ApsaraDB for OceanBase (Deprecated):AliyunServiceRoleForOceanBaseEncryption

Información de contexto

AliyunServiceRoleForOceanBaseEncryption es un rol de Resource Access Management (RAM) proporcionado por ApsaraDB for OceanBase para acceder a otros servicios en la nube y ejecutar tareas en ApsaraDB for OceanBase. Para obtener más información sobre este rol, consulte Service-linked roles.

Escenarios

La clave que utiliza la función de cifrado transparente de datos (TDE) de ApsaraDB for OceanBase está protegida por KMS. ApsaraDB for OceanBase accede a KMS mediante el rol vinculado al servicio AliyunServiceRoleForOceanBaseEncryption.

Permisos

Nombre del rol: AliyunServiceRoleForOceanBaseEncryption

Directiva del rol: AliyunServiceRolePolicyForOceanBaseEncryption

Los permisos se describen a continuación:

{
  "Statement": [
    {
      "Action": [
        "kms:ListKeys",
        "kms:ListAliasesByKeyId",
        "kms:ListAliases",
        "kms:DescribeKey"
      ],
      "Effect": "Allow",
      "Resource": "acs:kms:*:*:*"
    },
    {
      "Action": [
        "kms:Encrypt",
        "kms:Decrypt",
        "kms:GenerateDataKey"
      ],
      "Condition": {
        "StringEqualsIgnoreCase": {
          "kms:tag/oceanbase:encryption": "true"
        }
      },
      "Effect": "Allow",
      "Resource": "acs:kms:*:*:*"
    },
    {
      "Action": "ram:DeleteServiceLinkedRole",
      "Resource": "*",
      "Effect": "Allow",
      "Condition": {
        "StringEquals": {
          "ram:ServiceName": "encryption.oceanbase.aliyuncs.com"
        }
      }
    }
  ],
  "Version": "1"
}

Preguntas frecuentes

¿Por qué mi usuario de RAM no puede crear automáticamente el rol vinculado al servicio AliyunServiceRoleForOceanBaseEncryption?

Debe contar con los permisos especificados antes de poder crear o eliminar automáticamente AliyunServiceRoleForOceanBaseEncryption. Para crear el rol de forma automática, especifique la siguiente directiva de permisos para su usuario de RAM:

{
    "Action": "ram:CreateServiceLinkedRole",
    "Resource": "*",
    "Effect": "Allow",
    "Condition": {
        "StringEquals": {
            "ram:ServiceName": "encryption.oceanbase.aliyuncs.com"
        }
    }
}