IAM權限管理
如果帳號已經能滿足您的要求，不需要創建獨立的IAM用戶進行權限管理，您可以跳過本章節，不影響您使用TaurusDB的其他功能。
如果您需要對購買的TaurusDB資源，為企業中的員工設置不同的訪問權限，為達到不同員工之間的權限隔離，您可以使用統一身份認證服務 （Identity and Access Management，簡稱IAM）進行精細的權限管理。該服務提供用戶身份認證、權限分配、訪問控制等功能，可以幫助您安全的控制資源的訪問。
通過IAM，您可以在帳號中給員工創建IAM用戶，并授權控制員工對資源的訪問范圍。例如您的員工中有負責軟件開發的人員，您希望開發人員擁有TaurusDB的使用權限，但是不希望擁有刪除TaurusDB等高危操作的權限，那么您可以使用IAM為開發人員創建用戶，通過授予僅能使用TaurusDB，但是不允許刪除TaurusDB的權限，控制開發人員對TaurusDB資源的使用范圍。
IAM是提供權限管理的基礎服務，無需付費即可使用，您只需要為您帳號中的資源進行付費。
TaurusDB權限
默認情況下，管理員創建的IAM用戶沒有任何權限，需要將其加入用戶組，并給用戶組授予策略或角色，才能使得用戶組中的用戶獲得對應的權限，這一過程稱為授權。授權后，用戶就可以基于被授予的權限對云服務進行操作。
TaurusDB部署時通過物理區域劃分，為項目級服務。授權時，“作用范圍”需要選擇“區域級項目”，然后在指定區域對應的項目中設置相關權限，并且該權限僅對此項目生效；如果在“所有項目”中設置權限，則該權限在所有區域項目中都生效。訪問TaurusDB時，需要先切換至授權區域。
- 策略：IAM最新提供的一種細粒度授權的能力，可以精確到具體服務的操作、資源以及請求條件等。基于策略的授權是一種更加靈活的授權方式，能夠滿足企業對權限最小化的安全管控要求。例如：針對云數據庫TaurusDB，管理員能夠控制IAM用戶僅能對某一類數據庫資源進行指定的管理操作。
如下表所示，包括了云數據庫TaurusDB的所有系統權限。
表 TaurusDB系統權限
| 策略名稱 | 描述 | 類別 |
|---|---|---|
| GaussDB FullAccess | 云數據庫TaurusDB服務的所有執行權限。 | 系統策略 |
| GaussDB ReadOnlyAccess | 云數據庫TaurusDB服務的只讀訪問權限。 | 系統策略 |
下表列出了云數據庫TaurusDB常用操作與系統權限的授權關系，您可以參照該表選擇合適的系統權限。
表 常用操作與系統權限的關系
| 操作 | GaussDB FullAccess | GaussDB ReadOnlyAccess |
|---|---|---|
| 創建TaurusDB實例 | 支持 | 不支持 |
| 刪除TaurusDB實例 | 支持 | 不支持 |
| 查詢TaurusDB實例列表 | 支持 | 支持 |
表 常用操作與對應授權項
| 操作名稱 | 授權項 | 備注 |
|---|---|---|
| 修改參數模板 | gaussdb:param:modify | - |
| 變更數據庫實例的規格 | gaussdb:instance:modifySpec | - |
| 創建數據庫實例 | gaussdb:instance:create | 界面選擇VPC、子網、安全組需要配置：vpc:vpcs:listvpc:vpcs:getvpc:subnets:getvpc:securityGroups:get創建加密實例需要在項目上配置KMS Administrator權限。創建包周期實例需要配置CBC權限：bss:renewal:viewbss:renewal:updatebss:balance:viewbss:order:view |
| 創建手動備份 | gaussdb:backup:create | - |
| 查詢備份列表 | gaussdb:backup:list | - |
| 查詢錯誤日志 | gaussdb:log:list | - |
| 重啟實例 | gaussdb:instance:restart | - |
| 查詢數據庫實例列表 | gaussdb:instance:list | - |
| 創建參數模板 | gaussdb:param:create | - |
| 刪除參數模板 | gaussdb:param:delete | - |
| 修改備份策略 | gaussdb:instance:modifyBackupPolicy | - |
| 查看參數模板 | gaussdb:param:list | - |
| 刪除實例 | gaussdb:instance:delete | - |
| 刪除手動備份 | gaussdb:backup:delete | - |
| 查詢項目標簽 | gaussdb:tag:list | - |
| 應用參數模板 | gaussdb:param:apply | - |
| 批量添加刪除項目標簽 | gaussdb:instance:dealTag | - |
| 變更配額 | gaussdb:quota:modify | - |
| 升級數據庫實例版本 | gaussdb:instance:upgrade | - |
| 只讀升主 | gaussdb:instance:switchover | - |
| 修改數據庫端口 | gaussdb:instance:modifyPort | - |
| 修改實例安全組 | gaussdb:instance:modifySecurityGroup | - |
| 修改讀寫內網地址 | gaussdb:instance:modifyIp | 界面選擇ip需要配置：vpc:vpcs:listvpc:vpcs:get |
| 開啟、關閉SSL | gaussdb:instance:modifySSL | - |
| 修改實例名稱 | gaussdb:instance:rename | - |
| 添加只讀節點 | gaussdb:instance:addNodes | - |
| 刪除只讀節點 | gaussdb:instance:deleteNodes | - |
| 修改存儲空間 | gaussdb:instance:modifyStorageSize | - |
| 修改數據庫實例密碼 | gaussdb:instance:modifyPassword | - |
| 綁定公網IP | gaussdb:instance:bindPublicIp | 界面列出公網IP需要配置：vpc:publicIps:getvpc:publicIps:list |
| 解綁公網IP | gaussdb:instance:unbindPublicIp | - |
| 修改監控策略 | gaussdb:instance:modifyMonitorPolicy | - |
| 修改節點倒換優先級 | gaussdb:instance:modifySwitchoverPriority | - |
| 修改可維護時間窗 | gaussdb:instance:modifyMaintenanceWindow | - |
| 節點隔離 | gaussdb:instance:isolateNodes | - |
| 創建數據庫用戶 | gaussdb:user:create | - |
| 刪除數據庫用戶 | gaussdb:user:delete | - |
| 修改數據庫用戶密碼 | gaussdb:user:modify | - |
| 查詢數據庫用戶 | gaussdb:user:list | - |
| 數據庫用戶授權 | gaussdb:user:grantPrivilege | - |
| 回收數據庫用戶權限 | gaussdb:user:revokePrivilege | - |
| 創建數據庫 | gaussdb:database:create | - |
| 刪除數據庫 | gaussdb:database:delete | - |
| 查詢數據庫列表 | gaussdb:database:list | - |
