PolarDB:Authorize PolarDB to access Key Management Service (KMS)

Pré-requisitos

Use uma conta da Alibaba Cloud.

1. Crie a política de acesso AliyunRDSInstanceEncryptionRolePolicy

1. Acesse a página Policy Management no console do RAM.

2. Clique em Create Policy.

   Nota

   Uma access policy é um conjunto de permissões definidas em uma sintaxe específica. Ela especifica os recursos, as ações e as condições autorizadas.

3. Clique na aba JSON e copie a seguinte política para o editor de código.

   {
       "Version": "1",
       "Statement": [
           {
               "Action": [
                   "kms:List*",
                   "kms:DescribeKey",
                   "kms:TagResource",
                   "kms:UntagResource"
               ],
               "Resource": [
                   "acs:kms:*:*:*"
               ],
               "Effect": "Allow"
           },
           {
               "Action": [
                   "kms:Encrypt",
                   "kms:Decrypt",
                   "kms:GenerateDataKey"
               ],
               "Resource": [
                   "acs:kms:*:*:*"
               ],
               "Effect": "Allow",
               "Condition": {
                   "StringEqualsIgnoreCase": {
                       "kms:tag/acs:rds:instance-encryption": "true"
                   }
               }
           }
       ]
   }

4. Clique em OK. Na caixa de diálogo exibida, configure os seguintes parâmetros:

   Parâmetro	Descrição
   Name	Insira AliyunRDSInstanceEncryptionRolePolicy.
   Remarks	Insira uma descrição. Por exemplo: Permite que o PolarDB acesse o KMS.

5. Clique em OK.

2. Crie a função do RAM AliyunRDSInstanceEncryptionDefaultRole e conceda permissões

Após criar a política, atribua-a a uma função do RAM para que o PolarDB possa acessar os recursos do KMS.

1. Acesse a página Roles no console do RAM.

2. Clique em Create Role.

3. Selecione Alibaba Cloud Service. Na lista suspensa Trusted Entity Name, selecione a entrada cujo sufixo é rds.aliyuncs.com, ou seja, ApsaraDB RDS, e clique em OK.

4. No painel Create Role, defina RAM Role Name como AliyunRDSInstanceEncryptionDefaultRole e clique em OK.

5. Após criar a função, você será redirecionado para a página de detalhes. Clique na aba Permissions e, em seguida, em Add Permissions.

6. No painel Add Permissions, pesquise a política AliyunRDSInstanceEncryptionRolePolicy criada e clique nela. Isso adiciona a política à lista Selected à direita.

7. Clique em OK.

Próximas etapas

Após criar a política de acesso e a função do RAM descritas acima, ative o Transparent Data Encryption (TDE) no seu cluster. Você também pode ativar o TDE diretamente durante a criação do cluster.