多活高可用服务 MAS-凭证管理:应用场景举例

时间：2024-01-15 16:27:38

多活高可用服务 MAS

当您使用A账号登录MAS控制台，默认可以添加A账号下的RDS资源作为数据源，如需要添加B账号下的RDS资源作为数据源，可通过B账号先创建委托将RDS资源共享给A账号，A账号在MAS控制台创建凭证（基于B账号创建的委托），并通过凭证来查询和调用B账号的RDS资源。

参考步骤如下：

委托方B账号创建委托并授权，建议授予被委托账号所需IAM和RDS的最小权限。

{
	"Version": "1.1",
	"Statement": [{
		"Action": [
			"iam:projects:listProjects"
		],
		"Effect": "Allow"
	}]
}

{
	"Version": "1.1",
	"Statement": [{
		"Action": [
			"rds:instance:list"
		],
		"Effect": "Allow"
	}]
}

被委托的A账号创建凭证，凭证类型选择“IAM委托”，“委托账号”和“委托名”根据1配置。
A账号创建命名空间，主多活分区“默认凭证”配置为“当前账号凭证”，备多活分区“默认凭证”配置为2中创建的凭证。
A账号添加数据源，命名空间选择3中命名空间的“备多活分区”，“链接模式”选择“RDS”,“凭证”默认为2中创建的凭证，此时在“实例列表”下所获取的RDS实例资源，均为B账号所属资源。
若A账号下的IAM用户需要通过凭证操作B账号资源，可参考权限管理为IAM用户授权，其权限需要包括如下自定义策略所含权限：
```
{
	"Version": "1.1",
	"Statement": [{
		"Effect": "Allow",
		"Action": [
			"iam:tokens:assume"
		]
	}]
}
```