设置账号 CAM 验证

Recent Pages

设置账号 CAM 验证

最后更新时间：2024-09-04 16:08:42

本文为您介绍通过控制台设置账号 CAM 验证相关说明和操作。
说明：
如果您需要开启账号 CAM 验证，请您 提交工单 申请开白使用。
背景
在使用云数据库的场景中，通常需要为数据库创建独立的账号和密码，并授权给相应的用户进行访问和操作。这种方式的账户管理比较复杂，容易出现账号密码泄露等安全问题。基于以上背景，云数据库 SQL Server 支持为账号启用 CAM 验证功能，通过打通腾讯云平台子账号与数据库账号之间的关系以及增加 CAM 凭证的身份验证，简化账号权限管理的复杂度，提升数据库的安全性和账号管理效率。
操作场景
如果用户对安全性有较高要求，可以通过本功能将 CAM 与数据库账号验证相绑定，用户在请求时可获取对应的密码来访问数据库，以提升数据库的安全性。我们建议如下两种场景，启用 CAM 验证。
使用 CAM 身份验证作为临时、个人访问数据库的机制时。
仅对可以轻松重试的工作负载使用 CAM 身份验证。
注意事项
请尽可能使用长连接访问数据库。
启用 CAM 验证前需要提前配置好相关 CAM 权限规则。
启用 CAM 验证后不支持修改密码。
关闭 CAM 验证后将无法通过 CAM 获取访问凭证，因此在关闭 CAM 验证时需要输入一个新密码。
功能限制
单个实例内建议不超过10个账号开启 CAM 验证。
启用 CAM 验证后不支持对该账号进行重置密码操作。
仅支持单个主机地址的账户启用 CAM 验证功能。
相同账号名不支持重复启用 CAM 验证功能。
root 账号不支持启用 CAM 验证功能。
前提条件
已 创建 SQL Server 实例。
已 提交工单 申请使用此功能。
实例状态为运行中。
步骤1：配置 CAM 权限规则
在使用账号 CAM 验证功能之前，用户需要先配置相关的 CAM 权限规则。
策略内容
{
    "statement": [
        {
            "action": [
                "cam:BuildDataFlowAuthToken"
            ],
            "effect": "allow",
            "resource": [
                "qcs::cam::uin/<用户 uin>:resourceUser/<实例 ID>/<用户名>",
            ]
        }
    ],
    "version": "2.0"
}
<用户 uin>：替换为实际的账号 ID。
<实例 ID>：替换为实际需要授权的实例 ID。
<用户名>：替换为实际需要授权的用户名。
操作指引
1. 使用管理员账号登录访问管理控制台，在 策略 页面，按照策略生成器创建自定义策略（请参见 通过策略生成器创建自定义策略）。
﻿
效果：允许
服务：访问管理（cam）
操作：其他操作 - BuildDataFlowAuthToken
资源：特定资源 - 添加资源六段式
填写资源：<实例 ID>/<账号名>
2. 单击下一步，自定义策略的名称，并将策略授予目标子账号。
3. 单击完成，完成授权。
步骤2：启用 CAM 验证
启用 CAM 验证分为两种情形，分别是创建账号时启用 CAM 验证和为已有账号启用 CAM 验证，您可按照如下步骤分别操作。
情形1：创建账号时启用 CAM 验证
情形2：为已有账号启用 CAM 验证
1. 登录 SQL Server 控制台。
2. 在实例列表，单击实例 ID 或操作列的管理，进入实例管理页面。
3. 在实例管理页面，选择账号管理 > 创建账号，在弹出的对话框填写相关信息，确认无误后单击确定。
说明：
创建不同权限账号的操作介绍请参考 账号管理，以下仅介绍开启 CAM 验证相关的步骤。
启用 CAM 验证：打开“启用 CAM 验证”后的按钮，在弹窗下阅读重要提示后单击确定。
1. 登录 SQL Server 控制台。
2. 在实例列表，单击实例 ID 或操作列的管理，进入实例管理页面。
3. 在实例管理页面，选择账号管理。
4. 在账号管理页面，找到目标账号，在其操作列单击启用 CAM 验证。
5. 在弹窗下阅读重要提示后，单击确定。
步骤3：在应用程序通过代码调用获取密码
账号具备了相关 CAM 权限规格，并且启用了 CAM 验证后，用户可在应用程序通过 Java 等代码调用来获取密码，从而连接数据库实例。
1. 在腾讯云控制台，账号信息 页面，查询账号的 APPID。
﻿
2. 在 访问管理控制台 > API 密钥管理 获取 SecretID 和 SecretKey。
3. 在应用程序使用如下代码。
<dependency>
<groupId>com.tencentcloudapi</groupId>
<artifactId>tencentcloud-dbauth-sdk-java</artifactId>
<version>1.0.3</version>
</dependency>
间接依赖项：tencentcloud-sdk-java 3.1.1039版本及以上。
<dependency>
    <groupId>com.tencentcloudapi</groupId>
    <artifactId>tencentcloud-sdk-java</artifactId>
    <version>3.1.1039</version>
</dependency>
通过代码调用获取密码的示例
package com.tencentcloud.dbauth;
import com.tencentcloudapi.common.Credential;
import com.tencentcloud.dbauth.model.GenerateAuthenticationTokenRequest;
import com.tencentcloudapi.common.exception.TencentCloudSDKException;
import com.tencentcloudapi.common.profile.ClientProfile;
import com.tencentcloudapi.common.profile.HttpProfile;
﻿
public class GenerateDBAuthentication {
﻿
    public static void main(String[] args) {
        // 定义认证令牌的参数
        String region = "<实例所在地域>";
        String instanceId = "<实例 ID>";
        String userName = "<用户名>";
