PolarDB:PolarDB に KMS へのアクセスを許可する

1. AliyunRDSInstanceEncryptionRolePolicy アクセスポリシーを作成する

1. RAM コンソールの ポリシー管理 ページにログインします。

2. [ポリシーの作成] をクリックします。

   説明

   アクセスポリシーは、特定の構文を使用して、承認されたリソース、操作、および条件を定義する権限のコレクションです。

3. [スクリプトエディター] タブをクリックし、次のスクリプトをコードエディタにコピーします。

   {
       "Version": "1",
       "Statement": [
           {
               "Action": [
                   "kms:List*",
                   "kms:DescribeKey",
                   "kms:TagResource",
                   "kms:UntagResource"
               ],
               "Resource": [
                   "acs:kms:*:*:*"
               ],
               "Effect": "Allow"
           },
           {
               "Action": [
                   "kms:Encrypt",
                   "kms:Decrypt",
                   "kms:GenerateDataKey"
               ],
               "Resource": [
                   "acs:kms:*:*:*"
               ],
               "Effect": "Allow",
               "Condition": {
                   "StringEqualsIgnoreCase": {
                       "kms:tag/acs:rds:instance-encryption": "true"
                   }
               }
           }
       ]
   }

4. [OK] をクリックします。表示されるダイアログボックスに、次の情報を入力します。

   パラメーター	説明
   名前	ポリシー名を入力します。AliyunRDSInstanceEncryptionRolePolicy と入力します。
   メモ	メモを入力します。例: PolarDB が KMS にアクセスするために使用します。

5. [OK] をクリックします。

2. AliyunRDSInstanceEncryptionDefaultRole RAM ロールを作成して承認する

ポリシーを作成したら、RAM ロールにアタッチする必要があります。これにより、PolarDB は KMS リソースにアクセスできるようになります。

1. RAM コンソールの ロール管理 ページにログインします。

2. [ロールの作成] をクリックします。

3. [Alibaba Cloud サービス] を選択します。[信頼できるエンティティ名] ドロップダウンリストから、末尾が rds.aliyuncs.com の [ApsaraDB RDS] オプションを選択し、[OK] をクリックします。

4. [ロールの作成] ダイアログボックスで、[ロール名] を AliyunRDSInstanceEncryptionDefaultRole に設定し、[OK] をクリックします。

5. ロールが作成されたら、ロールの詳細ページで [権限管理] タブをクリックし、[権限の追加] をクリックします。

6. [権限の追加] ページで、作成した AliyunRDSInstanceEncryptionRolePolicy ポリシーを検索します。ポリシー名をクリックして、右側の [選択したポリシー] ボックスに移動します。

7. [承認の確認] をクリックします。

次のステップ

アクセスポリシーと RAM ロールを作成したら、クラスターの TDE を有効にできます。クラスターの作成時に TDE を有効にすることもできます。