# 权限管理 如果您需要对华为云上购买的数据复制服务（Data Replication Service）资源，给企业中的员工设置不同的访问权限，以达到不同员工之间的权限隔离，您可以使用统一身份认证服务（Identity and Access Management，简称IAM）进行精细的权限管理。该服务提供用户身份认证、权限分配、访问控制等功能，可以帮助您安全地控制华为云资源的访问。 通过IAM，您可以在华为账号中给员工创建IAM用户，并授权控制他们对华为云资源的访问范围。例如您的员工中有负责软件开发的人员，您希望他们拥有数据复制服务（Data Replication Service）的使用权限，但是不希望他们拥有删除数据复制服务资源等高危操作的权限，那么您可以使用IAM为开发人员创建用户，通过授予仅能使用数据复制服务资源，但是不允许删除数据复制服务资源的权限，控制他们对数据复制服务资源的使用范围。 如果华为账号已经能满足您的要求，不需要创建独立的IAM用户进行权限管理，您可以跳过本章节，不影响您使用数据复制服务的其它功能。 IAM是华为云提供权限管理的基础服务，无需付费即可使用，您只需要为您账号中的资源进行付费。关于IAM的详细介绍，请参见[《IAM产品介绍》](https://support.huaweicloud.com/productdesc-iam/iam_01_0026.html)。 #### DRS权限 默认情况下，管理员创建的IAM用户没有任何权限，需要将其加入用户组，并给用户组授予策略或角色，才能使得用户组中的用户获得对应的权限，这一过程称为授权。授权后，用户就可以基于被授予的权限对云服务进行操作。 DRS部署时通过物理区域划分，为项目级服务。授权时，"授权范围"需要选择"指定区域项目资源"，然后在指定区域（如华北-北京四）对应的项目（cn-north-4）中设置相关权限，并且该权限仅对此项目生效；如果在"所有项目"中设置权限，则该权限在所有区域项目中都生效。访问DRS时，需要先切换至授权区域。 根据授权精细程度分为角色和策略。 - 角色：IAM最初提供的一种根据用户的工作职能定义权限的粗粒度授权机制。该机制以服务为粒度，提供有限的服务相关角色用于授权。由于华为云各服务之间存在业务依赖关系，因此给用户授予角色时，可能需要一并授予依赖的其他角色，才能正确完成业务。角色并不能满足用户对精细化授权的要求，无法完全达到企业对权限最小化的安全管控要求。 - 策略：IAM最新提供的一种细粒度授权的能力，可以精确到具体服务的操作、资源以及请求条件等。基于策略的授权是一种更加灵活的授权方式，能够满足企业对权限最小化的安全管控要求。例如：针对ECS服务，管理员能够控制IAM用户仅能对某一类云服务器资源进行指定的管理操作。多数细粒度策略以API接口为粒度进行权限拆分。 如[表1]所示，包括了DRS的所有系统权限。 表1DRS系统权限 | **策略名称/系统角色** | **描述** | **类别** | **依赖关系** | |:---|:---|:---|:---| | Security Administrator | 安全管理员。 为了提高数据复制服务的可用性，您需要在正式使用数据复制服务之前，在统一身份认证服务用户组管理中添加Security Administrator全局权限，避免由于权限问题造成某些功能不可用，如定时启动任务、全量完成自动结束、自动重试失败任务等自动功能。如果自动功能不可用，可参考常见问题[DRS创建任务后执行自动功能失败](https://support.huaweicloud.com/drs_faq/drs_03_1129.html)。 | 系统角色 | 无。 | | DRS Administrator | 数据复制服务的管理员。 该权限为使用数据复制服务时必须添加的基础权限。 | 系统角色 | 依赖Tenant Guest、Server Administrator和RDS Administrator角色。 - Tenant Guest：项目级角色，在同项目中勾选。 - Server Administrator：项目级角色，在同项目中勾选。 - RDS Administrator：RDS管理员，属于项目级角色，在同项目中勾选。 | | DRS FullAccess | 数据复制服务的所有执行权限。 | 系统策略 | 依赖VPC FullAccess、RDS ReadOnlyAccess、SMN Administrator、OBS Administrator、EPS ReadOnlyAccess策略。 - VPC FullAccess：选择VPC、子网需要配置。 - RDS ReadOnlyAccess：选择RDS需要配置。 - SMN Administrator：消息通知需要配置。 - OBS Administrator：备份任务选择桶信息需要配置。 - EPS ReadOnlyAccess：选择企业项目时需要配置。 如果为包周期任务需要配置如下权限： BSS Operator或BSS Administrator | | DRS ReadOnlyAccess | 数据复制服务资源的只读权限。 | 系统策略 | 根据选择需要配置如下策略： RDS ReadOnlyAccess：选择RDS需要配置。 SMN Administrator：消息通知需要配置。 | | DRS FullWithOutDeletePermission | 数据复制服务除结束和删除外的所有权限 | 系统策略 | 依赖VPC FullAccess、RDS ReadOnlyAccess、SMN Administrator、OBS Administrator策略。 - VPC FullAccess：选择VPC、子网需要配置。 - RDS ReadOnlyAccess：选择RDS需要配置。 - SMN Administrator：消息通知需要配置。 - OBS Administrator：备份任务选择桶信息需要配置。 如果为包周期任务需要配置如下权限： BSS Operator或BSS Administrator | | DRS AgencyPolicy | 数据复制服务委托权限，勿手动授权。 | 系统策略 | 无。 | ![](https://support.huaweicloud.com/productdesc-drs/public_sys-resources/note_3.0-zh-cn.png) 除了以上权限外，还需要根据选择配置对应数据库实例的读权限，例如界面选择DDM需要配置DDM ReadOnlyAccess权限，选择DDS需要配置DDS ReadOnlyAccess权限。 [表2]列出了数据复制服务常用操作与系统权限的授权关系，您可以参照该表选择合适的系统权限。 表2常用操作与系统权限的关系 | **操作** | **DRS FullAccess** | **DRS ReadOnlyAccess** | **DRS Administrator** | **DRS FullWithOutDeletePermission** | |:---|:---|:---|:---|:---| | 创建任务 | √ | x | √ | √ | | 编辑任务 | √ | x | √ | √ | | 删除任务 | √ | x | √ | x | | 启动任务 | √ | x | √ | √ | | 重试任务 | √ | x | √ | √ | | 结束任务 | √ | x | √ | x | [表3]列出了DRS常用操作以及对应的授权项，您可以参照该表自定义配置权限策略。 表3常用操作与对应的授权项 | **权限** | **授权项** | **备注** | |:---|:---|:---| | 查询灾备任务上一次倒换详情信息 | drs:cloudDataGuardJob:getSwitchoverInfo | 无。 | | 下载文件 | drs:configuration:downloadFile | 无。 | | 查询下载文件列表 | drs:configuration:showFiles | 无。 | | 暂停数据对比任务 | drs:compareJob:pause | 无。 | | 继续数据对比任务 | drs:compareJob:restart | 无。 | | 查询RPO和RTO | drs:dataGuardJob:list | 无。 | | 主备倒换 | drs:disasterRecoveryJob:switchover | 无。 | | 任务操作 | drs:migrationJob:action | 需要在项目上配置VPC FullAccess权限。 需要配置对应实例的读权限，例如数据库为RDS，需要配置RDS ReadOnlyAccess权限，为DDS需要配置DDS ReadOnlyAccess权限。 备份任务需要配置OBS Administrator权限。 | | 终止迁移任务 | drs:migrationJob:terminate | 需要在项目上配置如下权限： VPC FullAccess RDS ReadOnlyAccess 备份任务需要配置如下权限： OBS Administrator 消息通知需要配置如下权限： SMN Administrator | | 修改迁移任务 | drs:migrationJob:modify | 界面选择VPC、子网需要配置如下权限： VPC FullAccess 需要配置对应实例的读权限，例如界面选择RDS需要配置RDS ReadOnlyAccess权限，选择DDS需要配置DDS ReadOnlyAccess权限。 消息通知需要配置如下权限： SMN Administrator | | 创建迁移任务 克隆任务 | drs:migrationJob:create | 界面选择VPC、子网需要配置如下权限： VPC FullAccess 需要配置对应实例的读权限，例如界面选择RDS需要配置RDS ReadOnlyAccess权限，选择DDS需要配置DDS ReadOnlyAccess权限。 消息通知需要配置如下权限： SMN Administrator 如果为包周期任务需要配置如下权限： BSS Operator或BSS Administrator | | 删除迁移任务 | drs:migrationJob:delete | 无。 | | 更新迁移用户信息 | drs:migrationJob:modifyUserInfo | 需要配置对应实例的读权限，例如数据库为RDS时，需要在项目上配置RDS ReadOnlyAccess权限。 | | 迁移速度控制 | drs:migrationJob:setMigrationTransSpeed | 无。 | | 修改数据库参数 | drs:dataBaseParams:modify | 需要配置对应实例的读权限，例如数据库为RDS时，需要在项目上配置RDS ReadOnlyAccess权限。 | | 更新数据加工信息 | drs:dataTransformation:update | 需要配置对应实例的读权限，例如数据库为RDS时，需要在项目上配置RDS ReadOnlyAccess权限。 | | 添加数据加工信息 | drs:dataTransformation:add | 需要配置对应实例的读权限，例如数据库为RDS时，需要在项目上配置RDS ReadOnlyAccess权限。 | | 删除数据加工数据接口 | drs:dataTransformation:delete | 无。 | | 更新数据库对象选择信息 | drs:migrationJob:update | 需要配置对应实例的读权限，例如数据库为RDS时，需要在项目上配置RDS ReadOnlyAccess权限。 | | 更新同步任务忽略策略 | drs:synchronizationJob:update | 无。 | | 更新任务配置 | drs:migrationJob:updateJobConfig | 无。 | | 更新过滤DDL策略 | drs:migrationJob:updateDDLPolicy | 无。 | | 修改对比策略 | drs:healthCompare:modify | 无。 | | 停止对比任务 | drs:healthCompare:stop | 无。 | | 创建对象级表对比任务 | drs:migrationCompareJob:create | 无。 | | 取消数据级表对比任务 | drs:migrationCompareJob:delete | 无。 | | 立即启动数据级表对比任务 | drs:migrationCompareJob:start | 无。 | | 创建订阅任务 | drs:subscriptionJob:create | 界面选择RDS实例需要配置如下权限： RDS ReadOnlyAccess 消息通知需要配置如下权限： SMN Administrator 在项目上需要配置如下权限: VPC FullAccess | | 修改订阅任务 | drs:subscriptionJob:update | 界面选择RDS实例需要配置如下权限： OBS Administrator RDS ReadOnlyAccess 消息通知需要配置如下权限： SMN Administrator 在项目上需要配置如下权限: VPC FullAccess | | 编辑订阅任务信息 | drs:subscriptionJob:edit | 界面选择桶、RDS实例需要配置如下权限： OBS Administrator RDS ReadOnlyAccess 消息通知需要配置如下权限： SMN Administrator 还需要配置如下权限: VPC FullAccess | | 删除订阅任务 | drs:subscriptionJob:delete | 无。 | | 操作订阅任务 | drs:subscriptionJob:subscribe | 需要在项目上配置如下权限： VPC FullAccess RDS ReadOnlyAccess 备份任务需要配置如下权限： OBS Administrator 消息通知需要配置如下权限： SMN Administrator | | 修改消费时间点 | drs:subscriptionJob:UpdateConsumeTime | 无。 | | 创建备份迁移任务v2.0 | drs:backupMigrationJob:create | 界面选择桶、RDS实例需要配置如下权限： OBS Administrator RDS ReadOnlyAccess 消息通知需要配置如下权限： SMN Administrator | | 删除备份迁移任务 | drs:backupMigrationJob:delete | 无。 | | 修改备份迁移任务信息 | drs:backupMigrationJob:modify | 界面选择桶、RDS实例需要配置如下权限： OBS Administrator RDS ReadOnlyAccess 消息通知需要配置如下权限： SMN Administrator | | 冻结解冻 | drs:frozenOrUnfreezeJob:frozen | 无。 | | 资源清理 | drs:cleanJob:clean | 需要配置VPC FullAccess权限。 | | 校验备份任务名称 | drs:backupMigrationJob:check | 无。 | | 校验数据加工 | drs:dataTransformation:check | 无。 | | 校验在线任务名称 | drs:migrationJob:check | 无。 | | 获取数据库参数 | drs:databaseParameters:get | 无。 | | 查询备份迁移任务列表 | drs:backupMigrationJob:list | 无。 | | 查询备份迁移任务详细信息 | drs:backupMigrationJob:get | 无。 | | 获取订阅任务详情 | drs:subscriptionJob:get | 需要配置对应实例的读权限，例如数据库为RDS时，需要在项目上配置RDS ReadOnlyAccess权限。 | | 查询操作结果 | drs:job:getResult | 无。 | | 获取任务价格信息 | drs:migrationJob:getMeteringPrice | 无。 | | 查询数据加工信息 | drs:migrationTransformationJob:get | 无。 | | 获取任务预检查结果 | drs:precheckJob:get | 无。 | | 获取对象级迁移对比概览 | drs:compareJob:getOverview | 无。 | | 查询数据级表对比任务列表 | drs:compareJob:list | 无。 | | 查询数据级表对比任务结果 | drs:compareJob:getResult | 无。 | | 获取对象级迁移对比详细信息 | drs:compareJob:getDetails | 无。 | | 查询数据级表对比任务详细信息 | drs:compareJob:getContentsInfo | 无。 | | 查询对比任务预估时间 | drs:compareJob:getEstimateTime | 无。 | | 查询内容对比总览 | drs:compareJob:getContentOverview | 无。 | | 查询行数对比总览 | drs:compareJob:getLineOverview | 无。 | | 查询行数对比详情 | drs:compareJob:getLineDetail | 无。 | | 获取用户对比详情 | drs:compareJob:getAccountDetails | 无。 | | 查询内容对比详情 | drs:compareJob:getContentDetail | 无。 | | 查询内容对比差异 | drs:compareJob:getContentDiff | 无。 | | 获取在线迁移任务列表 | drs:migrationJob:list | 无。 | | 获取在线迁移任务详情 | drs:migrationJob:get | 需要配置对应实例的读权限，例如数据库为RDS时，需要在项目上配置RDS ReadOnlyAccess权限。 | | 获取对象级迁移对比概览 | drs:migrationJob:getCompareStruct | 无。 | | 获取数据级流式对比 | drs:migrationJob:getStreamComparison | 无。 | | 获取源库迁移用户列表 | drs:migrationJob:getSrcUsers | 需要配置对应实例的读权限，例如数据库为RDS时，需要在项目上配置RDS ReadOnlyAccess权限。 | | 获取指定任务迁移进度 | drs:migrationJob:getSpecifiedProgress | 无。 | | 获取指定任务数据库影响时间 | drs:migrationJob:getEffectTime | 无。 | | 查询迁移进度 | drs:migrationJobs:getProgress | 无。 | | 查询健康对比报告列表 | drs:healthCompareJob:list | 无。 | | 获取对象级迁移对比概览 | drs:healthCompareJob:getOverview | 无。 | | 获取对象级对比详细信息 | drs:healthCompareJob:getObjectDetail | 无。 | | 获取用户对比详情 | drs:healthCompareJob:getAccountDetails | 无。 | | 查询行数对比详情 | drs:healthCompareJob:getLineDetail | 无。 | | 查询对比策略 | drs:healthCompareJob:getComparePolicy | 无。 | | 获取容灾监控数据 | drs:disasterRecoveryJob:get | 需要配置如下权限： CES ReadOnlyAccess | | 获取指定任务的RPO\&RTO | drs:dataGuardJob:list | 无。 | | 获取回放故障列表 | drs:replayFaultsJob:list | 无。 | | 数据加工 | drs:migrationJob:action | 需要配置对应实例的读权限，例如数据库为RDS时，需要在项目上配置RDS ReadOnlyAccess权限。 | | 启动任务 | drs:migrationJob:action | 需要配置VPC FullAccess权限。 | | 查询任务详情 | drs:migrationJob:get | 需要配置对应实例读权限，比如数据库为RDS时，需要在项目上配置RDS ReadOnlyAccess权限。 | | 查询任务状态 | drs:migrationJob:get | 无。 | | 查询资源标签 | drs:tag:get | 无。 | | 删除资源标签 | drs:tags:delete | 无。 | | 添加资源标签 | drs:tag:add | 无。 | | 修改资源标签 | drs:tag:modify | 无。 | | 获取迁移日志 | drs:migrationJob:getLog | 无。 | | 查询涉及到的kafka的topic信息 | drs:kafkaJob:get | 无。 | | 获取支持特性列表 | drs:supportFeature:get | 无。 | | 查询特性白名单 | drs:featureWhiteJob:list | 无。 | | 查询需调整的配额 | drs:quota:adjust | 无。 | | 更新配额 | drs:quota:update | 无。 | | 查询配额 | drs:quota:get | 无。 | | 更新用户指引 | drs:userGuide:update | 无。 | | 获取用户指引详情 | drs:userGuide:list | 无。 | | 查询预定义标签 | - | 查询预定义标签需要配置： tms:resourceTags:list | | 查询配置日志组 | - | 查询配置日志组需要配置： lts:groups:get | | 查询配置日志流 | - | 查询配置日志流需要配置： lts:topics:get | | 获取实时同步任务列表 | drs:synchronizationJob:list | 无。 | | 获取实时同步任务详情 | drs:synchronizationJob:get | 无。 | | 获取实时灾备任务详情 | drs:dataGuardJob:get | 无。 | | 获取数据订阅任务列表 | drs:subscriptionJob:list | 无。 | | 获取录制回放任务列表 | drs:replayJob:list | 无。 | | 获取录制回放任务详情 | drs:replayJob:get | 无。 | #### 相关链接 - [IAM产品介绍](https://support.huaweicloud.com/productdesc-iam/iam_01_0026.html) - [创建用户并授权使用DRS](https://support.huaweicloud.com/prepare-drs/drs_08_0012.html)