云数据库 SQL Server 设置账号 CAM 验证-操作指南-文档中心-腾讯云

本文为您介绍通过控制台设置账号 CAM 验证相关说明和操作。
说明：
如果您需要开启账号 CAM 验证，请您 提交工单 申请开白使用。
支持地域
此功能目前支持的地域为：上海、广州。
背景
在使用云数据库的场景中，通常需要为数据库创建独立的账号和密码，并授权给相应的用户进行访问和操作。这种方式的账户管理比较复杂，容易出现账号密码泄露等安全问题。基于以上背景，云数据库 SQL Server 支持为账号启用 CAM 验证功能，通过打通腾讯云平台子账号与数据库账号之间的关系以及增加 CAM 凭证的身份验证，简化账号权限管理的复杂度，提升数据库的安全性和账号管理效率。
操作场景
如果用户对安全性有较高要求，可以通过本功能将 CAM 与数据库账号验证相绑定，用户在请求时可获取对应的密码来访问数据库，以提升数据库的安全性。我们建议如下两种场景，启用 CAM 验证。
使用 CAM 身份验证作为临时、个人访问数据库的机制时。
仅对可以轻松重试的工作负载使用 CAM 身份验证。
注意事项
请尽可能使用长连接访问数据库。
启用 CAM 验证前需要提前配置好相关 CAM 权限规则。
启用 CAM 验证后不支持修改密码。
关闭 CAM 验证后将无法通过 CAM 获取访问凭证，因此在关闭 CAM 验证时需要输入一个新密码。
功能限制
单个实例内建议不超过10个账号开启 CAM 验证。
启用 CAM 验证后不支持对该账号进行重置密码操作。
仅支持单个主机地址的账户启用 CAM 验证功能。
相同账号名不支持重复启用 CAM 验证功能。
root 账号不支持启用 CAM 验证功能。
前提条件
已 创建 SQL Server 实例。
已 提交工单 申请使用此功能。
实例状态为运行中。
步骤1：配置 CAM 权限规则
在使用账号 CAM 验证功能之前，用户需要先配置相关的 CAM 权限规则。
策略内容
{
    "statement": [
        {
            "action": [
                "cam:BuildDataFlowAuthToken"
            ],
            "effect": "allow",
            "resource": [
                "qcs::cam::uin/<用户 uin>:resourceUser/<实例 ID>/<账号名>",
            ]
        }
    ],
    "version": "2.0"
}
<用户 uin>：替换为实际的账号 ID。
<实例 ID>：替换为实际需要授权的实例 ID。
<账号名>：替换为实际需要授权的账号名。
操作指引
1. 使用管理员账号登录访问管理控制台，在 策略 页面，按照策略生成器创建自定义策略（请参见 通过策略生成器创建自定义策略）。
﻿
效果：允许
服务：访问管理（cam）
操作：其他操作 - BuildDataFlowAuthToken
资源：特定资源 - 添加资源六段式
填写资源：<实例 ID>/<账号名>
2. 单击下一步，自定义策略的名称，并将策略授予目标子账号。
3. 单击完成，完成授权。
步骤2：启用 CAM 验证
启用 CAM 验证分为两种情形，分别是创建账号时启用 CAM 验证和为已有账号启用 CAM 验证，您可按照如下步骤分别操作。
情形1：创建账号时启用 CAM 验证
情形2：为已有账号启用 CAM 验证
1. 登录 SQL Server 控制台。
2. 在实例列表，单击实例 ID 或操作列的管理，进入实例管理页面。
3. 在实例管理页面，选择账号管理 > 创建账号，在弹出的对话框填写相关信息，确认无误后单击确定。
说明：
创建不同权限账号的操作介绍请参考 账号管理，以下仅介绍开启 CAM 验证相关的步骤。
启用 CAM 验证：打开“启用 CAM 验证”后的按钮，在弹窗下阅读重要提示后单击确定。
﻿
4. 成功启用 CAM 验证的账号显示如下图。
﻿
1. 登录 SQL Server 控制台。
2. 在实例列表，单击实例 ID 或操作列的管理，进入实例管理页面。
3. 在实例管理页面，选择账号管理。
4. 在账号管理页面，找到目标账号，在其操作列单击启用 CAM 验证。
5. 在弹窗下阅读重要提示后，单击确定。
﻿
6. 成功启用 CAM 验证的账号显示如下图。
﻿
步骤3：在应用程序通过代码调用获取密码
账号具备了相关 CAM 权限规格，并且启用了 CAM 验证后，用户可在应用程序通过 Java 等代码调用来获取密码，从而连接数据库实例。
1. 在腾讯云控制台，账号信息 页面，查询账号的 APPID。
﻿
2. 在 访问管理控制台 > API 密钥管理 获取 SecretID 和 SecretKey。
3. 在应用程序使用如下代码。
<dependency>
<groupId>com.tencentcloudapi</groupId>
<artifactId>tencentcloud-dbauth-sdk-java</artifactId>
<version>1.0.0</version>
</dependency>
通过代码调用获取密码的示例
package com.tencentcloud.dbauth;
import com.tencentcloudapi.common.Credential;
import com.tencentcloud.dbauth.model.GenerateAuthenticationTokenRequest;
import com.tencentcloudapi.common.exception.TencentCloudSDKException;
﻿
public class GenerateDBAuthentication {
﻿
    public static void main(String[] args) {
        // 定义认证令牌的参数
        String region = "<实例所在地域>";
        String instanceId = "<实例 ID>";
        String userName = "<账号名>";
