このトピックでは、データ管理 (DMS) のサービスにリンクされたロールについて説明します。
AliyunServiceRoleForDMSという名前
背景情報
サービスにリンクされたロールは、RAM (Resource Access Management) ロールです。 詳細については、「RAMロールの概要」をご参照ください。 サービスにリンクされたロールはDMSを許可します
他のクラウドサービスにアクセスし、一部のシナリオで特定の機能を実装します。 詳細については、「サービスにリンクされたロール」をご参照ください。
シナリオ
DMS
DMSのサービスにリンクされたロールを引き受けて、特定のDMS機能がElastic Compute service (ECS) インスタンス、仮想プライベートクラウド (VPC) 、RDSインスタンス、およびさまざまなデータベースやツールに関連するリソースにアクセスできるようにすることができます。
サービスにリンクされたロール
AliyunServiceRoleForDMS
ロール名: AliyunServiceRoleForDMS。
ポリシー名: AliyunServiceRolePolicyForDMS。
ロールの説明: サービスにリンクされたロールを使用すると、DMSはECSインスタンス、VPC、RDSインスタンス、およびさまざまなデータベースやツールに関連するリソースにアクセスできます。
実行できる操作:
RDS、PolarDB、Lindorm、およびその他のデータベースリソースの詳細を照会して、ApsaraDBインスタンスを管理します。
ECSインスタンスとVPCの詳細を照会して、ECSインスタンスとインターネットでホストされている自己管理型データベースを管理します。
Data Transmission Service (DTS) やDatabase Backup (DBS) などのAlibaba Cloudサービスを使用して、データを一元管理します。
ポリシーの内容
{
"Version": "1",
"Statement": [
{
"Action": [
"ecs:DescribeInstances",
"ecs:JoinSecurityGroup",
"ecs:LeaveSecurityGroup",
"ecs:DescribeImages",
"ecs:CreateSecurityGroup",
"ecs:AuthorizeSecurityGroup",
"ecs:DescribeSecurityGroupAttribute",
"ecs:DescribeSecurityGroups",
"ecs:RevokeSecurityGroup",
"ecs:DescribeRegions",
"ecs:DescribeInstances",
"ecs:DescribeInstanceAttribute",
"ecs:CreateCommand",
"ecs:DeleteCommand",
"ecs:DescribeInvocationResults"
],
"Resource": "*",
"Effect": "Allow"
},
{
"Action": [
"ecs:InvokeCommand",
"ecs:StopInvocation"
],
"Resource": "acs:ecs:*:*:instance/*",
"Condition": {
"StringEquals": {
"acs:ResourceTag/dms": "script-for-dms"
}
},
"Effect": "Allow"
},
{
"Action": [
"ecs:InvokeCommand",
"ecs:StopInvocation"
],
"Resource": "acs:ecs:*:*:command/*",
"Effect": "Allow"
},
{
"Action": [
"rds:DescribeDBInstanceHAConfig",
"rds:DescribeBinlogFiles",
"rds:DescribeDBInstancePerformance",
"rds:DescribeDBInstanceAttribute",
"rds:DescribeSlowLogs",
"rds:DescribeSlowLogRecords",
"rds:DescribeSQLCollectorPolicy",
"rds:ModifySQLCollectorPolicy",
"rds:DescribeSQLLogRecords",
"rds:DescribeSQLLogFiles",
"rds:DescribeResourceUsage",
"rds:DescribeRegions",
"rds:DescribeDBInstances",
"rds:DescribeDBInstanceAttribute",
"rds:ModifyBackupPolicy",
"rds:DescribeSecurityGroupConfiguration",
"rds:DescribeDBInstanceEncryptionKey",
"rds:DescribeDBInstanceTDE",
"rds:DescribeDBInstanceSSL",
"rds:DescribeCrossRegionBackupDBInstance",
"rds:DescribeSQLCollectorRetention",
"rds:TagResources",
"rds:UntagResources",
"rds:ListTagResources",
"rds:DescribeDBInstanceByTags",
"rds:DescribeDatabases"
],
"Resource": "*",
"Effect": "Allow"
},
{
"Action": [
"dds:DescribeSecurityIps",
"dds:ModifySecurityIps",
"dds:DescribeDBInstances"
],
"Resource": "*",
"Effect": "Allow"
},
{
"Action": [
"kvstore:DescribeSecurityIps",
"kvstore:ModifySecurityIps",
"kvstore:DescribeRegions",
"kvstore:DescribeInstances",
"kvstore:DescribeInstanceAttribute",
"kvstore:DescribeInstanceConfig"
],
"Resource": "*",
"Effect": "Allow"
},
{
"Action": [
"drds:DescribeDrdsInstances",
"drds:QueryInstanceInfoByConn",
"drds:DescribeDrdsInstanceList",
"drds:DescribeDrdsDBIpWhiteList",
"drds:ModifyDrdsIpWhiteList",
"drds:DescribeDrdsInstanceVersion"
