授权PolarDB访问密钥管理服务KMS - 云原生数据库 PolarDB

需要给PolarDB授予访问密钥管理服务KMS（Key Management Service）的权限，才能正常使用透明数据加密TDE（Transparent Data Encryption）功能，您可以在访问控制RAM控制台上进行授权。

适用范围

需要使用阿里云主账号。

创建权限策略AliyunRDSInstanceEncryptionRolePolicy

登录访问控制的权限策略页面。
单击创建权限策略。
说明
权限策略是用语法结构描述的一组权限的集合，可以精确地描述被授权的资源、操作以及授权条件。

单击脚本编辑页签，将如下脚本复制到代码编辑框中。

{
    "Version": "1",
    "Statement": [
        {
            "Action": [
                "kms:List*",
                "kms:DescribeKey",
                "kms:TagResource",
                "kms:UntagResource"
            ],
            "Resource": [
                "acs:kms:*:*:*"
            ],
            "Effect": "Allow"
        },
        {
            "Action": [
                "kms:Encrypt",
                "kms:Decrypt",
                "kms:GenerateDataKey"
            ],
            "Resource": [
                "acs:kms:*:*:*"
            ],
            "Effect": "Allow",
            "Condition": {
                "StringEqualsIgnoreCase": {
                    "kms:tag/acs:rds:instance-encryption": "true"
                }
            }
        }
    ]
}

单击确定，在弹出的对话框中填写如下信息：
参数
说明
策略名称
填写策略名称。请填写AliyunRDSInstanceEncryptionRolePolicy。
备注
填写备注。例如：用于PolarDB访问KMS。
单击确定。

创建RAM角色AliyunRDSInstanceEncryptionDefaultRole并授权

创建完策略之后，需要将策略授权给RAM角色，PolarDB就可以访问KMS资源。

登录访问控制的角色页面。
单击创建角色。
在信任主体类型中选择云服务。
在信任主体名称的下拉列表中，搜索并选择云数据库 RDS / RDS，然后单击确定。
在角色名称中填写AliyunRDSInstanceEncryptionDefaultRole，然后单击确定。
角色创建成功后，在角色详情页的权限管理页签下，单击新增授权。
在新增授权页面搜索之前创建的权限策略AliyunRDSInstanceEncryptionRolePolicy并单击该名称，使之移动到右侧已选择权限策略框内。
单击确认新增授权。

参数	说明
策略名称	填写策略名称。请填写AliyunRDSInstanceEncryptionRolePolicy。
备注	填写备注。例如：用于PolarDB访问KMS。