如何为RAM用户(子账号)授权_云数据库 MongoDB 版(MongoDB)-阿里云帮助中心

为细分账号权限，提升账号安全性，您可以通过访问控制RAM（Resource Access Management）将云数据库MongoDB的管理权限授权给RAM用户（子账号），使用RAM用户管理云数据库MongoDB实例。

前提条件

已创建RAM用户，如何创建，请参见创建RAM用户。

为RAM用户授权

使用RAM管理员登录RAM控制台。
在左侧导航栏，选择身份管理 > 用户。
在用户页面，单击目标RAM用户操作列的添加权限。
您也可以选中多个RAM用户，单击用户列表下方的添加权限，为RAM用户批量授权。
在新增授权面板，为RAM用户添加权限。
1. 选择资源范围。
  - 账号级别：权限在当前阿里云账号内生效。
  - 资源组级别：权限在指定的资源组内生效。
    重要
    指定资源组授权生效的前提是该云服务及资源类型已支持资源组，详情请参见支持资源组的云服务。资源组授权示例，请参见使用资源组限制RAM用户管理指定的ECS实例。
2. 选择授权主体。
  授权主体即需要添加权限的RAM用户。系统会自动选择当前的RAM用户。
3. 选择权限策略。
  权限策略是一组访问权限的集合，分为以下两种。支持批量选中多条权限策略。
  - 系统策略：由阿里云创建，策略的版本更新由阿里云维护，用户只能使用不能修改。更多信息，请参见支持RAM的云服务。
    说明
    系统会自动标识出高风险系统策略（例如：AdministratorAccess、AliyunRAMFullAccess等），授权时，尽量避免授予不必要的高风险权限策略。
  - 自定义策略：由用户管理，策略的版本更新由用户维护。用户可以自主创建、更新和删除自定义策略。更多信息，请参见创建自定义权限策略。
4. 单击确认新增授权。
单击关闭。

系统权限策略

系统权限策略针对所有云数据库MongoDB资源进行RAM授权，云数据库MongoDB提供如下两种系统权限策略。

AliyunMongoDBFullAccess：为RAM用户授予云数据库MongoDB的完全管理权限。
AliyunMongoDBReadOnlyAccess：为RAM用户授予云数据库MongoDB的只读访问权限。

自定义RAM授权策略

您可以根据业务需求自定义授权策略，仅向RAM用户授予指定实例的具体操作权限。关于自定义授权策略语法，请参见Policy结构和语法。

RAM授权MongoDB Resource的方式

目前RAM对云数据库MongoDB进行授权的资源类型仅支持dbinstance（实例）一种。在通过RAM进行授权时，可以在策略的Resource字段中进行描述，资源的描述方式如下。

资源类型	授权策略中的资源描述方式
dbinstance	acs:dds:$regionid:$accountid:dbinstance/$dbinstanceid

参数说明如下。

参数名称	说明
`$regionid`	地域ID，可以用`*`表示。
`$dbinstanceid`	实例ID，可以用`*`表示。
`$accountid`	云账号的数字ID，可以用`*`表示。

可授权的Action

在RAM中，您可以对一个云数据库MongoDB资源进行如下Action的授权。

Action	功能描述
CreateDBInstance	创建实例。
ModifyDBInstanceSpec	变更实例配置。
DeleteDBInstance	删除实例。
DescribeDBInstances	查询实例。
RestartDBInstance	重启实例。
DescribeSecurityIps	查询白名单。
ModifySecurityIps	修改白名单。
ResetAccountPassword	重置密码。
DescribeBackupPolicy	查询备份策略。
ModifyBackupPolicy	修改备份策略。
CreateBackup	创建备份。
RestoreDBInstance	恢复实例。
DescribeAccounts	查询账号信息。
DescribeDBInstancePerformance	查询实例状态。
DescribeReplicaSetRole	查询实例主从属性。
ModifyDBInstanceDescription	修改实例描述。
ModifyAccountDescription	修改账号信息。
DescribeDBInstanceAttribute	查询实例属性。
RenewDBInstance	续费实例。
ModifyDBInstanceNetworkType	修改实例网络类型。