
停止对比任务 |
drs:healthcompare:stop |
无。 |
|
创建对象级表对比任务 |
drs:migrationcomparejob:create |
无。 |
|
取消数据级表对比任务 |
drs:migrationcomparejob:delete |
无。 |
|
立即启动数据级表对比任务 |
drs:migrationcomparejob:start |
无。 |
|
创建订阅任务 |
drs:subscriptionjob:create |
界面选择rds实例需要配置如下权限： rds readonlyaccess 消息通知需要配置如下权限： smn administrator 在项目上需要配置如下权限: vpc fullaccess |
|
修改订阅任务 |
drs:subscriptionjob:update |
界面选择rds实例需要配置如下权限： obs administrator rds readonlyaccess 消息通知需要配置如下权限： smn administrator 在项目上需要配置如下权限: vpc fullaccess |
|
编辑订阅任务信息 |
drs:subscriptionjob:edit |
界面选择桶、rds实例需要配置如下权限： obs administrator rds readonlyaccess 消息通知需要配置如下权限： smn administrator 还需要配置如下权限: vpc fullaccess |
|
删除订阅任务 |
drs:subscriptionjob:delete |
无。 |
|
操作订阅任务 |
drs:subscriptionjob:subscribe |
需要在项目上配置如下权限： vpc fullaccess rds readonlyaccess 备份任务需要配置如下权限： obs administrator 消息通知需要配置如下权限： smn administrator |
|
修改消费时间点 |
drs:subscriptionjob:updateconsumetime |
无。 |
|
创建备份迁移任务v2.0 |
drs:backupmigrationjob:create |
界面选择桶、rds实例需要配置如下权限： obs administrator rds readonlyaccess 消息通知需要配置如下权限： smn administrator |
|
删除备份迁移任务 |
drs:backupmigrationjob:delete |
无。 |
|
修改备份迁移任务信息 |
drs:backupmigrationjob:modify |
界面选择桶、rds实例需要配置如下权限： obs administrator rds readonlyaccess 消息通知需要配置如下权限： smn administrator |
|
冻结解冻 |
drs:frozenorunfreezejob:frozen |
无。 |
|
资源清理 |
drs:cleanjob:clean |
需要配置vpc fullaccess权限。 |
|
校验备份任务名称 |
drs:backupmigrationjob:check |
无。 |
|
校验数据加工 |
drs:datatransformation:check |
无。 |
|
校验在线任务名称 |
drs:migrationjob:check |
无。 |
|
获取数据库参数 |
drs:databaseparameters:get |
无。 |
|
查询备份迁移任务列表 |
drs:backupmigrationjob:list |
无。 |
|
查询备份迁移任务详细信息 |
drs:backupmigrationjob:get |
无。 |
|
获取订阅任务详情 |
drs:subscriptionjob:get |
需要配置对应实例的读权限，例如数据库为rds时，需要在项目上配置rds readonlyaccess权限。 |
|
查询操作结果 |
drs:job:getresult |
无。 |
|
获取任务价格信息 |
drs:migrationjob:getmeteringprice |
无。 |
|
查询数据加工信息 |
drs:migrationtransformationjob:get |
无。 |
|
获取任务预检查结果 |
drs:precheckjob:get |
无。 |
|
获取对象级迁移对比概览 |
drs:comparejob:getoverview |
无。 |
|
查询数据级表对比任务列表 |
drs:comparejob:list |
无。 |
|
查询数据级表对比任务结果 |
drs:comparejob:getresult |
无。 |
|
获取对象级迁移对比详细信息 |
drs:comparejob:getdetails |
无。 |
|
查询数据级表对比任务详细信息 |
drs:comparejob:getcontentsinfo |
无。 |
|
查询对比任务预估时间 |
drs:comparejob:getestimatetime |
无。 |
|
查询内容对比总览 |
drs:comparejob:getcontentoverview |
无。 |
|
查询行数对比总览 |
drs:comparejob:getlineoverview |
无。 |
|
查询行数对比详情 |
drs:comparejob:getlinedetail |
无。 |
|
获取用户对比详情 |
