Para usar o recurso de criptografia transparente de dados (TDE) do Lindorm, conceda a função vinculada ao service AliyunServiceRoleForTSDBLindormEncryption ao Lindorm. Isso permite que o Lindorm use a criptografia transparente de dados na sua conta Alibaba Cloud.
Informações básicas
Uma função vinculada ao service é uma função associada a um service de cloud específico. O service associado crie e exclua essa função automaticamente quando você usa determinados recursos. Por exemplo, a função vinculada ao service AliyunServiceRoleForTSDBLindormEncryption permite que o Lindorm acesse o Key Management Service (KMS) em alguns cenários. O sistema crie essa função automaticamente ao ative a criptografia transparente de dados. Para mais informações, consulte Service-linked roles.
Não é possível modifique ou exclua a política, nem alterar as permissões da função.
A função vinculada ao service AliyunServiceRoleForTSDBLindormEncryption
Nome da função: AliyunServiceRoleForTSDBLindormEncryption
Nome da política: AliyunServiceRoleForTSDBLindormEncryption
Descrição das permissões: permite que o Lindorm acesse recursos relacionados no KMS. O recurso de criptografia transparente de dados (TDE) usa essa permissão para consultar e gerencie chaves. A política completa é a seguinte:
{
"Version": "1",
"Statement": [
{
"Effect": "Allow",
"Action": [
"kms:ListKeys",
"kms:ListResourceTags",
"kms:DescribeKey"
],
"Resource": [
"acs:kms:*:*:*"
]
},
{
"Effect": "Allow",
"Action": [
"kms:Encrypt",
"kms:Decrypt",
"kms:GenerateDataKey",
"kms:CreateAlias"
],
"Resource": [
"acs:kms:*:*:*"
],
"Condition": {
"StringEqualsIgnoreCase": {
"kms:tag/acs:lindorm:instance-encryption": "true"
}
}
},
{
"Action": "ram:DeleteServiceLinkedRole",
"Resource": "*",
"Effect": "Allow",
"Condition": {
"StringEquals": {
"ram:ServiceName": "encryption.hitsdb.aliyuncs.com"
}
}
}
]
}Exclua uma função vinculada ao service
Antes de exclua a função vinculada ao service AliyunServiceRoleForTSDBLindormEncryption, confirme que nenhuma instância a está usando. Para obter instruções, consulte Delete a service-linked role.
Permissões de criação de função para usuários RAM
A permissão para crie uma função vinculada ao service geralmente está incluída na política de administrador do service de cloud correspondente. Portanto, um usuário com permissões administrativas no service pode crie a função vinculada ao service.
Se um usuário RAM não tiver permissões suficientes para crie a função vinculada ao service, conceda a ele a permissão mostrada abaixo. Para obter instruções sobre como adicionar permissões, consulte Create a custom policy e Grant permissions to a RAM user. Como alternativa, crie a função usando sua conta Alibaba Cloud.
{
"Action": "ram:CreateServiceLinkedRole",
"Resource": "*",
"Effect": "Allow",
"Condition": {
"StringEquals": {
"ram:ServiceName": "encryption.hitsdb.aliyuncs.com"
}
}
}