更新时间:2025-12-02 gmt 08:00

云数据库 gaussdb-j9九游会登录

云服务在iam预置了常用授权项,称为系统策略。如果iam系统身份策略无法满足授权要求,管理员可以根据各j9九游会登录的服务支持的授权项,创建iam自定义身份策略来进行精细的访问控制,iam自定义身份策略是对系统身份策略的扩展和补充。

除iam服务外,organizations服务中的服务控制策略(service control policies,以下简称scp)也可以使用这些授权项元素设置访问控制策略。

scp不直接进行授权,只划定权限边界。将scp绑定到组织单元或者成员账号时,并没有直接对组织单元或成员账号授予操作权限,而是规定了成员账号或组织单元包含的成员账号的授权范围。iam身份策略授予权限的有效性受scp限制,只有在scp允许范围内的权限才能生效。

iam服务与organizations服务在使用这些元素进行访问控制时,存在着一些区别,详情请参见:iam服务与organizations服务权限访问控制的区别

本章节介绍iam服务身份策略授权场景中自定义身份策略和组织服务中scp使用的元素,这些元素包含了操作(action)、资源(resource)和条件(condition)

操作(action)

操作(action)即为身份策略中支持的授权项。

  • “访问级别”列描述如何对操作进行分类(list、read和write等)。此分类可帮助您了解在身份策略中相应操作对应的访问级别。
  • “资源类型”列指每个操作是否支持资源级权限。
    • 资源类型支持通配符号*表示所有。如果此列没有值(-),则必须在身份策略语句的resource元素中指定所有资源类型(“*”)。
    • 如果该列包含资源类型,则必须在具有该操作的语句中指定该资源的urn。
    • 资源类型列中必需资源在表中用星号(*)标识,表示使用此操作必须指定该资源类型。

    关于gaussdb定义的资源类型的详细信息请参见资源类型(resource)

  • “条件键”列包括了可以在身份策略语句的condition元素中gaussdb支持指定的键值。如果此列没有值(-),表示此操作不支持指定条件键。

    关于gaussdb定义的条件键的详细信息请参见条件(condition)

  • 别名”列包括了可以在身份策略中配置的策略授权项。通过这些授权项,可以控制支持策略授权的api访问。详细信息请参见身份策略兼容性说明

您可以在身份策略语句的action元素中指定以下gaussdb的相关操作。

表1 gaussdb支持的授权项

授权项

描述

访问级别

资源类型(*为必须)

条件键

别名

gaussdb:backup:createbackup

授予创建数据库实例手动备份的权限。

write

instance

-

gaussdb:backup:create

gaussdb:backup:deletebackup

授予删除备份的权限。

write

instance

-

gaussdb:backup:delete

gaussdb:backup:listall

授予查询备份列表的权限。

list

instance

-

gaussdb:backup:list

gaussdb:instance:updatebackuppolicy

授予设置备份策略的权限。

write

instance

gaussdb:backupenabled

  • gaussdb:backup:enable
  • gaussdb:backup:switchtablebackup
  • gaussdb:instance:modifybackuppolicy

gaussdb:param:applyparam

授予应用参数模板的权限。

write

instance

-

  • gaussdb:param:apply
  • gaussdb:param:modify
  • gaussdb:instance:modifyparameter

