ApsaraDB RDS:Autoriser ApsaraDB RDS à accéder à KMS

Prérequis

Un compte principal Alibaba Cloud est requis.

Informations générales

Le chiffrement des disques cloud protège robustement vos données au repos sans nécessiter de modifications de vos services ou applications. Pour en savoir plus sur le chiffrement des disques cloud, consultez les rubriques suivantes :

• Chiffrement des disques cloud pour ApsaraDB RDS for MySQL

• Chiffrement des disques cloud pour ApsaraDB RDS for PostgreSQL

• Chiffrement des disques cloud pour ApsaraDB RDS for SQL Server

• Chiffrement des disques cloud pour ApsaraDB RDS for MariaDB

Créer la stratégie AliyunRDSInstanceEncryptionRolePolicy

1. Accédez à la page Policies dans la console RAM.

2. Cliquez sur Create Policy.

   Remarque

   Une policy est un ensemble d'autorisations défini par une syntaxe spécifique. Elle décrit avec précision les ressources, actions et conditions autorisées.

3. Cliquez sur l'onglet Edit Script et collez le document de stratégie suivant dans l'éditeur.

   {
       "Version": "1",
       "Statement": [
           {
               "Action": [
                   "kms:List*",
                   "kms:DescribeKey",
                   "kms:TagResource",
                   "kms:UntagResource"
               ],
               "Resource": [
                   "acs:kms:*:*:*"
               ],
               "Effect": "Allow"
           },
           {
               "Action": [
                   "kms:Encrypt",
                   "kms:Decrypt",
                   "kms:GenerateDataKey"
               ],
               "Resource": [
                   "acs:kms:*:*:*"
               ],
               "Effect": "Allow",
               "Condition": {
                   "StringEqualsIgnoreCase": {
                       "kms:tag/acs:rds:instance-encryption": "true"
                   }
               }
           }
       ]
   }

4. Cliquez sur OK. Dans la boîte de dialogue qui s'affiche, configurez les paramètres suivants et cliquez sur OK.

   Parameter	Description
   Policy Name	Saisissez AliyunRDSInstanceEncryptionRolePolicy.
   Description	Saisissez une description. Par exemple : Allows ApsaraDB RDS to access KMS.
   Tags	(Facultatif) Ajoutez un ou plusieurs tags à la stratégie.

Créer et autoriser le rôle AliyunRDSInstanceEncryptionDefaultRole

Après avoir créé la stratégie, attachez-la à un rôle RAM. Cela permet à ApsaraDB RDS d'assumer ce rôle pour accéder aux ressources KMS.

1. Accédez à la page Roles dans la console RAM.

2. Cliquez sur Create Role.

3. Sélectionnez AnyTunnel, puis dans la liste déroulante Trusted Service, sélectionnez ApsaraDB RDS qui se termine par rds.aliyuncs.com et cliquez sur OK.

4. Dans la boîte de dialogue Create Role, saisissez AliyunRDSInstanceEncryptionDefaultRole dans le champ Role Name et cliquez sur OK.

5. Sur la page de confirmation, cliquez sur Grant Permission.

   Remarque

   Si vous avez fermé la page Role created successfully, recherchez AliyunRDSInstanceEncryptionDefaultRole sur la page RAM Role Management, puis cliquez sur Grant Permission.

6. Sur la page Grant Permission, recherchez la stratégie AliyunRDSInstanceEncryptionRolePolicy et cliquez dessus. La stratégie apparaît dans la zone Selected à droite.

7. Cliquez sur OK.

(Facultatif) Afficher l'ARN du rôle

L'Alibaba Cloud Resource Name (ARN) est un identifiant unique pour un rôle RAM. Vous devez fournir cet ARN lorsque vous activez le chiffrement des disques cloud via un appel API, tel que CreateDBInstance, afin de spécifier le rôle disposant des autorisations d'accès à KMS.

1. Accédez à la page Roles dans la console RAM.

2. Recherchez le rôle cible et cliquez sur son nom.

3. Sur la page des détails du rôle, localisez l'ARN dans le coin supérieur droit et copiez-le.