Authorize PolarDB to access KMS - PolarDB - Centre de documentation Alibaba Cloud

Pour utiliser la fonctionnalité de chiffrement transparent des données (TDE), accordez à PolarDB les autorisations nécessaires pour accéder à Key Management Service (KMS). Vous pouvez attribuer ces autorisations depuis la console Resource Access Management (RAM).

Prérequis

Vous devez disposer d'un compte Alibaba Cloud.

Créer la politique AliyunRDSInstanceEncryptionRolePolicy

Connectez-vous à la page Policies dans la console RAM.
Cliquez sur Create Policy.

Remarque
Une politique d'autorisation est un ensemble d'autorisations rédigées selon une syntaxe spécifique. Elle définit précisément les ressources autorisées, les opérations permises et les conditions d'autorisation.

Cliquez sur l'onglet JSON, puis collez le document de politique suivant dans l'éditeur de code.

{
    "Version": "1",
    "Statement": [
        {
            "Action": [
                "kms:List*",
                "kms:DescribeKey",
                "kms:TagResource",
                "kms:UntagResource"
            ],
            "Resource": [
                "acs:kms:*:*:*"
            ],
            "Effect": "Allow"
        },
        {
            "Action": [
                "kms:Encrypt",
                "kms:Decrypt",
                "kms:GenerateDataKey"
            ],
            "Resource": [
                "acs:kms:*:*:*"
            ],
            "Effect": "Allow",
            "Condition": {
                "StringEqualsIgnoreCase": {
                    "kms:tag/acs:rds:instance-encryption": "true"
                }
            }
        }
    ]
}

Cliquez sur OK et configurez les paramètres suivants :

Parameter

Description

Policy name

Saisissez AliyunRDSInstanceEncryptionRolePolicy.

Note

Saisissez une description, par exemple « Permet à PolarDB d'accéder à KMS. »

Cliquez sur OK.

Créer et autoriser le rôle RAM AliyunRDSInstanceEncryptionDefaultRole

Une fois la politique créée, attachez-la à un rôle RAM afin d'autoriser PolarDB à accéder aux ressources KMS.

Accédez à la page Roles dans la console RAM.
Cliquez sur Create Role.
Pour Trusted entity type, sélectionnez Cloud service.
Dans la liste déroulante Trusted Entity Name, recherchez et sélectionnez ApsaraDB RDS / RDS, puis cliquez sur OK.
Saisissez AliyunRDSInstanceEncryptionDefaultRole dans le champ RAM Role Name, puis cliquez sur OK.
Une fois le rôle créé, cliquez sur l'onglet Permissions dans la page de détails du rôle, puis sur Add Permissions.
Sur la page Add Permissions, recherchez la politique d'autorisation AliyunRDSInstanceEncryptionRolePolicy que vous avez créée, puis cliquez dessus pour l'ajouter à la liste Selected.
Cliquez sur OK.