gaussdb:tag:create

授予添加资源标签的权限。

tagging

instance

-

gaussdb:instance:dealtag

gaussdb:instance:bindeip

授予绑定弹性公网ip的权限。

write

instance

-

  • gaussdb:instance:bindpublicip
  • gaussdb:instance:modify

gaussdb:instance:check

授予校验实例相关信息的权限。

read

instance

-

gaussdb:instance:list

gaussdb:instance:createinstance

授予创建数据库实例的权限。

write

instance

rds:instance:create

gaussdb:instance:createdatabase

授予创建数据库的权限。

write

instance

-

gaussdb:instance:modify

gaussdb:instance:createdatabaseschema

授予创建数据库schema的权限。

write

instance

-

gaussdb:instance:modify

gaussdb:instance:createdatabaseuser

授予创建数据库用户的权限。

write

instance

-

gaussdb:instance:modify

gaussdb:instance:deleteinstance

授予删除数据库实例的权限。

write

instance

-

gaussdb:instance:delete

gaussdb:instance:get

授予查询实例详情的权限。

read

instance

-

gaussdb:instance:list

gaussdb:instance:getbackuppolicy

授予查询自动备份策略的权限。

read

instance

-

  • gaussdb:instance:list
  • gaussdb:backup:list

gaussdb:instance:getbalancestatus

授予查询实例主备平衡状态的权限。

read

instance

-

gaussdb:instance:list

gaussdb:instance:getdiskusage

授予查询磁盘使用率的权限。

read

instance

-

gaussdb:instance:list

gaussdb:instance:getrecyclepolicy

授予查看实例回收备份策略的权限。

read

instance

-

gaussdb:instance:list

gaussdb:instance:downloadsslcert

授予下载实例ssl证书的权限。

read

instance

-

gaussdb:instance:list

gaussdb:instance:grantdatabaseprivilege

授予授权数据库账号的权限。

write

instance

-

gaussdb:instance:modify

gaussdb:instance:listall

授予查询数据库实例列表的权限。

list

instance

-

gaussdb:instance:list

gaussdb:instance:listpublicips

授予查询实例已绑定eip列表的权限。

list

instance

-

gaussdb:instance:list

gaussdb:instance:listcomponents

授予查询实例组件列表的权限。

list

instance

-

gaussdb:instance:list

gaussdb:instance:listdatabases

授予查询数据库列表的权限。

list

instance

-

gaussdb:instance:list

gaussdb:instance:listdatabaseusers

授予查询数据库用户列表的权限。

list

instance

-

gaussdb:instance:list

gaussdb:tag:listall

授予查询资源标签列表的权限。

list

instance

-

gaussdb:instance:list

gaussdb:quota:listall

授予查询配额列表的权限。

list

instance

-

gaussdb:instance:list

gaussdb:instance:listrecoverabletimes

授予查询备份可恢复时间段的权限。

list

instance

-

  • gaussdb:instance:list
  • gaussdb:backup:list

gaussdb:instance:listschemas

授予查询数据库schema列表的权限。

list

instance

-

gaussdb:instance:list

gaussdb:instance:renameinstance

授予重置实例名称的权限。

write

instance

-

  • gaussdb:instance:modify
  • gaussdb:instance:rename

gaussdb:instance:resetpassword

授予重置数据库密码的权限。

write

instance

-

  • gaussdb:instance:modify
  • gaussdb:instance:modifypasswd
  • gaussdb:instance:modifydatabasepasswd

gaussdb:instance:resizeflavor

授予变更实例规格的权限。

write

instance

-

  • gaussdb:instance:modify
  • gaussdb:instance:modifyspec

gaussdb:instance:restartinstance

授予重启数据库实例的权限。

write

instance

-

  • gaussdb:instance:modify
  • gaussdb:instance:restart

gaussdb:instance:setrecyclepolicy

授予设置实例回收备份策略的权限。

write

instance

-

gaussdb:instance:modifybackuppolicy

gaussdb:instance:switchshard

授予分片节点主备切换的权限。

write

instance

-

gaussdb:instance:modify

gaussdb:instance:extend

授予扩容相关操作的权限。

write

instance

-

gaussdb:instance:modifyspec

gaussdb:param:update

授予修改参数组的权限。

write

instance

-

  • gaussdb:param:modify
  • gaussdb:instance:modify
  • gaussdb:instance:modifyparameter

