权限管理
如果您需要对华为云上购买的数据复制服务（Data Replication Service）资源，给企业中的员工设置不同的访问权限，以达到不同员工之间的权限隔离，您可以使用统一身份认证服务（Identity and Access Management，简称IAM）进行精细的权限管理。该服务提供用户身份认证、权限分配、访问控制等功能，可以帮助您安全地控制华为云资源的访问。
通过IAM，您可以在华为账号中给员工创建IAM用户，并授权控制他们对华为云资源的访问范围。例如您的员工中有负责软件开发的人员，您希望他们拥有数据复制服务（Data Replication Service）的使用权限，但是不希望他们拥有删除数据复制服务资源等高危操作的权限，那么您可以使用IAM为开发人员创建用户，通过授予仅能使用数据复制服务资源，但是不允许删除数据复制服务资源的权限，控制他们对数据复制服务资源的使用范围。
如果华为账号已经能满足您的要求，不需要创建独立的IAM用户进行权限管理，您可以跳过本章节，不影响您使用数据复制服务的其它功能。
IAM是华为云提供权限管理的基础服务，无需付费即可使用，您只需要为您账号中的资源进行付费。关于IAM的详细介绍，请参见《IAM产品介绍》。
DRS权限
默认情况下，管理员创建的IAM用户没有任何权限，需要将其加入用户组，并给用户组授予策略或角色，才能使得用户组中的用户获得对应的权限，这一过程称为授权。授权后，用户就可以基于被授予的权限对云服务进行操作。
DRS部署时通过物理区域划分，为项目级服务。授权时，“作用范围”需要选择“区域级项目”，然后在指定区域（如华北-北京四）对应的项目（cn-north-4）中设置相关权限，并且该权限仅对此项目生效；如果在“所有项目”中设置权限，则该权限在所有区域项目中都生效。访问DRS时，需要先切换至授权区域。
- 角色：IAM最初提供的一种根据用户的工作职能定义权限的粗粒度授权机制。该机制以服务为粒度，提供有限的服务相关角色用于授权。由于华为云各服务之间存在业务依赖关系，因此给用户授予角色时，可能需要一并授予依赖的其他角色，才能正确完成业务。角色并不能满足用户对精细化授权的要求，无法完全达到企业对权限最小化的安全管控要求。
- 策略：IAM最新提供的一种细粒度授权的能力，可以精确到具体服务的操作、资源以及请求条件等。基于策略的授权是一种更加灵活的授权方式，能够满足企业对权限最小化的安全管控要求。例如：针对ECS服务，管理员能够控制IAM用户仅能对某一类云服务器资源进行指定的管理操作。多数细粒度策略以API接口为粒度进行权限拆分。
如表1所示，包括了DRS的所有系统权限。
策略名称/系统角色 | 描述 | 类别 | 依赖关系 |
|---|---|---|---|
Security Administrator | 安全管理员。 为了提高数据复制服务的可用性，您需要在正式使用数据复制服务之前，在统一身份认证服务用户组管理中添加Security Administrator全局权限，避免由于权限问题造成某些功能不可用，如定时启动任务、全量完成自动结束、自动重试失败任务等自动功能。如果自动功能不可用，可参考常见问题DRS创建任务后执行自动功能失败。 | 系统角色 | 无。 |
DRS Administrator | 数据复制服务的管理员。 该权限为使用数据复制服务时必须添加的基础权限。 | 系统角色 | 依赖Tenant Guest、Server Administrator和RDS Administrator角色。
|
DRS FullAccess | 数据复制服务所有执行权限。 | 系统策略 | 依赖VPC FullAccess、RDS ReadOnlyAccess、SMN Administrator、OBS Administrator、EPS ReadOnlyAccess策略。
如果为包周期任务需要配置如下权限： BSS Operator或BSS Administrator |
DRS ReadOnlyAccess | 数据复制服务资源只读权限。 | 系统策略 | 根据选择需要配置如下策略： RDS ReadOnlyAccess：选择RDS需要配置。 SMN Administrator：消息通知需要配置。 |
DRS FullWithOutDeletePermission | 数据复制服务除结束和删除外的所有权限 | 系统策略 | 依赖VPC FullAccess、RDS ReadOnlyAccess、SMN Administrator、OBS Administrator策略。
如果为包周期任务需要配置如下权限： BSS Operator或BSS Administrator |
除了以上权限外，还需要根据选择配置对应数据库实例的读权限，例如界面选择DDM需要配置DDM ReadOnlyAccess权限，选择DDS需要配置DDS ReadOnlyAccess权限。
表2列出了数据复制服务常用操作与系统权限的授权关系，您可以参照该表选择合适的系统权限。
