跨账号协同使用DMS

假设阿里云账号（主账号）A需要录入阿里云账号（主账号）B的资源至A所在的DMS租户，则阿里云账号（主账号）B的RAM用户（子账号）需要在RAM控制台进行如下操作：

1. 使用资源归属者B的阿里云账号（主账号）下拥有AliyunRAMFullAccess权限的RAM用户（子账号）登录RAM控制台。

2. 在角色页面，新建RAM角色并为用户A设置信任策略。您可通过如下任一方式进行操作：

   方式一：可视化编辑

   1. 在创建角色页面，单击切换编辑器。

      

   2. 在可视化编辑页签下，主体选择云服务。配置项说明如下：

      • 其他云账号下方的文本框填入主账号A的UID。

      • 云服务选择数据管理/DMSEnterprise。

        

   3. 单击确定。

   方式二：脚本编辑

   1. 在创建角色页面，单击切换编辑器。

      

   2. 在脚本编辑页签下，填入相关的策略。

      策略含义：为跨账号录入实例的用户设置信任策略，允许指定用户管理资源。

      {
        "Statement": [
          {
            "Action": "sts:AssumeRole",
            "Effect": "Allow",
            "Principal": {
              "Service": [
                "<主账号A的UID>@dms.aliyuncs.com"
              ]
            }
          }
        ],
        "Version": "1"
      }

   3. 单击确定。

3. 在权限策略页面，创建权限策略。例如DmsCrossAccountPolicy。

   目前，在权限策略中支持设置的数据库类型和接入方式（VPC专线）如下：Redis、PolarDB分布式版、OceanBase、Lindorm、Hologres、GDB、SelectDB、ClickHouse企业版。

   单击此处查看各数据库的权限策略信息。

   Redis

   {
     "Statement": [
       {
         "Action": [
           "kvstore:DescribeSecurityIps",
           "kvstore:ModifySecurityIps",
           "kvstore:DescribeRegions",
           "kvstore:DescribeInstances",
           "kvstore:DescribeInstanceAttribute",
           "kvstore:DescribeInstanceConfig"
         ],
         "Resource": "*",
         "Effect": "Allow"
       }
     ],
     "Version": "1"
   }

   PolarDB-X 1.0

   {
     "Statement": [
       {
         "Action": [
           "drds:DescribeDrdsInstances",
           "drds:QueryInstanceInfoByConn",
           "drds:DescribeDrdsInstanceList",
           "drds:DescribeDrdsDBIpWhiteList",
           "drds:ModifyDrdsIpWhiteList",
           "drds:DescribeDrdsInstanceVersion"
         ],
         "Resource": "*",
         "Effect": "Allow"
       }
     ],
     "Version": "1"
   }

   PolarDB-X 2.0

   {
     "Statement": [
       {
         "Action": [
           "polardbx:DescribeDBInstances",
           "polardbx:DescribeSecurityIps",
           "polardbx:ModifySecurityIps",
           "polardbx:DescribeDBInstanceAttribute",
           "polardbx:DescribeDBInstanceViaEndpoint"
         ],
         "Resource": "*",
         "Effect": "Allow"
       }
     ],
     "Version": "1"
   }

   OceanBase

   {
     "Statement": [
       {
         "Action": [
           "oceanbase:DescribeAllTenantsConnectionInfo",
           "oceanbase:DescribeInstances"
         ],
         "Resource": "*",
         "Effect": "Allow"
       }
     ],
     "Version": "1"
   }

   Lindorm

   {
     "Statement": [
       {
         "Action": [
           "lindorm:GetLindormInstanceList",
           "lindorm:GetLindormInstance",
           "lindorm:GetLindormInstanceListForDMS",
           "lindorm:GetLindormInstanceForDMS",
           "lindorm:GetLindormInstanceForDMSByConnStr",
           "lindorm:GetInstanceIpWhiteList",
           "lindorm:UpdateInstanceIpWhiteList"
         ],
         "Resource": "*",
         "Effect": "Allow"
       }
     ],
     "Version": "1"
   }

   Hologres

   {
     "Statement": [
       {
         "Action": [
           "hologram:GetInstance",
           "hologram:ListInstances"
         ],
         "Resource": "*",
         "Effect": "Allow"
       }
     ],
     "Version": "1"
   }

   GDB

   {
     "Statement": [
       {
         "Action": [
           "gdb:DescribeDbInstances"
         ],
         "Resource": "*",
         "Effect": "Allow"
       }
     ],
     "Version": "1"
   }

   SelectDB

   {
     "Statement": [
       {
         "Action": [
           "selectdb:DescribeDBInstances",
           "selectdb:DescribeDBInstanceAttribute",
           "selectdb:DescribeDBInstanceNetInfo",
           "selectdb:DescribeSecurityIPList",
           "selectdb:ModifySecurityIPList"
         ],
         "Resource": "*",
         "Effect": "Allow"
       }
     ],
     "Version": "1"
   }

   ClickHouse企业版

   {
     "Statement": [
       {
         "Action": [
           "clickhouse:DescribeDBClusters",
           "clickhouse:DescribeDBInstances",
           "clickhouse:DescribeDBInstanceAttribute",
           "clickhouse:DescribeEndpoints",
           "clickhouse:DescribeSecurityIPList",
           "clickhouse:ModifySecurityIPList"
         ],
         "Resource": "*",
         "Effect": "Allow"
       }
     ],
     "Version": "1"
   }

   示例策略含义：指定在DMS通过VPC专线录入数据库。

   {
     "Statement": [
       {
         "Action": [
           "vpc:DescribeVpcs"
         ],
         "Resource": "*",
         "Effect": "Allow"
       }
     ],
     "Version": "1"
   }

4. 在角色页面，为步骤2中创建的角色授予DmsCrossAccountPolicy权限。更多信息，请参见为RAM角色授权。

5. 在角色页面，单击角色名称，在角色详情页面复制ARN。

   

录入实例

用户A在录入数据库时，填入角色ARN。