ApsaraDB RDS:Authorize ApsaraDB RDS to access KMS

Pré-requisitos

É necessária uma conta principal do Alibaba Cloud.

Informações de contexto

A criptografia de disco cloud oferece proteção robusta para seus dados em repouso, sem exigir alterações em seus service ou aplicações. Para obter mais informações sobre a criptografia de disco cloud, consulte os seguintes tópicos:

• Cloud disk encryption for ApsaraDB RDS for MySQL

• Cloud disk encryption for ApsaraDB RDS for PostgreSQL

• Cloud disk encryption for ApsaraDB RDS for SQL Server

• Cloud disk encryption for ApsaraDB RDS for MariaDB

Crie o AliyunRDSInstanceEncryptionRolePolicy

1. Acesse a página Policies no console do RAM.

2. Clique em Create Policy.

   Nota

   Uma policy é um conjunto de permissões definidas por uma sintaxe específica. Ela descreve com precisão os recursos, as ações e as condições autorizados.

3. Clique na guia Edit Script e cole o seguinte documento de política no editor.

   {
       "Version": "1",
       "Statement": [
           {
               "Action": [
                   "kms:List*",
                   "kms:DescribeKey",
                   "kms:TagResource",
                   "kms:UntagResource"
               ],
               "Resource": [
                   "acs:kms:*:*:*"
               ],
               "Effect": "Allow"
           },
           {
               "Action": [
                   "kms:Encrypt",
                   "kms:Decrypt",
                   "kms:GenerateDataKey"
               ],
               "Resource": [
                   "acs:kms:*:*:*"
               ],
               "Effect": "Allow",
               "Condition": {
                   "StringEqualsIgnoreCase": {
                       "kms:tag/acs:rds:instance-encryption": "true"
                   }
               }
           }
       ]
   }

4. Clique em OK. Na caixa de diálogo exibida, configure os seguintes parâmetros e clique em OK.

   Parâmetro	Descrição
   Policy Name	Insira AliyunRDSInstanceEncryptionRolePolicy.
   Description	Insira uma descrição. Por exemplo: Permite que o ApsaraDB RDS acesse o KMS.
   Tags	(Opcional) Adicione uma ou mais tags à política.

Crie e autorize o AliyunRDSInstanceEncryptionDefaultRole

Após criar a política, anexe-a a uma função do RAM. Isso permite que o ApsaraDB RDS assuma a função para acessar os recursos do KMS.

1. Acesse a página Roles no console do RAM.

2. Clique em Create Role.

3. Selecione AnyTunnel e, na lista suspensa Trusted Service, selecione ApsaraDB RDS que termina com rds.aliyuncs.com e clique em OK.

4. Na caixa de diálogo Create Role, insira AliyunRDSInstanceEncryptionDefaultRole em Role Name e clique em OK.

5. Na página de confirmação, clique em Grant Permission.

   Nota

   Se você fechou a página Role created successfully, também pode pesquisar por AliyunRDSInstanceEncryptionDefaultRole na página RAM Role Management e, em seguida, clicar em Grant Permission.

6. Na página Grant Permission, pesquise e clique na política AliyunRDSInstanceEncryptionRolePolicy. A política aparecerá na caixa Selected à direita.

7. Clique em OK.

(Opcional) Visualize o ARN da função

O Alibaba Cloud Resource Name (ARN) é um identificador exclusivo para uma função do RAM. Forneça esse ARN, ative a criptografia de disco cloud por meio de uma chamada de API REST (como CreateDBInstance) e especifique a função que tem permissão para acessar o KMS.

1. Acesse a página Roles no console do RAM.

2. Encontre a função de destino e clique em seu nome.

3. Na página de detalhes da função, localize o ARN no canto superior direito e copie-o.