操作 | DRS FullAccess | DRS ReadOnlyAccess | DRS Administrator | DRS FullWithOutDeletePermission |
|---|---|---|---|---|
创建任务 | √ | x | √ | √ |
编辑任务 | √ | x | √ | √ |
删除任务 | √ | x | √ | x |
启动任务 | √ | x | √ | √ |
重试任务 | √ | x | √ | √ |
结束任务 | √ | x | √ | x |
表3列出了DRS常用操作以及对应的授权项，您可以参照该表自定义配置权限策略。
权限 | 授权项 | 备注 |
|---|---|---|
查询RPO和RTO | drs:dataGuardJob:list | 无。 |
主备倒换 | drs:disasterRecoveryJob:switchover | 无。 |
任务操作 | drs:migrationJob:action | 需要在项目上配置VPC FullAccess权限。 需要配置对应实例的读权限，例如数据库为RDS，需要配置RDS ReadOnlyAccess权限，为DDS需要配置DDS ReadOnlyAccess权限。 备份任务需要配置OBS Administrator权限。 |
终止迁移任务 | drs:migrationJob:terminate | 需要在项目上配置如下权限： VPC FullAccess RDS ReadOnlyAccess 备份任务需要配置如下权限： OBS Administrator 消息通知需要配置如下权限： SMN Administrator |
修改迁移任务 | drs:migrationJob:modify | 界面选择VPC、子网需要配置如下权限： VPC FullAccess 需要配置对应实例的读权限，例如界面选择RDS需要配置RDS ReadOnlyAccess权限，选择DDS需要配置DDS ReadOnlyAccess权限。 消息通知需要配置如下权限： SMN Administrator |
创建迁移任务 克隆任务 | drs:migrationJob:create | 界面选择VPC、子网需要配置如下权限： VPC FullAccess 需要配置对应实例的读权限，例如界面选择RDS需要配置RDS ReadOnlyAccess权限，选择DDS需要配置DDS ReadOnlyAccess权限。 消息通知需要配置如下权限： SMN Administrator 如果为包周期任务需要配置如下权限： BSS Operator或BSS Administrator |
删除迁移任务 | drs:migrationJob:delete | 无。 |
更新迁移用户信息 | drs:migrationJob:modifyUserInfo | 需要配置对应实例的读权限，例如数据库为RDS时，需要在项目上配置RDS ReadOnlyAccess权限。 |
迁移速度控制 | drs:migrationJob:setMigrationTransSpeed | 无。 |
修改数据库参数 | drs:dataBaseParams:modify | 需要配置对应实例的读权限，例如数据库为RDS时，需要在项目上配置RDS ReadOnlyAccess权限。 |
更新数据加工信息 | drs:dataTransformation:update | 需要配置对应实例的读权限，例如数据库为RDS时，需要在项目上配置RDS ReadOnlyAccess权限。 |
添加数据加工信息 | drs:dataTransformation:add | 需要配置对应实例的读权限，例如数据库为RDS时，需要在项目上配置RDS ReadOnlyAccess权限。 |
删除数据加工数据接口 | drs:dataTransformation:delete | 无。 |
更新数据库对象选择信息 | drs:migrationJob:update | 需要配置对应实例的读权限，例如数据库为RDS时，需要在项目上配置RDS ReadOnlyAccess权限。 |
更新同步任务忽略策略 | drs:synchronizationJob:update | 无。 |
更新任务配置 | drs:migrationJob:updateJobConfig | 无。 |
更新过滤DDL策略 | drs:migrationJob:updateDDLPolicy | 无。 |
修改对比策略 | drs:healthCompare:modify | 无。 |
停止对比任务 | drs:healthCompare:stop | 无。 |
创建对象级表对比任务 | drs:migrationCompareJob:create | 无。 |
取消数据级表对比任务 | drs:migrationCompareJob:delete | 无。 |
立即启动数据级表对比任务 | drs:migrationCompareJob:start | 无。 |
