跨阿里云账号备份或恢复数据时如何配置RAM授权_备份安全_最佳实践

DBS支持将另一个阿里云账号下的RDS实例数据备份或恢复至当前阿里云账号。本文将介绍在跨阿里云账号使用DBS进行数据备份和恢复前，源实例所属的阿里云账号如何配置RAM授权。

前提条件

源实例所属的阿里云账号已授权DBS的RAM角色访问其云资源，详情请参见授权DBS服务账号角色访问云资源。

操作步骤

使用源实例所属的阿里云账号登录RAM控制台。
在左侧导航栏，单击RAM角色管理。
单击创建RAM角色，在创建RAM角色>选择类型配置向导页面，选择当前可信实体类型为阿里云账号，单击下一步。

在创建RAM角色>配置角色页面，设置以下参数，单击完成。

配置	说明
角色名称	填写RAM角色名称。您可填写大写英文、小写英文、数字或短横线(-)，长度不超过64个字符。本案例填写ram-for-dbs。
备注	填写RAM角色备注信息。
选择云账号	选择其他云账号，填写目标实例所属的云账号ID作为授信云账号。您需要使用目标实例所属的云账号登录账号管理页面查看云账号ID，如下图所示。

RAM角色设置后，请参见以下2种方式中的任一种，为角色进行授权。
- 方法一：授予目标账号管理的所有云资源的权限
1. 在创建RAM角色>创建完成配置向导页面单击为角色授权。
2. 进入添加权限详情页，在系统策略文本框中输入AdministratorAccess，选中该策略，单击确定完成添加。
- 方法二：授予DBS系统策略权限
1. 在RAM角色管理页面，找到目标RAM角色名称，在右侧操作栏中，单击精确授权。
2. 在添加权限详情页，选择权限类型为系统策略，输入策略名称AliyunDBSRolePolicy，单击确定完成授权。
  
  若您需要进行通过专线/VPN网关/智能网关接入的自建数据库配置备份或恢复数据库，还需添加VPC资源的只读权限(AliyunVPCReadOnlyAccess)，详情请参见为RAM权限授权。
完成RAM角色授权后，在RAM角色管理页面，单击目标角色名称，进入基本信息页面。

选择信任策略管理页签，单击修改信任策略，将下述代码复制至文本框。

{
 "Statement": [
     {
         "Action": "sts:AssumeRole",
         "Effect": "Allow",
         "Principal": {
             "RAM": [
                 "acs:ram::目标云账号ID:root"
             ],
             "Service": [
                 "目标云账号ID@dbs.aliyuncs.com"
             ]
         }
     }
 ],
 "Version": "1"
}

您需要登录目标实例所属的云账号进入账号管理页面来查看云账号ID，并替换至上述代码中的目标云账号ID。

完成权限授权后，即可进行跨阿里云账号数据备份或恢复。详情请参见如何配置跨账号备份和恢复。