gaussdb:param:check

授予校验参数组的权限。

read

instance

-

  • gaussdb:param:list
  • gaussdb:instance:list

gaussdb:param:copy

授予复制参数模板的权限。

write

instance

-

gaussdb:param:create

gaussdb:param:createparam

授予创建参数组的权限。

write

instance

-

  • gaussdb:param:create
  • gaussdb:param:modify

gaussdb:param:deleteparam

授予删除参数组的权限。

write

instance

-

gaussdb:param:delete

gaussdb:param:get

授予查询参数配置详情的权限。

read

instance

-

  • gaussdb:param:list
  • gaussdb:instance:list

gaussdb:param:compare

授予比较两个参数模板之间差异的权限。

read

instance

-

gaussdb:param:list

gaussdb:param:listall

授予查询参数组列表的权限。

list

instance

-

  • gaussdb:param:list
  • gaussdb:instance:list

gaussdb:param:reset

授予重置参数模板的权限。

write

instance

-

gaussdb:param:modify

gaussdb:quota:update

授予修改配额的权限。

write

instance

-

gaussdb:quota:modify

gaussdb:task:listall

授予查询任务列表的权限。

list

instance

-

gaussdb:instance:list

gaussdb:task:delete

授予删除任务记录的权限。

write

instance

-

gaussdb:instance:list

gaussdb:task:get

授予查询任务详情的权限。

read

instance

-

gaussdb:instance:list

gaussdb的api通常对应着一个或多个授权项。如下表展示了api与授权项的关系,以及该api需要依赖的授权项。

表2 实例管理

权限

api

对应的授权项

依赖的授权项

创建数据库实例

post /v3/{project_id}/instances

gaussdb:instance:createinstance

-

扩容数据库实例的磁盘空间

post /v3/{project_id}/instances/{instance_id}/action

gaussdb:instance:extend

-

删除数据库实例

delete /v3/{project_id}/instances/{instance_id}

gaussdb:instance:delete

-

查询数据库实例列表

get /v3/{project_id}/instances

gaussdb:instance:listall

-

重置数据库密码

post /v3/{project_id}/instances/{instance_id}/password

gaussdb:instance:resetpassword

-

修改实例名称

put /v3/{project_id}/instances/{instance_id}/name

gaussdb:instance:rename

-

重启数据库实例

post /v3/{project_id}/instances/{instance_id}/restart

gaussdb:instance:restart

-

分片节点主备切换

post /v3/{project_id}/instances/{instance_id}/switch-shard

gaussdb:instance:switchshard

-

查询实例的组件列表

get /v3/{project_id}/instances/{instance_id}/components

gaussdb:instance:listcomponents

-

规格变更

put /v3/{project_id}/instance/{instance_id}/flavor

gaussdb:instance:resizeflavor

-

查询实例主备平衡状态

get /v3/{project_id}/instances/{instance_id}/balance

gaussdb:instance:getbalancestatus

-

查询j9九游会登录的解决方案模板配置

get /v3/{project_id}/deployment-form

gaussdb:instance:listall

-

查询已绑定的eip列表

get /v3/{project_id}/instances/{instance_id}/public-ips?offset={offset}&limit={limit}