drs:comparejob:getaccountdetails |
无。 |
|
查询内容对比详情 |
drs:comparejob:getcontentdetail |
无。 |
|
查询内容对比差异 |
drs:comparejob:getcontentdiff |
无。 |
|
获取在线迁移任务列表 |
drs:migrationjob:list |
无。 |
|
获取在线迁移任务详情 |
drs:migrationjob:get |
需要配置对应实例的读权限，例如数据库为rds时，需要在项目上配置rds readonlyaccess权限。 |
|
获取对象级迁移对比概览 |
drs:migrationjob:getcomparestruct |
无。 |
|
获取数据级流式对比 |
drs:migrationjob:getstreamcomparison |
无。 |
|
获取源库迁移用户列表 |
drs:migrationjob:getsrcusers |
需要配置对应实例的读权限，例如数据库为rds时，需要在项目上配置rds readonlyaccess权限。 |
|
获取指定任务迁移进度 |
drs:migrationjob:getspecifiedprogress |
无。 |
|
获取指定任务数据库影响时间 |
drs:migrationjob:geteffecttime |
无。 |
|
查询迁移进度 |
drs:migrationjobs:getprogress |
无。 |
|
查询健康对比报告列表 |
drs:healthcomparejob:list |
无。 |
|
获取对象级迁移对比概览 |
drs:healthcomparejob:getoverview |
无。 |
|
获取对象级对比详细信息 |
drs:healthcomparejob:getobjectdetail |
无。 |
|
获取用户对比详情 |
drs:healthcomparejob:getaccountdetails |
无。 |
|
查询行数对比详情 |
drs:healthcomparejob:getlinedetail |
无。 |
|
查询对比策略 |
drs:healthcomparejob:getcomparepolicy |
无。 |
|
获取容灾监控数据 |
drs:disasterrecoveryjob:get |
需要配置如下权限： ces readonlyaccess |
|
获取指定任务的rpo&rto |
drs:dataguardjob:list |
无。 |
|
获取回放故障列表 |
drs:replayfaultsjob:list |
无。 |
|
数据加工 |
drs:migrationjob:action |
需要配置对应实例的读权限，例如数据库为rds时，需要在项目上配置rds readonlyaccess权限。 |
|
启动任务 |
drs:migrationjob:action |
需要配置vpc fullaccess权限。 |
|
查询任务详情 |
drs:migrationjob:get |
需要配置对应实例读权限，比如数据库为rds时，需要在项目上配置rds readonlyaccess权限。 |
|
查询任务状态 |
drs:migrationjob:get |
无。 |
|
查询资源标签 |
drs:tag:get |
无。 |
|
删除资源标签 |
drs:tags:delete |
无。 |
|
添加资源标签 |
drs:tag:add |
无。 |
|
修改资源标签 |
drs:tag:modify |
无。 |
|
获取迁移日志 |
drs:migrationjob:getlog |
无。 |
|
查询涉及到的kafka的topic信息 |
drs:kafkajob:get |
无。 |
|
获取支持特性列表 |
drs:supportfeature:get |
无。 |
|
查询特性白名单 |
drs:featurewhitejob:list |
无。 |
|
查询需调整的配额 |
drs:quota:adjust |
无。 |
|
更新配额 |
drs:quota:update |
无。 |
|
查询配额 |
drs:quota:get |
无。 |
|
更新用户指引 |
drs:userguide:update |
无。 |
|
获取用户指引详情 |
drs:userguide:list |
无。 |
|
查询预定义标签 |
- |
查询预定义标签需要配置： tms:resourcetags:list |
|
查询配置日志组 |
- |
查询配置日志组需要配置： lts:groups:get |
|
查询配置日志流 |
- |
查询配置日志流需要配置： lts:topics:get |
|
获取实时同步任务列表 |
drs:synchronizationjob:list |
无。 |
|
获取实时同步任务详情 |
drs:synchronizationjob:get |
无。 |
|
获取实时灾备任务详情 |
drs:dataguardjob:get |
无。 |
|
获取数据订阅任务列表 |
drs:subscriptionjob:list |
无。 |
|
获取录制回放任务列表 |
drs:replayjob:list |
无。 |
|
获取录制回放任务详情 |
drs:replayjob:get |
无。 |
相关链接
相关文档
意见反馈
文档内容是否对您有帮助？
如您有其它疑问，您也可以通过华为云社区问答频道来与我们联系探讨
