ApsaraDB for OceanBase (Deprecated):AliyunServiceRoleForOceanBaseEncryption

Genel bilgiler

AliyunServiceRoleForOceanBaseEncryption, ApsaraDB for OceanBase içinde bir görevi gerçekleştirmek amacıyla diğer cloud hizmetlerine erişim sağlamak için ApsaraDB for OceanBase tarafından sunulan bir Resource Access Management (RAM) rolüdür. Rol hakkında daha fazla bilgi için bkz. Hizmet bağlantılı roller.

Senaryolar

ApsaraDB for OceanBase şeffaf veri şifreleme (TDE) özelliğinin kullandığı anahtar, KMS tarafından korunur. ApsaraDB for OceanBase, hizmet bağlantılı rolü AliyunServiceRoleForOceanBaseEncryption aracılığıyla KMS'e erişim sağlar.

İzinler

Rol adı: AliyunServiceRoleForOceanBaseEncryption

Rol ilkesi: AliyunServiceRolePolicyForOceanBaseEncryption

İzinler aşağıda belirtilmiştir:

{
  "Statement": [
    {
      "Action": [
        "kms:ListKeys",
        "kms:ListAliasesByKeyId",
        "kms:ListAliases",
        "kms:DescribeKey"
      ],
      "Effect": "Allow",
      "Resource": "acs:kms:*:*:*"
    },
    {
      "Action": [
        "kms:Encrypt",
        "kms:Decrypt",
        "kms:GenerateDataKey"
      ],
      "Condition": {
        "StringEqualsIgnoreCase": {
          "kms:tag/oceanbase:encryption": "true"
        }
      },
      "Effect": "Allow",
      "Resource": "acs:kms:*:*:*"
    },
    {
      "Action": "ram:DeleteServiceLinkedRole",
      "Resource": "*",
      "Effect": "Allow",
      "Condition": {
        "StringEquals": {
          "ram:ServiceName": "encryption.oceanbase.aliyuncs.com"
        }
      }
    }
  ],
  "Version": "1"
}

SSS

Hizmet bağlantılı rolü AliyunServiceRoleForOceanBaseEncryption neden RAM kullanıcım kullanılarak otomatik olarak oluşturulamıyor?

AliyunServiceRoleForOceanBaseEncryption rolünün otomatik olarak oluşturulabilmesi veya silinebilmesi için belirli izinlerin verilmiş olması gerekir. Rolü otomatik olarak oluşturmak için RAM kullanıcınıza aşağıdaki izin ilkesini belirtmeniz gerekir:

{
    "Action": "ram:CreateServiceLinkedRole",
    "Resource": "*",
    "Effect": "Allow",
    "Condition": {
        "StringEquals": {
            "ram:ServiceName": "encryption.oceanbase.aliyuncs.com"
        }
    }
}