多活高可用服务 MAS-凭证管理:应用场景举例

时间：2025-02-12 15:02:57

多活高可用服务 MAS

当您使用A账号登录MAS控制台，默认可以添加A账号下的RDS资源作为数据源，如需要添加B账号下的RDS资源作为数据源，可通过B账号先创建委托将RDS资源共享给A账号，A账号在MAS控制台创建凭证（基于B账号创建的委托），并通过凭证来查询和调用B账号的RDS资源。

参考步骤如下：

委托方B账号创建委托并授权，建议授予被委托账号所需 IAM 和RDS的最小权限。

{"Version": "1.1","Statement": [{"Action": ["iam:projects:listProjects"],"Effect": "Allow"}]}

{"Version": "1.1","Statement": [{"Action": ["rds:instance:list"],"Effect": "Allow"}]}

被委托的A账号创建凭证，凭证类型选择“IAM委托”，“委托账号”和“委托名”根据1配置。
A账号创建命名空间，主多活分区“默认凭证”配置为“当前账号凭证”，备多活分区“默认凭证”配置为2中创建的凭证。
A账号添加数据源，命名空间选择3中命名空间的“备多活分区”，“链接模式”选择“RDS”,“凭证”默认为2中创建的凭证，此时在“实例列表”下所获取的RDS实例资源，均为B账号所属资源。
若A账号下的IAM用户需要通过凭证操作B账号资源，可参考权限管理为IAM用户授权，其权限需要包括如下自定义策略所含权限：
```
{"Version": "1.1","Statement": [{"Effect": "Allow","Action": ["iam:tokens:assume"]}]}
```