通过自定义策略授权子账号管理DTS

注意事项

• 子账号暂不支持配置目标库为MaxCompute的数据同步作业，需要使用主账号完成配置。
• 使用子账号配置DTS的任务时，如果数据库是数据库网关DG或云企业网CEN接入的，您还需要为子账号授予AliyunDGFullAccess（管理数据库网关DG的权限）或AliyunCENFullAccess（管理云企业网CEN的权限）权限。

步骤一：创建自定义权限策略

1. 云账号登录RAM控制台。
2. 在左侧导航栏的权限管理菜单下，单击权限策略管理。
3. 单击新建权限策略。
4. 配置自定义策略信息。
   

   配置	说明
   策略名称	建议填入具备业务意义的名称以便后续识别。
   备注（可选）	填入该策略的备注信息。
   配置模式	DTS仅支持脚本配置，此处选择为脚本配置。
   策略内容	下拉选择系统已有的策略，将其导入至本策略中。 说明 本案例介绍自定义策略，此选项无需配置。
   权限策略框	填入具体的权限策略信息，表格下方为您列出了一些常见的自定义权限策略供您参考。 说明 权限策略是用语法结构描述的一组权限的集合，可以精确地描述被授权的资源集、操作集以及授权条件，详细的语言规范请参见权限策略语法和结构。 当前支持资源（Resource）和操作（Action）级别的授权。

   常见的自定义权限策略：

   说明

   • 您需要根据业务需求，将下述代码中的DTS实例ID替换为真实的DTS实例ID。
   • 授予只读权限可以查询对应DTS实例的任务详情、任务配置等信息，不能进行变更操作；授予读写权限可以配置、管理对应的实例。

   示例1 示例2 示例3 示例4

   {
       "Statement": [
           {
               "Effect": "Allow",
               "Action": "dts:Describe*",
               "Resource": "acs:dts:*:*:instance/DTS实例ID"
           }
       ],
       "Version": "1"
   }

   {
       "Statement": [
           {
               "Effect": "Allow",
               "Action": "dts:*",
               "Resource": [
                   "acs:dts:*:*:instance/DTS实例ID",
                   "acs:dts:*:*:instance/DTS实例ID"
               ]
           }
       ],
       "Version": "1"
   }

   {
       "Statement": [
           {
               "Effect": "Allow",
               "Action": [
                   "dts:DescribeSynchronizationJobStatus",
                   "dts:DescribeSynchronizationJobs"
               ],
               "Resource": "acs:dts:*:*:instance/DTS实例ID"
           }
       ],
       "Version": "1"
   }

   {
       "Statement": [
           {
               "Effect": "Allow",
               "Action": [
                   "dts:DescribeSubscriptionInstances",
                   "dts:StartSynchronizationJob",
                   "dts:SuspendSynchronizationJob"
               ],
               "Resource": [
                   "acs:dts:*:*:instance/DTS实例ID",
                   "acs:dts:*:*:instance/DTS实例ID",
           }
       ],
       "Version": "1"
   }

   • 示例1：单个实例的只读权限
   • 示例2：多个实例的读写权限
   • 示例3：查看单个数据同步实例配置
   • 示例4：启动或暂停多个数据同步实例
5. 单击确定。

步骤二：为RAM用户授权自定义策略

1. 云账号登录RAM控制台。
2. 创建RAM用户。
3. 在左侧导航栏的人员管理菜单下，单击用户。
4. 在用户登录名称/显示名称列表下，找到目标RAM用户。
5. 单击添加权限。
   
6. 在添加权限对话框中，配置授权信息。
   1. 选择权限为自定义权限策略。
   2. 单击需要授权的自定义权限策略名称，将其添加到已选择区域框中。
      
7. 单击确定。
8. 单击完成。

操作级别授权的常见场景

相关操作

• 使用RAM用户登录控制台。
• 通过SDK调用DTS的相关API接口，详情请参见DTS Java SDK使用说明。

常见问题

Q：为什么使用RAM用户登录DTS控制台会提示下述错误，而且不展示实例列表信息？

A：由于RAM用户可能无权限或只有部分实例的权限，DTS控制台不会展示实例列表信息，您需要从RAM管理员处获取RAM用户有管理权限的DTS实例ID，然后在DTS控制台中搜索对应的实例ID进行管理。