        // 从环境变量中获取凭证
        Credential credential = new Credential(System.getenv("<TENCENTCLOUD_SECRET_ID>"), System.getenv("<TENCENTCLOUD_SECRET_KEY>"));
﻿
        System.out.println(getAuthToken(region, instanceId, userName, credential));
    }
﻿
    public static String getAuthToken(String region, String instanceId, String userName, Credential credential) {
        try {
            // 实例化一个http选项，可选的，没有特殊需求可以跳过
            HttpProfile httpProfile = new HttpProfile();
            httpProfile.setEndpoint("cam.tencentcloudapi.com");
            // 实例化一个client选项，可选的，没有特殊需求可以跳过
            ClientProfile clientProfile = new ClientProfile();
            clientProfile.setHttpProfile(httpProfile);
﻿
            // 构建 GenerateAuthenticationTokenRequest
            GenerateAuthenticationTokenRequest tokenRequest = GenerateAuthenticationTokenRequest.builder()
                    .region(region)
                    .credential(credential)
                    .userName(userName)
                    .instanceId(instanceId)
                    .clientProfile(clientProfile) // clientProfile是可选的
                    .build();
﻿
            return DBAuthentication.generateAuthenticationToken(tokenRequest);
﻿
        } catch (TencentCloudSDKException e) {
            e.printStackTrace();
        }
        return "";
    }
}
<实例所在地域>：替换为您需要访问的实例所在地域，示例：ap-guangzhou。
<实例 ID>：替换为需要访问的实例 ID。
<用户名>：替换为实际登录的用户名。
<TENCENTCLOUD_SECRET_ID>：替换为从访问管理控制台获取到的 SecretID。
<TENCENTCLOUD_SECRET_KEY>：替换为从访问管理控制台获取到的 SecretKey。
步骤4：使用身份令牌连接云数据库 SQL Server
说明：
使用 JDBC 驱动程序连接是 Java 程序连接到关系型数据库的标准方式，详细 JDBC 驱动程序的安装以及连接方法，可参见 Using the JDBC driver。
在 步骤3 中获取到身份令牌 AuthToken 后，即可使用身份令牌连接云数据库 SQL Server，以下连接命令为使用 JDBC 连接数据库的场景示例。
String connectionUrl = "jdbc:sqlserver://localhost:1433;databaseName=<数据库名>;user=<用户名>;password=<密码>;encrypt=false;";  
Connection con = DriverManager.getConnection(connectionUrl);
<数据库名>：替换为您实际需要访问的数据库名称。
<用户名>：替换为您实际登录的用户名。
<密码>：替换为 步骤3 中获取到的 AuthToken。
附录1：刷新密码
当账号启用 CAM 验证功能后，可以通过刷新密码操作来更新密码。如果该账号设置的轮转周期为12小时更换一次密码，则在未到达轮转周期之前，可以通过刷新密码操作来立即更新密码。
注意：
注意刷新密码后，当前登录凭证会失效，需要观察业务访问数据库状态是否符合预期。
1. 登录 SQL Server 控制台。
2. 在实例列表，单击实例 ID 或操作列的管理，进入实例管理页面。
3. 在实例管理页面，选择账号管理。
4. 在账号管理页面，找到目标账号，在其操作列单击刷新密码。
5. 在弹窗下阅读风险提示后，单击确定。
附录2：关闭 CAM 验证
注意：
关闭 CAM 验证后无法通过 CAM 获取访问凭证，请及时更新密码。
1. 登录 SQL Server 控制台。
2. 在实例列表，单击实例 ID 或操作列的管理，进入实例管理页面。
3. 在实例管理页面，选择账号管理。
4. 在账号管理页面，找到目标账号，在其操作列单击关闭 CAM 验证。
5. 在弹窗下输入新密码并确认密码后单击确定。

联系我们

联系我们，为您的业务提供专属服务。

技术支持

如果你想寻求进一步的帮助，通过工单与我们进行联络。我们提供7x24的工单服务。

7x24 电话支持

tencent cloud

Recent Pages

设置账号 CAM 验证

背景

操作场景

注意事项

功能限制

前提条件

步骤1：配置 CAM 权限规则

策略内容

操作指引

步骤2：启用 CAM 验证

步骤3：在应用程序通过代码调用获取密码

步骤4：使用身份令牌连接云数据库 SQL Server

附录1：刷新密码

附录2：关闭 CAM 验证

本页内容是否解决了您的问题？

本页内容是否解决了您的问题？

tencent cloud

注册

登录

Recent Pages

设置账号 CAM 验证

背景

操作场景

注意事项

功能限制

前提条件

步骤1：配置 CAM 权限规则

策略内容

操作指引

步骤2：启用 CAM 验证

步骤3：在应用程序通过代码调用获取密码

步骤4：使用身份令牌连接云数据库 SQL Server

附录1：刷新密码

附录2：关闭 CAM 验证

本页内容是否解决了您的问题？

本页内容是否解决了您的问题？