],
"Resource": "*",
"Effect": "Allow"
},
{
"Action": [
"polardb:DescribeRegions",
"polardb:DescribeDBClusters",
"polardb:DescribeDBClusterAttribute",
"polardb:DescribeDBClusterEndpoints",
"polardb:DescribeMaskingRules",
"polardb:ModifyMaskingRules",
"polardb:DeleteMaskingRules",
"polardb:DescribeDBClusterVersion",
"polardb:DescribeDBClusterAuditLogCollector"
],
"Resource": "*",
"Effect": "Allow"
},
{
"Action": [
"polardbx:DescribeDBInstances",
"polardbx:DescribeSecurityIps",
"polardbx:ModifySecurityIps",
"polardbx:DescribeDBInstanceAttribute",
"polardbx:DescribeBinaryLogList",
"polardbx:DescribeDBInstanceViaEndpoint"
],
"Resource": "*",
"Effect": "Allow"
},
{
"Action": [
"petadata:DescribeInstances",
"petadata:DescribeInstanceInfoByConnection",
"petadata:DescribeSecurityIPs",
"petadata:ModifySecurityIPs"
],
"Resource": "*",
"Effect": "Allow"
},
{
"Action": [
"hdm:AccessHDMInstance"
],
"Resource": "*",
"Effect": "Allow"
},
{
"Action": [
"dts:CreateMigrationJob",
"dts:ConfigureMigrationJob",
"dts:StartMigrationJob",
"dts:StopMigrationJob",
"dts:DescribeMigrationJobStatus",
"dts:DescribeMigrationJobDetail",
"dts:CreateSynchronizationJob",
"dts:ConfigureSynchronizationJob",
"dts:StartSynchronizationJob",
"dts:SuspendSynchronizationJob",
"dts:DescribeSynchronizationJobStatus",
"dts:ShieldPrecheck",
"dts:CreateDtsInstance",
"dts:ConfigureDtsJob",
"dts:StartDtsJob",
"dts:ModifyDtsJob",
"dts:StopDtsJob",
"dts:DescribeDtsJobDetail",
"dts:DescribeDtsJobs",
"dts:ConfigureEtlJob",
"dts:SaveEtlJob",
"dts:SuspendDtsJob",
"dts:DeleteDtsJob",
"dts:ModifyDtsJobName",
"dts:SkipPreCheck",
"dts:DescribeDtsEtlJobVersionInfo",
"dts:DescribeEtlJobLogs",
"dts:PreviewSql",
"dts:DescribePreCheckStatus",
"dts:DescribeDtsJobLogs",
"dts:DescribeJobMonitorRule",
"dts:CreateJobMonitorRule",
"dts:DescribeConfigRelations",
"dts:DescribeFormInfo",
"dts:DescribeDmsInstanceDetail",
"dts:DescribeSchemaList",
"dts:DescribeColumns",
"dts:DescribeStruct",
"dts:DescribeDtsInstancePrice",
"dts:DescribeRegions",
"dts:DescribeInstanceInventory",
"dts:CreateCheckJob",
"dts:DescribeCheckJobDiffDetails",
"dts:EtlMockData",
"dts:EtlMockResult",
"dts:DescribeCheckJobStatus",
"dts:DescribeDtsJobStatistics",
"dts:Ping",
"dts:DescribeUploadPolicy"
],
"Resource": "*",
"Effect": "Allow"
},
{
"Action": [
"apigateway:CreateApiGroup",
"apigateway:ModifyApiGroup",
"apigateway:DeleteApiGroup",
"apigateway:DescribeApiGroups",
"apigateway:CreateApi",
"apigateway:ModifyApi",
"apigateway:DeployApi",
"apigateway:AbolishApi",
"apigateway:DeleteApi",
"apigateway:DescribeApi",
"apigateway:DescribeApis",
"apigateway:CreateApp",
"apigateway:ModifyApp",
"apigateway:DeleteApp",
"apigateway:DescribeAppSecurity",
"apigateway:ResetAppCode",
"apigateway:ResetAppSecret",
"apigateway:DescribeAppAttributes",
"apigateway:SetApisAuthorities",
"apigateway:DescribeAuthorizedApps"
],
"Resource": "*",
"Effect": "Allow"
},
{
"Action": [
"dg:GetUserGateways",
"dg:GetUserDatabases",
"dg:GetUserGatewayInstances"
],
"Resource": "*",
"Effect": "Allow"
},
{
"Action": [
"openanalytics:QueryBucketList",
