管理数据库控制策略

操作场景

创建数据库控制策略后，可以在数据库控制策略列表中，对目标数据库控制策略进行修改、关联规则集、关联用户或用户组、关联资源账户或账户组、启用或禁用、删除等操作。

前提条件

当前用户所属角色已拥有“数据库控制策略”模块的管理权限，如何查看各角色的权限，请参见角色。

查看和修改数据库控制策略

若数据库控制策略有变更，例如运维人员有变动，授权资源权限有变化等。可查看和修改已创建的策略配置，包括修改策略基本信息、修改关联规则集、修改关联用户或用户组、修改关联资源账户或账户组等。

修改策略配置，且策略状态为“已启用”时，策略规则才生效。
修改策略配置后，若关联用户已登录资源，需退出登录重新连接，相关策略规则在下一次运维操作时才会生效。

登录堡垒机系统。
在左侧导航栏，选择“策略 > 数据库控制策略 >策略列表”，进入策略列表页面。

查看策略列表信息。

表1 数据库控制策略列表参数说明
参数	说明
策略名称	数据库控制策略的名称。
状态	数据库控制策略的状态。已启用：策略正常启用中。已禁用：策略已被禁用，如需启用，请参考启用/禁用数据库控制策略。未生效：策略未生效，即当前时间还未到策略的生效时间，可修改策略的“有效期”，使之生效。已过期：策略已过期，即当前时间已超过策略的失效时间，可修改策略的“有效期”，使之生效。待完善：表示策略未关联规则集、用户/用户组、或资源账户/账户组，如需关联，请参见为数据库控制策略关联规则集、为数据库控制策略关联用户/用户组、为数据库控制策略关联资源账户/账户组。
执行动作	当前策略的执行动作。断开连接：触发该策略规则后，拒绝执行该操作，断开会话连接，界面提示“本次连接已被管理员强制断开！”。拒绝执行：触发该策略规则后，拒绝执行该操作，界面提示“操作“xxx”已被拦截”。动态授权：触发该策略规则后，拒绝执行该操作，界面提示“操作“xxx”已被拦截，请提交数据库授权工单申请动态授权”，同时生成数据库授权工单。用户需提交工单，并审核通过后，才能继续执行该命令。允许执行：默认允许执行所有操作。当触发策略规则后，放行规则集中操作。
规则集	当前策略已关联的规则集。
用户	当前策略已关联的用户及用户组。
资源账户	当前策略已关联的资源账户及账户组。
操作	对当前策略可执行的操作。

在目标策略所在行，单击策略名称，或单击“操作”列的“管理”，进入策略详情页面。
查看和修改策略的基本信息。
- 在“基本信息”区域，可查看当前策略的部门、状态等基本信息。
- 单击“基本信息”区域右侧的“编辑”，弹出配置窗口，可修改策略的“策略名称”、“执行动作”、“有效期”、“时间限制”，参数说明可参见表1。
查看和修改策略关联的规则集。
- 在“规则集”区域下的列表中，可查看当前策略已关联的规则集信息。
- 单击“规则集”区域右侧的“编辑”，弹出配置窗口，可立即添加关联的规则集。
- 在列表中目标规则集所在行，单击“移除”，可立即删除该关联规则集。
查看和修改策略关联的用户/用户组。
- 分别在“用户”、“用户组”区域下的列表中，可查看当前策略已关联的用户/用户组信息。
- 单击“用户”、“用户组”区域右侧的“编辑”，弹出配置窗口，可立即添加关联的用户/用户组。
- 在列表中目标用户/用户组所在行，单击“移除”，可立即删除该关联用户/用户组，取消授权。
查看和修改策略关联的资源账户和账户组。
- 分别在“资源账户”、“账户组”区域下的列表中，可查看当前策略已关联的资源账户/账户组信息。
- 单击“资源账户”、“账户组”区域右侧的“编辑”，弹出配置窗口，可立即添加关联的资源账户/账户组。
- 在列表中目标资源账户/账户组所在行，单击“移除”，可立即删除该关联资源账户/账户组，取消授权。

为数据库控制策略关联规则集

登录堡垒机系统。
在左侧导航栏，选择“策略 > 数据库控制策略 >策略列表”，进入策略列表页面。
在目标策略所在行的“操作”列，单击“关联”，选择“规则集”。
在弹出的编辑窗口中，关联规则集。
- 可同时关联多个规则集，如何创建规则集，请参见创建和管理规则集。
  - 选择规则集：在“可选择的规则集”框中勾选规则集后，单击，将其移动到“已选择的规则集”框中。
  - 移除规则集：在“已选择的规则集”框中勾选规则集后，单击，将其移动到“可选择的规则集”框中。
- 当规则集关联策略后，新加入到规则集中的规则会自动继承规则集的策略权限。
单击“确定”。

为数据库控制策略关联用户/用户组

登录堡垒机系统。
在左侧导航栏，选择“策略 > 数据库控制策略 >策略列表”，进入策略列表页面。
在目标策略所在行的“操作”列，单击“关联”，选择“用户”或“用户组”。
在弹出的编辑窗口中，关联用户或用户组。
请确保关联的用户或关联的用户组中的用户拥有提交数据库授权工单的权限，即用户所属角色已拥有“数据库授权工单”模块的管理权限，否则用户登录系统后无法查看数据库授权工单模块，则不能提交工单获取资源运维权限。如何查看各角色的权限，请参见角色。
- 可同时关联多个用户或用户组。
  - 选择用户或用户组：在“关联用户”/“关联用户组”页签，在“可选择的用户”/“可选择的用户组”框中勾选用户或用户组后，单击，将其移动到“已选择的用户”/“已选择的用户组”框中。
  - 移除用户或用户组：在“关联用户”/“关联用户组”页签，在“已选择的用户”/“已选择的用户组”框中勾选用户或用户组后，单击，将其移动到“可选择的用户”/“可选择的用户组”框中。
- 当用户组关联策略后，新用户加入到用户组中会自动继承用户组的策略权限。
单击“确定”。

为数据库控制策略关联资源账户/账户组

登录堡垒机系统。
在左侧导航栏，选择“策略 > 数据库控制策略 >策略列表”，进入策略列表页面。
在目标策略所在行的“操作”列，单击“关联”，选择“资源账户”或“账户组”。
在弹出的编辑窗口中，关联资源账户或账户组。
- 可同时关联多个资源账户或账户组。
  - 选择资源账户或账户组：在“关联资源账户”/“关联账户组”页签，在“可选择的资源账户”/“可选择的账户组”框中勾选资源账户或账户组后，单击，将其移动到“已选择的资源账户”/“已选择的账户组”框中。
  - 移除资源账户或账户组：在“关联资源账户”/“关联账户组”页签，在“已选择的资源账户”/“已选择的账户组”框中勾选资源账户或账户组后，单击，将其移动到“可选择的资源账户”/“可选择的账户组”框中。
- 当账户组关联策略后，新资源账户加入到账户组中会自动继承账户组的策略权限。
单击“确定”。