        // 从环境变量中获取凭证
        Credential credential = new Credential(System.getenv("<TENCENTCLOUD_SECRET_ID>"), System.getenv("<TENCENTCLOUD_SECRET_KEY>"));
﻿
        System.out.println(getAuthToken(region, instanceId, userName, credential));
    }
﻿
    public static String getAuthToken(String region, String instanceId, String userName, Credential credential) {
        try {
            // 构建 GenerateAuthenticationTokenRequest
            GenerateAuthenticationTokenRequest tokenRequest = GenerateAuthenticationTokenRequest.builder()
                    .region(region)
                    .credential(credential)
                    .userName(userName)
                    .instanceId(instanceId)
                    .build();
﻿
            return DBAuthentication.generateAuthenticationToken(tokenRequest);
﻿
        } catch (TencentCloudSDKException e) {
            e.printStackTrace();
        }
        return "";
    }
}
<实例所在地域>：替换为您需要访问的实例所在地域，示例：ap-guangzhou。
<实例 ID>：替换为需要访问的实例 ID。
<账号名>：替换为实际登录的账号名。
<TENCENTCLOUD_SECRET_ID>：替换为从访问管理控制台获取到的 SecretID。
<TENCENTCLOUD_SECRET_KEY>：替换为从访问管理控制台获取到的 SecretKey。
步骤4：使用身份令牌连接云数据库 SQL Server
说明：
使用 JDBC 驱动程序连接是 Java 程序连接到关系型数据库的标准方式，详细 JDBC 驱动程序的安装以及连接方法，可参见 Using the JDBC driver。
在 步骤3 中获取到身份令牌 AuthToken 后，即可使用身份令牌连接云数据库 SQL Server，以下连接命令为使用 JDBC 连接数据库的场景示例。
String connectionUrl = "jdbc:sqlserver://localhost:1433;databaseName=<数据库名>;user=<账号名>;password=<密码>;encrypt=false;";  
Connection con = DriverManager.getConnection(connectionUrl);
<数据库名>：替换为您实际需要访问的数据库名称。
<账号名>：替换为您实际登录的账号名。
<密码>：替换为 步骤3 中获取到的 AuthToken。
附录1：刷新密码
当账号启用 CAM 验证功能后，可以通过刷新密码操作来更新密码。如果该账号设置的轮转周期为12小时更换一次密码，则在未到达轮转周期之前，可以通过刷新密码操作来立即更新密码。
注意：
注意刷新密码后，当前登录凭证会失效，需要观察业务访问数据库状态是否符合预期。
1. 登录 SQL Server 控制台。
2. 在实例列表，单击实例 ID 或操作列的管理，进入实例管理页面。
3. 在实例管理页面，选择账号管理。
4. 在账号管理页面，找到目标账号，在其操作列单击刷新密码。
5. 在弹窗下阅读风险提示后，单击确定。
﻿
附录2：关闭 CAM 验证
注意：
关闭 CAM 验证后无法通过 CAM 获取访问凭证，请及时更新密码。
1. 登录 SQL Server 控制台。
2. 在实例列表，单击实例 ID 或操作列的管理，进入实例管理页面。
3. 在实例管理页面，选择账号管理。
4. 在账号管理页面，找到目标账号，在其操作列单击关闭 CAM 验证。
5. 在弹窗下输入新密码并确认密码后单击确定。
﻿
附录3：错误码
如果返回结果中存在 Error 字段，则表示调用 API 接口失败。有关错误码的说明，请参见 错误码。
云数据库 SQL Server 账号 CAM 验证功能相关的错误码如下：
公共错误码
错误码
说明
AuthFailure.InvalidAuthorization
请求头部的 Authorization 不符合腾讯云标准。
AuthFailure.InvalidSecretId
密钥非法（不是云 API 密钥类型）。
AuthFailure.MFAFailure
﻿MFA 错误。
AuthFailure.SecretIdNotFound
密钥不存在。请在 控制台 检查密钥是否已被删除或者禁用，如状态正常，请检查密钥是否填写正确，注意前后不得有空格。
AuthFailure.SignatureExpire
签名过期。Timestamp 和服务器时间相差不得超过五分钟，请检查本地时间是否和标准时间同步。
AuthFailure.SignatureFailure
签名错误。签名计算错误，请对照调用方式中的签名方法文档检查签名计算过程。
AuthFailure.TokenFailure
token 错误。
AuthFailure.UnauthorizedOperation
请求未授权。请参考 CAM 文档对鉴权的说明。
业务错误码
错误码
说明
FailedOperation.BuildAuthToken
生成 AuthToken 异常。
FailedOperation.FlowAuthIllegal
凭据操作失败。