"openanalytics:QueryDirectoryList",
"openanalytics:ListVirtualClusters",
"openanalytics:SubmitSparkJob",
"openanalytics:KillSparkJob",
"openanalytics:GetJobLog",
"openanalytics:GetJobDetail",
"openanalytics:GetJobStatus",
"openanalytics:ExecuteService",
"openanalytics:QueryService",
"openanalytics:ExecuteOnVirtualCluster"
],
"Resource": "*",
"Effect": "Allow"
},
{
"Action": [
"dbs:DescribeBackupPlanList",
"dbs:DescribeFullBackupList",
"dbs:CreateBackupPlan",
"dbs:ConfigureBackupPlan",
"dbs:ModifyBackupObjects",
"dbs:StartBackupPlan",
"dbs:ModifyBackupSourceEndpoint",
"dbs:StartTask",
"dbs:StopBackupPlan",
"dbs:CreateRestoreTask",
"dbs:StartRestoreTask",
"dbs:DescribeRestoreTaskList",
"dbs:DescribeRestoreRangeInfo",
"dbs:CreateDLAService",
"dbs:DescribeDLAService",
"dbs:CloseDLAService",
"dbs:CreateAndStartBackupPlan",
"dbs:DescribeFullBackupSet",
"dbs:DescribeDataSourceQueryableAttribute",
"dbs:DescribeDataSourceQueryableAttributeDetail",
"dbs:GetTimeTravelInstance"
],
"Resource": "*",
"Effect": "Allow"
},
{
"Action": [
"oceanbase:DescribeAllTenantsConnectionInfo",
"oceanbase:DescribeInstances"
],
"Resource": "*",
"Effect": "Allow"
},
{
"Action": "ram:DeleteServiceLinkedRole",
"Resource": "*",
"Effect": "Allow",
"Condition": {
"StringEquals": {
"ram:ServiceName": "dms.aliyuncs.com"
}
}
},
{
"Action": [
"hbase:DescribeInstances",
"hbase:DescribeInstance",
"hbase:DescribeEndpoints",
"hbase:DescribeIpWhitelist",
"hbase:ModifyIpWhitelist"
],
"Resource": "*",
"Effect": "Allow"
},
{
"Action": [
"cassandra:DescribeClusters",
"cassandra:DescribeCluster",
"cassandra:DescribeDataCenters",
"cassandra:DescribeIpWhitelistGroups",
"cassandra:ModifyIpWhitelistGroup"
],
"Resource": "*",
"Effect": "Allow"
},
{
"Action": [
"lindorm:GetLindormInstanceList",
"lindorm:GetLindormInstance",
"lindorm:GetLindormInstanceEngineList",
"lindorm:GetLindormInstanceListForDMS",
"lindorm:GetLindormInstanceForDMS",
"lindorm:GetLindormInstanceForDMSByConnStr",
"lindorm:GetInstanceIpWhiteList",
"lindorm:UpdateInstanceIpWhiteList",
"lindorm:CreateComputeEngineJob",
"lindorm:GetComputeEngineJobDetail",
"lindorm:GetComputeEngineJobLog",
"lindorm:ReleaseLindormComputeJob"
],
"Resource": "*",
"Effect": "Allow"
},
{
"Action": [
"adb:CreateDBCluster",
"adb:CreateAccount",
"adb:DescribeDBClusters",
"adb:DescribeDBClusterNetInfo",
"adb:SubmitSparkApp",
"adb:KillSparkApp",
"adb:ListSparkApps",
"adb:GetSparkAppLog",
"adb:GetSparkAppInfo",
"adb:GetSparkAppState",
"adb:GetSparkAppAttemptLog",
"adb:GetSparkAppWebUiAddress",
"adb:ListSparkAppAttempts",
"adb:DescribeDBClusterAttribute",
"adb:DescribeDBResourceGroup",
"adb:ExecuteSparkWarehouseBatchSQL",
"adb:CancelSparkWarehouseBatchSQL",
"adb:GetSparkWarehouseBatchSQL"
],
"Resource": "*",
"Effect": "Allow"
},
{
"Action": [
"gpdb:DescribeDBInstances",
"gpdb:ResumeInstance",
"gpdb:PauseInstance"
],
"Resource": "*",
"Effect": "Allow"
},
{
"Action": [
"vpc:DescribeVpcs",
"vpc:DescribeVSwitches"
],
"Resource": "*",
"Effect": "Allow"
},
{
"Action": [
"hologram:GetInstance",
"hologram:ListInstances"
],
"Resource": "*",
"Effect": "Allow"
},
{
"Action": [