创建订阅任务 | drs:subscriptionJob:create | 界面选择RDS实例需要配置如下权限： RDS ReadOnlyAccess 消息通知需要配置如下权限： SMN Administrator 在项目上需要配置如下权限: VPC FullAccess |
修改订阅任务 | drs:subscriptionJob:update | 界面选择RDS实例需要配置如下权限： OBS Administrator RDS ReadOnlyAccess 消息通知需要配置如下权限： SMN Administrator 在项目上需要配置如下权限: VPC FullAccess |
编辑订阅任务信息 | drs:subscriptionJob:edit | 界面选择桶、RDS实例需要配置如下权限： OBS Administrator RDS ReadOnlyAccess 消息通知需要配置如下权限： SMN Administrator 还需要配置如下权限: VPC FullAccess |
删除订阅任务 | drs:subscriptionJob:delete | 无。 |
操作订阅任务 | drs:subscriptionJob:subscribe | 需要在项目上配置如下权限： VPC FullAccess RDS ReadOnlyAccess 备份任务需要配置如下权限： OBS Administrator 消息通知需要配置如下权限： SMN Administrator |
修改消费时间点 | drs:subscriptionJob:UpdateConsumeTime | 无。 |
创建备份迁移任务v2.0 | drs:backupMigrationJob:create | 界面选择桶、RDS实例需要配置如下权限： OBS Administrator RDS ReadOnlyAccess 消息通知需要配置如下权限： SMN Administrator |
删除备份迁移任务 | drs:backupMigrationJob:delete | 无。 |
修改备份迁移任务信息 | drs:backupMigrationJob:modify | 界面选择桶、RDS实例需要配置如下权限： OBS Administrator RDS ReadOnlyAccess 消息通知需要配置如下权限： SMN Administrator |
冻结解冻 | drs:frozenOrUnfreezeJob:frozen | 无。 |
资源清理 | drs:cleanJob:clean | 需要配置VPC FullAccess权限。 |
校验备份任务名称 | drs:backupMigrationJob:check | 无。 |
校验数据加工 | drs:dataTransformation:check | 无。 |
校验在线任务名称 | drs:migrationJob:check | 无。 |
获取数据库参数 | drs:databaseParameters:get | 无。 |
查询备份迁移任务列表 | drs:backupMigrationJob:list | 无。 |
查询备份迁移任务详细信息 | drs:backupMigrationJob:get | 无。 |
获取订阅任务详情 | drs:subscriptionJob:get | 需要配置对应实例的读权限，例如数据库为RDS时，需要在项目上配置RDS ReadOnlyAccess权限。 |
查询操作结果 | drs:job:getResult | 无。 |
获取任务价格信息 | drs:migrationJob:getMeteringPrice | 无。 |
查询数据加工信息 | drs:migrationTransformationJob:get | 无。 |
获取任务预检查结果 | drs:precheckJob:get | 无。 |
获取对象级迁移对比概览 | drs:compareJob:getOverview | 无。 |
查询数据级表对比任务列表 | drs:compareJob:list | 无。 |
查询数据级表对比任务结果 | drs:compareJob:getResult | 无。 |
获取对象级迁移对比详细信息 | drs:compareJob:getDetails | 无。 |
查询数据级表对比任务详细信息 | drs:compareJob:getContentsInfo | 无。 |
查询对比任务预估时间 | drs:compareJob:getEstimateTime | 无。 |
查询内容对比总览 | drs:compareJob:getContentOverview | 无。 |
查询行数对比总览 | drs:compareJob:getLineOverview | 无。 |
查询行数对比详情 | drs:compareJob:getLineDetail | 无。 |
获取用户对比详情 | drs:compareJob:getAccountDetails | 无。 |
查询内容对比详情 | drs:compareJob:getContentDetail | 无。 |
