ApsaraDB RDS for MySQLにKMSへのアクセスを許可する - ApsaraDB RDS

ApsaraDB RDS for MySQLインスタンスにディスク暗号化機能を使用するには、インスタンスにKey Management Service (KMS) へのアクセスを許可する必要があります。このトピックでは、RAMコンソールを使用してRDSインスタンスにKMSへのアクセスを許可する方法について説明します。

前提条件

Alibaba CloudアカウントでRAMコンソールにログインしています。

AliyunRDSInstanceEncryptionRolePolicyという名前の権限ポリシーを作成する

ポリシーページに移動します。
[ポリシー] ページで、ポリシーの作成をクリックします。
説明
ポリシーは、特定の構文を使用して記述される一連の権限です。ポリシーを使用して、権限が付与されたリソースセット、権限が付与された操作セット、および権限付与の条件を記述できます。詳細については、「Terms」をご参照ください。

[JSON] タブで、次のコードをコピーしてコードエディターに貼り付けます。

{
    "Version": "1",
    "Statement": [
        {
            "Action": [
                &quot;kms：List *&quot;、
                &quot;kms：DescribeKey&quot;、
                "kms:TagResource",
                "kms:UntagResource"
            ],
            "Resource": [
                "acs:kms:*:*:*"
            ],
            "Effect": "Allow"
        },
        {
            "Action": [
                "kms:Encrypt",
                "kms:Decrypt",
                "kms:GenerateDataKey"
            ],
            "Resource": [
                "acs:kms:*:*:*"
            ],
            "Effect": "Allow",
            "Condition": {
                "StringEqualsIgnoreCase": {
                    "kms:tag/acs:rds:instance-encryption": "true"
                }
            }
        }
    ]
}

クリックポリシー情報を編集する次に次のパラメータを設定します。

パラメーター	説明
名前	ポリシー名です。 AliyunRDSInstanceEncryptionRolePolicyを入力します。
説明	ポリシーを識別するために使用される情報。例: ApsaraDB RDSがKMSにアクセスできるようにします。

OKをクリックします。

AliyunRDSInstanceEncryptionDefaultRoleという名前のRAMロールの作成と権限付与

AliyunRDSInstanceEncryptionRolePolicy権限ポリシーを作成した後、RAMロールを作成し、権限ポリシーをRAMロールにアタッチする必要があります。これにより、ApsaraDB RDSはKMSにアクセスできます。

RAMロールページに移動します。
[ロール] ページで、ロールの作成をクリックします。
[ロールの作成] ページで、[Alibaba Cloud Service] を選択し、[次へ] をクリックします。

次のパラメーターを設定し、OKをクリックします。

パラメーター	説明
ロールタイプ	[通常のサービスロール] を選択します。
RAMロール名	RAM ロールの名前です。 AliyunRDSInstanceEncryptionDefaultRoleを入力します。
注	RAMロールを識別するために使用される情報。
信頼できるサービスの選択	RAMロールの信頼済みサービス。 [RDS] を選択します。

ロールが作成されましたメッセージが見たら、RAMロールへの権限の追加をクリックします。
説明
「ロールが作成されました」というメッセージが表示されたパネルを閉じた場合は、ロールページに移動してAliyunRDSInstanceEncryptionDefaultRoleロールを見つけ、[操作] 列の [権限付与] をクリックします。
では、権限付与パネルをクリックし、AliyunRDSInstanceEncryptionRolePolicyポリシーにポリシーを追加します。選択済みセクションにアクセスします。
権限の付与をクリックします。

(オプション) RAMユーザーのARNを表示する

Alibaba Cloud Resource Name (ARN) は、RAMロールのグローバルリソース記述子です。 RAMロールのARNは、RAMロールがアクセスできるリソースを記述します。 APIを呼び出してディスク暗号化機能を有効にする場合、KMSにアクセスする権限を持つRAMロールのARNを指定する必要があります。詳細は、「CreateDBInstance」をご参照ください。

RAMロールページに移動します。
使用するRAMロールを見つけます。次に、RAMロールの名前をクリックします。
表示されるページの [基本情報] セクションで、RAMロールのARNを表示します。