gaussdb:instance:listpublicips

-

弱密码校验

post /v3/{project_id}/weak-password-verification

gaussdb:instance:check

-

绑定/解绑弹性公网ip

post /v3/{project_id}/instances/{instance_id}/nodes/{node_id}/public-ip

gaussdb:instance:bindpublicip

-

查询实例ssl证书下载地址

get /v3/{project_id}/instances/{instance_id}/ssl-cert/download-link

gaussdb:instance:downloadsslcert

-

查询租户的实例配额

get /v3/{project_id}/project-quotas?type={type}

gaussdb:quota:listall

-

表3 参数配置

权限

api

对应的授权项

依赖的授权项

获取参数模板列表

get /v3/{project_id}/configurations?offset={offset}&limit={limit}

gaussdb:param:listall

-

获取指定实例的参数

get /v3/{project_id}/instances/{instance_id}/configurations

gaussdb:instance:get

-

修改指定实例的参数

put /v3/{project_id}/instances/{instance_id}/configurations

gaussdb:param:update

-

创建参数模板

post /v3/{project_id}/configurations

gaussdb:param:createparam

-

删除参数模板

delete /v3/{project_id}/configurations/{config_id}

gaussdb:param:delete

-

查询参数模板详情

get /v3/{project_id}/configurations/{config_id}

gaussdb:param:get

-

复制参数模板

post /v3/{project_id}/configurations/{config_id}/copy

gaussdb:param:copy

-

重置参数组

post /v3/{project_id}/configurations/{config_id}/reset

gaussdb:param:reset

-

比较两个参数组模板之间的差异

post /v3/{project_id}/configurations/comparison

gaussdb:param:compare

-

查询可应用实例列表

get /v3/{project_id}/configurations/{config_id}/applicable-instances

gaussdb:instance:listall

-

校验参数组名称是否存在

get /v3/{project_id}/configurations/name-validation?name={name}

gaussdb:param:check

-

应用参数模板

put /v3/{project_id}/configurations/{config_id}/apply

gaussdb:param:apply

-

查询参数模板的应用记录

get /v3/{project_id}/configurations/{config_id}/applied-histories

gaussdb:param:listall

-

查询参数模板的修改历史

get /v3/{project_id}/configurations/{config_id}/histories

gaussdb:param:listall

-

表4 备份管理

权限

api

对应的授权项

依赖的授权项

设置自动备份策略

put /v3/{project_id}/instances/{instance_id}/backups/policy

gaussdb:instance:updatebackuppolicy

-

查询自动备份策略

get /v3/{project_id}/instances/{instance_id}/backups/policy

gaussdb:instance:getbackuppolicy

-

查询备份列表

get /v3/{project_id}/backups?instance_id={instance_id}&backup_id={backup_id}&backup_type={backup_type}&offset={offset}&limit={limit}&begin_time={begin_time}&end_time={end_time}

gaussdb:backup:listall

-

创建手动备份

post /v3/{project_id}/backups

gaussdb:backup:create

-

删除手动备份

delete /v3/{project_id}/backups/{backup_id}

gaussdb:backup:delete

-

查询可恢复时间段

get /v3/{project_id}/instances/{instance_id}/restore-time?date={date}

gaussdb:instance:listrecoverabletimes

-

恢复到新实例

post /v3/{project_id}/instances

gaussdb:instance:createinstance

-

查询可用于备份恢复的实例列表

get /v3/{project_id}/restorable-instances

gaussdb:instance:listall

-

根据时间点或者备份文件查询原实例信息

get /v3/{project_id}/instance-snapshot?instance_id={instance_id}&backup_id={backup_id}&restore_time={restore_time}

gaussdb:instance:get

-

表5 引擎版本和规格

权限

api

对应的授权项

依赖的授权项

查询数据库引擎的版本

get /v3/{project_id}/datastore/versions

gaussdb:instance:listall

-

查询数据库规格

get /v3/{project_id}/flavors?limit={limit}&offset={offset}&ha_mode={ha_mode}&version={version}&spec_code={spec_code}

