Cấu hình IAM

Quyền truy cập FPT Database Engine được cấp qua IAM theo hai bước: role gom một bộ quyền, còn user group gắn user với role. Hãy định nghĩa role trước, rồi mới tạo group mang role đó, vì cấp quyền theo group thay vì theo từng user giúp giảm công quản trị và giữ quyền nhất quán.

Mô hình phân quyền

IAM quyết định ai được thực hiện thao tác nào, trên tài nguyên nào. Toàn bộ mô hình nằm trong phạm vi một Tenant và các VPC bên trong nó. Chính phạm vi này giúp phân tách trách nhiệm và giúp việc rà soát quyền về sau trở nên rõ ràng.

Thành phần	Là gì
Role	Tập hợp permission, xác định người giữ role được thực hiện những thao tác nào trên tài nguyên FPT Database Engine.
Permission	Một quyền cụ thể cho một hành động, chẳng hạn xem, tạo, sửa hoặc xóa tài nguyên.
User Group	Nhóm user cùng chia sẻ role và phạm vi truy cập, ở mức Tenant hoặc VPC.
IAM User	Định danh cá nhân được thêm vào Tenant, nhận quyền thông qua group và role.

Chỉ cấp quyền tối thiểu đủ dùng

Chỉ cấp cho role đúng những gì công việc cần. Người chỉ đọc log thì không cần thêm quyền thay đổi cấu hình hay xóa tài nguyên.

Tạo role

1. Đăng nhập FPT Cloud Portal.

2. Từ menu chính, chọn IAM → Roles. Trang Role Management liệt kê các role đang có, kèm tùy chọn tạo, sửa, xóa.

3. Nhấn Create role.

   

4. Nhập tên role và mô tả, rồi thêm các quyền role cần. Cách cấu hình một quyền nằm ở phần dưới.

5. Nhấn Create role.

Role mới xuất hiện trong danh sách với trạng thái Active, sẵn sàng để gán.

Các trường của role

Trường	Nhập gì
Role name	Bắt buộc. Tên định danh role trong IAM, tối đa 100 ký tự, dùng chữ, số, gạch dưới (_), gạch nối (-), dấu cách và dấu chấm (.).
Description	Mục đích của role, phạm vi quyền, hoặc nhóm người áp dụng. Điền trường này giúp việc quản trị và kiểm toán sau này dễ hơn nhiều.
Permissions	Các quyền role cấp. Mỗi quyền đã thêm hiển thị kèm liên kết See more để xem chi tiết. Nhấn + Permission để thêm quyền khác.

Cấu hình một quyền

Nhấn See more trên một quyền để mở phần thiết lập.

Mỗi quyền được xác định bởi ba yếu tố.

Service Type chọn nhóm thao tác mà quyền bao phủ. FPT Database Engine dùng hai loại:

Service type	Bao phủ
ManageDatabase	Quản lý database thông thường: xem thông tin, khởi tạo, vận hành database và quản lý các dịch vụ bổ sung.
FDE	Thao tác nhạy cảm, ví dụ xem hoặc quản lý mật khẩu của tài khoản quản trị database.

Chọn service type sẽ nạp danh sách Action tương ứng và cập nhật tên quyền cho khớp.

Action xác định role được làm gì. Nhấn See more để chọn các action muốn cấp. Những gì bạn không chọn đều bị chặn.

Resource xác định role tác động lên tài nguyên nào. Nhấn See more để chọn, sau đó chọn một trong hai:

• All cấp quyền trên mọi tài nguyên, đây là mặc định khi chọn tùy chọn này.
• Specific chỉ cấp quyền trên những tài nguyên bạn chọn từ danh sách.

ghi chú

Action FDE:hide_admin_password hoạt động ngược với phần còn lại. Với Specific, những database bạn chọn trong Select resource chính là nơi việc xem mật khẩu bị chặn. Database không được chọn thì vẫn xem được.

Sửa hoặc xóa role

Cả hai thao tác bắt đầu từ trang Role Management, trên dòng của role bạn muốn thay đổi.

• Edit role: chọn Edit role, đổi tên, mô tả hoặc quyền, rồi nhấn Save.
• Delete role: chọn Delete, rồi xác nhận trong hộp thoại cảnh báo.

cảnh báo

Xóa role sẽ thu hồi quyền ngay lập tức khỏi mọi user và user group đang giữ role đó, có thể làm gián đoạn việc quản lý và vận hành database. Hãy xác nhận role không còn được gán cho user hay user group nào trước khi xóa.

Tạo user group

1. Đăng nhập FPT Cloud Portal.

2. Từ menu chính, chọn IAM → User groups. Trang User Group Management liệt kê các group đang có, kèm tùy chọn tạo, sửa, xóa.

3. Nhấn Create user group.

   

4. Điền các trường mô tả bên dưới.

5. Nhấn Create user group.

Group mới xuất hiện trong danh sách với trạng thái Active, và thành viên dùng được ngay những gì role đã gán cho phép.

Các trường của user group

Trường	Nhập gì
Name	Tên định danh group trong IAM, tối đa 100 ký tự. Đặt tên phản ánh mục đích hoặc phạm vi trách nhiệm của group.
Description	Bối cảnh bổ sung như phạm vi sử dụng hoặc dịch vụ group quản lý. Đây là thứ giúp việc quản trị và kiểm toán sau này rõ ràng hơn.
Roles	Một hoặc nhiều role để gán. Tổng hợp lại chúng xác định quyền áp dụng cho mọi user trong group.
Users	Các user cần thêm. Mỗi user thừa hưởng toàn bộ quyền từ role của group, và mọi thay đổi sau này trên các role đó áp dụng cho tất cả thành viên cùng lúc.