错误码	说明
AuthFailure.InvalidAuthorization	请求头部的 Authorization 不符合腾讯云标准。
AuthFailure.InvalidSecretId	密钥非法（不是云 API 密钥类型）。
AuthFailure.MFAFailure	MFA 错误。
AuthFailure.SecretIdNotFound	密钥不存在。请在控制台检查密钥是否已被删除或者禁用，如状态正常，请检查密钥是否填写正确，注意前后不得有空格。
AuthFailure.SignatureExpire	签名过期。Timestamp 和服务器时间相差不得超过五分钟，请检查本地时间是否和标准时间同步。
AuthFailure.SignatureFailure	签名错误。签名计算错误，请对照调用方式中的签名方法文档检查签名计算过程。
AuthFailure.TokenFailure	token 错误。
AuthFailure.UnauthorizedOperation	请求未授权。请参考 CAM 文档对鉴权的说明。

错误码	说明
FailedOperation.BuildAuthToken	生成 AuthToken 异常。
FailedOperation.FlowAuthIllegal	凭据操作失败。

设置账号 CAM 验证

本页目录：

支持地域

背景

操作场景

注意事项

功能限制

前提条件

步骤1：配置 CAM 权限规则

策略内容

操作指引

步骤2：启用 CAM 验证

步骤3：在应用程序通过代码调用获取密码

步骤4：使用身份令牌连接云数据库 SQL Server

附录1：刷新密码

附录2：关闭 CAM 验证

附录3：错误码

公共错误码

业务错误码