查询内容对比差异 | drs:compareJob:getContentDiff | 无。 |
获取在线迁移任务列表 | drs:migrationJob:list | 无。 |
获取在线迁移任务详情 | drs:migrationJob:get | 需要配置对应实例的读权限，例如数据库为RDS时，需要在项目上配置RDS ReadOnlyAccess权限。 |
获取对象级迁移对比概览 | drs:migrationJob:getCompareStruct | 无。 |
获取数据级流式对比 | drs:migrationJob:getStreamComparison | 无。 |
获取源库迁移用户列表 | drs:migrationJob:getSrcUsers | 需要配置对应实例的读权限，例如数据库为RDS时，需要在项目上配置RDS ReadOnlyAccess权限。 |
获取指定任务迁移进度 | drs:migrationJob:getSpecifiedProgress | 无。 |
获取指定任务数据库影响时间 | drs:migrationJob:getEffectTime | 无。 |
查询迁移进度 | drs:migrationJobs:getProgress | 无。 |
查询健康对比报告列表 | drs:healthCompareJob:list | 无。 |
获取对象级迁移对比概览 | drs:healthCompareJob:getOverview | 无。 |
获取对象级对比详细信息 | drs:healthCompareJob:getObjectDetail | 无。 |
获取用户对比详情 | drs:healthCompareJob:getAccountDetails | 无。 |
查询行数对比详情 | drs:healthCompareJob:getLineDetail | 无。 |
查询对比策略 | drs:healthCompareJob:getComparePolicy | 无。 |
获取容灾监控数据 | drs:disasterRecoveryJob:get | 需要配置如下权限： CES ReadOnlyAccess |
获取指定任务的RPO&RTO | drs:dataGuardJob:list | 无。 |
获取回放故障列表 | drs:replayFaultsJob:list | 无。 |
数据加工 | drs:migrationJob:action | 需要配置对应实例的读权限，例如数据库为RDS时，需要在项目上配置RDS ReadOnlyAccess权限。 |
启动任务 | drs:migrationJob:action | 需要配置VPC FullAccess权限。 |
查询任务详情 | drs:migrationJob:get | 需要配置对应实例读权限，比如数据库为RDS时，需要在项目上配置RDS ReadOnlyAccess权限。 |
查询任务状态 | drs:migrationJob:get | 无。 |
查询资源标签 | drs:tag:get | 无。 |
删除资源标签 | drs:tags:delete | 无。 |
添加资源标签 | drs:tag:add | 无。 |
修改资源标签 | drs:tag:modify | 无。 |
获取迁移日志 | drs:migrationJob:getLog | 无。 |
查询涉及到的kafka的topic信息 | drs:kafkaJob:get | 无。 |
获取支持特性列表 | drs:supportFeature:get | 无。 |
查询特性白名单 | drs:featureWhiteJob:list | 无。 |
查询需调整的配额 | drs:quota:adjust | 无。 |
更新配额 | drs:quota:update | 无。 |
查询配额 | drs:quota:get | 无。 |
更新用户指引 | drs:userGuide:update | 无。 |
获取用户指引详情 | drs:userGuide:list | 无。 |
查询预定义标签 | - | 查询预定义标签需要配置： tms:resourceTags:list |
查询配置日志组 | - | 查询配置日志组需要配置： lts:groups:get |
查询配置日志流 | - | 查询配置日志流需要配置： lts:topics:get |
获取实时同步任务列表 | drs:synchronizationJob:list | 无。 |
获取实时同步任务详情 | drs:synchronizationJob:get | 无。 |
获取实时灾备任务详情 | drs:dataGuardJob:get | 无。 |
获取数据订阅任务列表 | drs:subscriptionJob:list | 无。 |
获取录制回放任务列表 | drs:replayJob:list | 无。 |
获取录制回放任务详情 | drs:replayJob:get | 无。 |