gaussdb:instance:listall

-

查询引擎列表

get /v3/{project_id}/datastores

gaussdb:instance:listall

-

查询实例可变更规格

get /v3/{project_id}/instances/{instance_id}/available-flavors

gaussdb:instance:listall

-

表6 管理数据库和用户

权限

api

对应的授权项

依赖的授权项

创建数据库

post /v3/{project_id}/instances/{instance_id}/database

gaussdb:instance:createdatabase

-

创建数据库用户

post /v3/{project_id}/instances/{instance_id}/db-user

gaussdb:instance:createdatabaseuser

-

创建数据库schema

post /v3/{project_id}/instances/{instance_id}/schema

gaussdb:instance:createdatabaseschema

-

授权数据库账号

post /v3/{project_id}/instances/{instance_id}/db-privilege

gaussdb:instance:grantdatabaseprivilege

-

重置数据库账号密码

put /v3/{project_id}/instances/{instance_id}/db-user/password

gaussdb:instance:resetpassword

-

查询数据库列表

get /v3/{project_id}/instances/{instance_id}/databases

gaussdb:instance:listdatabases

-

查询数据库用户列表

get /v3/{project_id}/instances/{instance_id}/db-users

gaussdb:instance:listdatabaseusers

-

查询数据库schema列表

get /v3/{project_id}/instances/{instance_id}/schemas

gaussdb:instance:listschemas

-

表7 标签管理

权限

api

对应的授权项

依赖的授权项

查询实例标签

get /v3/{project_id}/instances/{instance_id}/tags

gaussdb:tag:listall

-

查询项目标签

get /v3/{project_id}/tags

gaussdb:tag:listall

-

查询预定义标签

get /v3/{project_id}/predefined-tags

gaussdb:tag:listall

-

添加实例标签

post /v3/{project_id}/instances/{instance_id}/tags

gaussdb:tag:create

-

表8 磁盘管理

权限

api

对应的授权项

依赖的授权项

查询实例存储空间使用信息

get /v3/{project_id}/instances/{instance_id}/volume-usage

gaussdb:instance:getdiskusage

-

查询数据库磁盘类型

get /v3/{project_id}/storage-type?version={version}&ha_mode={ha_mode}

gaussdb:instance:listall

-

表9 配额管理

权限

api

对应的授权项

依赖的授权项

修改企业项目配额

put /v3/{project_id}/enterprise-projects/quotas

gaussdb:quota:update

-

查询企业项目配额组

get /v3/{project_id}/enterprise-projects/quotas

gaussdb:quota:listall

-

表10 任务管理

权限

api

对应的授权项

依赖的授权项

获取任务信息

get /v3/{project_id}/jobs?id={id}

gaussdb:task:get

-

查询任务列表

get /v3/{project_id}/tasks

gaussdb:task:listall

-

删除任务记录

delete /v3/{project_id}/jobs/{job_id}

gaussdb:task:delete

-

表11 回收站

权限

api

对应的授权项

依赖的授权项

设置回收站策略

put /v3/{project_id}/recycle-policy

gaussdb:instance:setrecyclepolicy

-

查看回收站策略

get /v3/{project_id}/recycle-policy

gaussdb:instance:getrecyclepolicy

-

查询回收站所有引擎实例列表

get /v3/{project_id}/recycle-instances

gaussdb:instance:listall

-

表12 容灾管理

api功能

授权项

授权范围

对应api接口

查询可搭建容灾实例列表

gaussdb:disasterrecovery:list

  • 支持:

    vdc资源集(project)

/v3.1/{project_id}/disaster/instances/candidates

容灾操作校验

gaussdb:disasterrecovery:list

  • 支持:

    vdc资源集(project)

/v3.1/{project_id}/instances/{instance_id}/disaster/operation-precheck

查询实例容灾监控实时状态

gaussdb:disasterrecovery:list

  • 支持:

    vdc资源集(project)

/v3.1/{project_id}/instances/{instance_id}/disaster/monitor

查询容灾关系列表

gaussdb:disasterrecovery:list

  • 支持:

    vdc资源集(project)

/v3.1/{project_id}/disaster/relations

搭建容灾关系

gaussdb:disasterrecovery:construct

  • 支持:

    vdc资源集(project)

/v3.1/{projectid}/instances/{instanceid}/disaster/construct

备实例容灾升主

gaussdb:disasterrecovery:failover

  • 支持:

    vdc资源集(project)

/v3.2/{projectid}/instances/{instanceid}/failover

解除容灾关系

gaussdb:disasterrecovery:release

  • 支持:

    vdc资源集(project)

/v3.1/{projectid}/instances/{instanceid}/disaster/relations/{synchronizationid}/release

灾备实例主从切换

gaussdb:disasterrecovery:switchover

  • 支持:

    vdc资源集(project)

/v3.1/{projectid}/instances/{instanceid}/disaster/relations/{synchronizationid}/switchover

容灾回切

gaussdb:disasterrecovery:construct

  • 支持:

    vdc资源集(project)

/v3.1/{projectid}/instances/{instanceid}/disaster/relations/{synchronizationid}/restore

容灾演练开始

gaussdb:disasterrecovery:simulation

  • 支持:

    vdc资源集(project)

/v3.1/{projectid}/instances/{instanceid}/disaster-simulation/start

容灾演练结束

gaussdb:disasterrecovery:simulation

  • 支持:

    vdc资源集(project)

/v3.1/{projectid}/instances/{instanceid}/disaster-simulation/stop

容灾日志保持开始

gaussdb:disasterrecovery:keeplog

  • 支持:

    vdc资源集(project)

/v3/{projectid}/instances/{instanceid}/disaster-data-cache/start

容灾日志保持结束

gaussdb:disasterrecovery:keeplog

  • 支持:

    vdc资源集(project)

/v3/{projectid}/instances/{instanceid}/disaster-data-cache/stop

查询容灾关系列表

gaussdb:disasterrecovery:list

  • 支持:

    vdc资源集(project)

/v3.5/{project_id}/disaster-recovery/relations

查询实例容灾监控实时状态

gaussdb:disasterrecovery:list

  • 支持:

    vdc资源集(project)

/v3.5/{project_id}/instances/{instance_id}/disaster-recovery/monitor

重置容灾配置

gaussdb:disasterrecovery:construct

  • 支持:

    vdc资源集(project)