"gdb:DescribeDbInstances"
],
"Resource": "*",
"Effect": "Allow"
},
{
"Action": [
"oss:ListBuckets"
],
"Resource": "*",
"Effect": "Allow"
},
{
"Action": [
"selectdb:DescribeDBInstances",
"selectdb:DescribeDBInstanceAttribute",
"selectdb:DescribeDBInstanceNetInfo",
"selectdb:DescribeSecurityIPList",
"selectdb:ModifySecurityIPList"
],
"Resource": "*",
"Effect": "Allow"
},
{
"Action": [
"clickhouse:DescribeDBClusters",
"clickhouse:DescribeDBInstances",
"clickhouse:DescribeDBInstanceAttribute",
"clickhouse:DescribeEndpoints",
"clickhouse:DescribeSecurityIPList",
"clickhouse:ModifySecurityIPList"
],
"Resource": "*",
"Effect": "Allow"
},
{
"Action": [
"sr:ListInstances",
"sr:GetInstanceDetail",
"sr:DescribeRegions",
"sr:GetDmsConnectionInfo",
"sr:GetNetworkMappingIp"
],
"Resource": "*",
"Effect": "Allow"
},
{
"Action": [
"dbs-inner:DescribeDataSourceQueryableAttribute",
"dbs-inner:DescribeDataSourceQueryableAttributeDetail",
"dbs-inner:GetTimeTravelInstance"
],
"Resource": "*",
"Effect": "Allow"
},
{
"Action": [
"kms:ListSecrets",
"kms:GetSecretValue",
"kms:Decrypt",
"kms:ListKmsInstances"
],
"Resource": "*",
"Effect": "Allow"
},
{
"Action": [
"rds:CreateAccount",
"rds:DeleteAccount",
"rds:ResetAccountPassword",
"rds:GrantAccountPrivilege",
"rds:RevokeAccountPrivilege",
"rds:CheckAccountNameAvailable"
],
"Resource": "*",
"Condition": {
"StringEquals": {
"rds:tag/dms": "account-management"
}
},
"Effect": "Allow"
},
{
"Action": [
"ots:ListInstance"
],
"Resource": "*",
"Effect": "Allow"
}
]
}AliyunServiceRoleForDMSロールの作成に必要な権限
DMS
AliyunServiceRoleForDMSロールをDMSに作成する前に、RAMユーザーに必要な権限を付与する必要があります。
RAMユーザーに必要な権限がない場合は、次のポリシーを追加し、RAMユーザーに権限を付与する必要があります。 詳細については、「カスタムポリシーの作成」および「RAM ユーザーへの権限付与」をご参照ください。
次のコードは、許可されたRAMユーザーがDMSのAliyunServiceRoleForDMSロールを作成できるようにするポリシーを示しています。
{
"Action":"ram:CreateServiceLinkedRole",
"Resource":"*",
"Effect":"Allow",
"Condition":{
"StringEquals":{
"ram:ServiceName": "dms.aliyuncs.com"
}
}
}AliyunServiceRoleForDMSロールの作成
DMS
RAMユーザーがすでにDMSのAliyunServiceRoleForDMSロールを作成するために必要な権限を持っている場合は、DMSコンソールにログインし、[DMSサービスにリンクされたロール] ダイアログボックスで [OK] をクリックします。 これにより、システムは自動的にDMSのAliyunServiceRoleForDMSロールを作成できます。 詳細については、「サービスにリンクされたロール」トピックのサービスにリンクされたロールの作成セクションをご参照ください。
AliyunServiceRoleForDMSロールの詳細を表示
DMS
DMS用にAliyunServiceRoleForDMSロールを作成した後、RAMコンソールで、AliyunServiceRoleForDMSロールの基本情報、信頼ポリシー、権限などのロールの詳細を表示できます。
RAM コンソールにログインします。
左側のナビゲーションウィンドウで、[アイデンティティ] > [ロール] を選択します。
[ロール] ページで、AliyunServiceRoleForDBSロールを検索し、その名前をクリックします。
ロールの基本情報を表示します。
ロールの詳細ページの [基本情報] セクションで、ロール名、作成時刻、Alibaba Cloudリソース名 (ARN) などのロール情報を表示します。
ロールの信頼ポリシーを表示します。
ロールの詳細ページで、[信頼ポリシー] タブをクリックして、
[サービス]フィールドの値を表示します。 値は、ロールを引き受けることができるクラウドサービスを示します。 例:サービス ": [" dms.aliyuncs.com "]ロールに付与されている権限を表示します。
ロールの詳細ページで、[権限] タブをクリックします。
AliyunServiceRolePolicyForDMSポリシー名をクリックします。
表示されるページの [ポリシードキュメント] タブで、ポリシーの内容を表示します。
説明RAMコンソールの [ポリシー] ページで、サービスにリンクされたロールに付与されている権限を直接表示することはできません。
AliyunServiceRoleForDMSロールの削除
DMS
AliyunServiceRoleForDMSロールを削除する前に、DMSコンソールのインスタンスリストからすべてのインスタンスを削除する必要があります。 インスタンスを削除し、サービスにリンクされたロールを削除する方法の詳細については、「1つ以上のインスタンスの削除」および「サービスにリンクされたロールの削除」をご参照ください。