Sửa hoặc xóa user group

Cả hai thao tác bắt đầu từ trang User Group Management, trên dòng của group bạn muốn thay đổi.

• Edit user group: chọn Edit user group, cập nhật thông tin hoặc đổi role đã gán, rồi nhấn Edit user group.
• Delete user group: chọn Delete, rồi xác nhận trong hộp thoại cảnh báo.

cảnh báo

Xóa group sẽ tước ngay mọi quyền mà thành viên thừa hưởng qua group đó. Họ có thể mất khả năng truy cập tài nguyên database và các dịch vụ cloud khác.

Trước khi xóa một group, hãy xác nhận:

• Group không còn dùng cho tác vụ vận hành hay quản trị database.
• User trong group đã chuyển sang group khác, hoặc đã được cấp role thay thế, nếu vẫn cần quyền truy cập.
• Không có quy trình vận hành, automation hay workflow nào phụ thuộc vào quyền của group.

Tham chiếu permission

Mọi thao tác trên FPT Database Engine đều được kiểm soát bởi một permission. Nếu role không mang permission tương ứng, thao tác đó không khả dụng với mọi người giữ role, nên hãy dựng role từ danh sách này thay vì cấp rộng rồi cắt bớt sau.

Permission	Nhóm	Loại thao tác	Cho phép làm gì
manageDatabase:ProvisionBackend	Dịch vụ	Create	Kích hoạt dịch vụ FPT Database Engine trong VPC.
manageDatabase:DeactiveBackend	Dịch vụ	Delete	Ngừng dịch vụ FPT Database Engine trong VPC.
manageDatabase:List	Database	View	Xem danh sách cơ sở dữ liệu.
manageDatabase:Create	Database	Create	Tạo mới cơ sở dữ liệu.
manageDatabase:View	Database	View	Xem thông tin chi tiết của cụm cơ sở dữ liệu.
manageDatabase:Management	Database	Edit	Vận hành database: start, stop, restart.
manageDatabase:UpdateResource	Database	Edit	Cập nhật tài nguyên của cụm, gồm CPU, RAM và storage.
manageDatabase:Configuration	Database	Edit	Thay đổi cấu hình database, gồm parameter và cấu hình scaling.
FDE:hide_admin_password	Database	View	Chặn xem mật khẩu quản trị của cụm cơ sở dữ liệu.
manageDatabase:Delete	Database	Delete	Xóa cơ sở dữ liệu.
manageDatabase:ListBackup	Backup & Restore	View	Xem thông tin backup của cơ sở dữ liệu.
manageDatabase:EnableBackup	Backup & Restore	Create	Kích hoạt backup service cho cụm cơ sở dữ liệu.
manageDatabase:DeleteBackup	Backup & Restore	Edit	Vô hiệu hóa backup service của cụm cơ sở dữ liệu.
manageDatabase:CreateJobBackup	Backup & Restore	Create	Tạo backup job cho cụm cơ sở dữ liệu.
manageDatabase:ViewJobBackup	Backup & Restore	View	Xem chi tiết backup job.
manageDatabase:RunNowJobBackup	Backup & Restore	Create	Tạo bản backup thủ công cho cụm cơ sở dữ liệu.
manageDatabase:EditJobBackup	Backup & Restore	Edit	Chỉnh sửa backup job.
manageDatabase:DeleteJobBackup	Backup & Restore	Delete	Xóa backup job.
manageDatabase:ListRestore	Backup & Restore	View	Xem danh sách bản backup có thể khôi phục.
manageDatabase:Restore	Backup & Restore	Create	Khôi phục database từ bản backup hoặc về một thời điểm cụ thể.
manageDatabase:ListProxy	DB Proxy	View	Xem danh sách DB Proxy của cơ sở dữ liệu.
manageDatabase:CreateProxy	DB Proxy	Create	Tạo DB Proxy cho cụm cơ sở dữ liệu.
manageDatabase:DeleteProxy	DB Proxy	Delete	Xóa DB Proxy khỏi cụm cơ sở dữ liệu.
manageDatabase:ListNotification	Notification	View	Xem cấu hình nhận thông báo của cụm cơ sở dữ liệu.
manageDatabase:CreateNotification	Notification	Create	Kích hoạt nhận thông báo hệ thống cho cụm cơ sở dữ liệu.
manageDatabase:DeleteNotification	Notification	Delete	Hủy nhận thông báo hệ thống của cụm cơ sở dữ liệu.
manageDatabase:Monitor	Monitoring	View	Giám sát hiệu năng và trạng thái cơ sở dữ liệu.
manageDatabase:ReportConfig	Reporting	Edit	Cấu hình lịch nhận báo cáo hoạt động của cụm cơ sở dữ liệu.

ghi chú

FDE:hide_admin_password là mục duy nhất mang tính hạn chế thay vì cấp quyền. Xem Cấu hình một quyền để biết lựa chọn resource Specific đảo ngược ra sao.

Bước tiếp theo

• Kích hoạt dịch vụ FPT Database Engine, thao tác cần một role đặc quyền cao riêng
• Tạo database đầu tiên khi đội của bạn đã có đủ quyền