/v3.5/{project_id}/instances/{instance_id}/reset-dr-config

搭建容灾关系

gaussdb:disasterrecovery:construct

  • 支持:

    vdc资源集(project)

/v3.5/{project_id}/instances/{instance_id}/disaster-recovery/construct

备实例容灾升主

gaussdb:disasterrecovery:failover

  • 支持:

    vdc资源集(project)

/v3.5/{project_id}/instances/{instance_id}/disaster-recovery/failover

解除容灾关系

gaussdb:disasterrecovery:release

  • 支持:

    vdc资源集(project)

/v3.5/{project_id}/instances/{instance_id}/disaster-recovery/release

灾备实例主从切换

gaussdb:disasterrecovery:switchover

  • 支持:

    vdc资源集(project)

/v3.5/{project_id}/instances/{instance_id}/disaster-recovery/switchover

容灾回切

gaussdb:disasterrecovery:construct

  • 支持:

    vdc资源集(project)

/v3.5/{project_id}/instances/{instance_id}/disaster-recovery/restore

容灾演练开始

gaussdb:disasterrecovery:simulation

  • 支持:

    vdc资源集(project)

/v3.5/{project_id}/instances/{instance_id}/disaster-recovery/simulation-start

容灾演练结束

gaussdb:disasterrecovery:simulation

  • 支持:

    vdc资源集(project)

/v3.5/{project_id}/instances/{instance_id}/disaster-recovery/simulation-stop

容灾日志保持开始

gaussdb:disasterrecovery:keeplog

  • 支持:

    vdc资源集(project)

/v3.5/{project_id}/instances/{instance_id}/disaster-recovery/keep-log-start

容灾日志保持结束

gaussdb:disasterrecovery:keeplog

  • 支持:

    vdc资源集(project)

/v3.5/{project_id}/instances/{instance_id}/disaster-recovery/keep-log-stop

资源类型(resource)

资源类型(resource)表示身份策略所作用的资源。表3中的某些操作指定了可以在该操作指定的资源类型,则必须在具有该操作的身份策略语句中指定该资源的urn,身份策略仅作用于此资源;如未指定,resource默认为“*”,则身份策略将应用到所有资源。您也可以在身份策略中设置条件,从而指定资源类型。

gaussdb定义了以下可以在身份策略的resource元素中使用的资源类型。

表13 gaussdb支持的资源类型

资源类型

urn

instance

gaussdb:::instance:

条件(condition)

条件(condition)是身份策略生效的特定条件,包括条件键运算符

  • 条件键表示身份策略语句的condition元素中的键值。根据适用范围,分为全局级条件键和服务级条件键。
    • 全局级条件键(前缀为g:)适用于所有操作,在鉴权过程中,云服务不需要提供用户身份信息,系统将自动获取并鉴权。详情请参见:全局条件键
    • 服务级条件键(前缀通常为服务缩写,如gaussdb:)仅适用于对应服务的操作,详情请参见表4
    • 单值/多值表示api调用时请求中与条件关联的值数。单值条件键在api调用时的请求中最多包含一个值,多值条件键在api调用时请求可以包含多个值。例如:g:sourcevpce是单值条件键,表示仅允许通过某个vpc终端节点发起请求访问某资源,一个请求最多包含一个vpc终端节点id值。g:tagkeys是多值条件键,表示请求中携带的所有标签的key组成的列表,当用户在调用api请求时传入标签可以传入多个值。
  • 运算符与条件键、条件值一起构成完整的条件判断语句,当请求信息满足该条件时,身份策略才能生效。支持的运算符请参见:运算符

gaussdb定义了以下可以在身份策略的condition元素中使用的条件键,您可以使用这些条件键进一步细化身份策略语句应用的条件。

表14 gaussdb支持的服务级条件键

服务级条件键

类型

单值/多值

说明

gaussdb:backupenabled

boolean

单值

按照请求参数中传递的是否开启备份策略标签键筛选访问权限。限定词选择“默认”。

gaussdb:encrypted

boolean

单值

按照请求参数中传递的是否开启磁盘加密标签键筛选访问权限。限定词选择“默认”。

相关文档

网站地图