クラウドベンダーアカウントの権限付与

1. OceanBase Cloudのクロスアカウントアクセスユーザーと委任を作成します。

   Huawei Cloudの[統一認証サービスIAM] > 委任で新しい委任を作成します。以下の設定にご注意ください：

   1. 委託タイプ に 一般アカウント を選択します。

   2. 委託アカウント に、OceanBase Cloudが提供するマスターアカウントを入力します（現在のインスタンスに対応するアカウント情報は自動的に取得されます）。

      説明

      OceanBase Cloudが提供するマスターアカウントは、セキュリティ設定 > TDE透過的データ暗号化 > Huawei Cloudアカウントの権限を表示するで確認できます。

2. KMSアクセス権限を設定します。

   説明

   初回設定時には、指定された権限ポリシーを作成する必要があります。同じポリシーが既に存在する場合は、最初の手順をスキップできます。

   1. カスタムポリシーを作成します。

      1. 統一認証サービスIAMの管理ページで、左側のナビゲーションバーの 権限管理 > 権限 をクリックします。

      2. 権限ポリシーページの右上で、カスタムポリシーの作成 をクリックします。

      3. ポリシー名を入力した後、視覚化ビューのタブで、以下の設定を選択します：

         

         オプション	説明
         効果	許可
         サービス	データ暗号化サービス
         操作	以下の権限を選択します： kms:cmk:get（キー情報のクエリ） kms:cmk:list（キー一覧のクエリ） kms:dek:create（データキーの作成） kms:dek:encrypt（データキーの暗号化） kms:dek:decrypt（データキーの復号化）
         リソース	デフォルトではすべてのリソースが選択されています。OceanBaseがアクセスできるKMSリソースを特定のものに限定したい場合は、特定のリソースを選択します。

      4. OK をクリックして、作成を完了します。

   2. 委任にKMSキー権限を設定します。

      1. 左側のナビゲーションバーで、委任 をクリックします。

      2. 委任リストで、対象の委任の 操作 列の 権限付与 をクリックします。

      3. 権限付与ページで、最初のステップで作成したポリシーを選択し、次へ をクリックします。

      4. 最小権限範囲を設定した後、OK をクリックします。

   3. 統一認証サービスIAM委任の詳細からURN情報を取得します。

3. 権限付与検証を行います。

   1. OceanBase Cloudコンソールにログインします。

   2. 左側のナビゲーションバーで クラスターリスト をクリックし、対象のクラスターを選択して、クラスターワークスペース ページに移動します。

   3. 左側のナビゲーションバーで セキュリティ設定 をクリックします。

   4. セキュリティ設定画面で、TDE透過的データ暗号化 タブをクリックします。

   5. Huawei Cloudアカウントの権限を表示する をクリックします。

   6. URNにIAM委任の詳細で取得したURN情報を入力し、完了 をクリックします。

1. AWS IAM管理コンソールにログインします。

2. KMSアクセス権限を設定します。

   説明

   初回設定時は、指定された権限ポリシーを作成する必要があります。同じポリシーが既に存在する場合は、最初の手順をスキップできます。

   1. カスタムKMS権限ポリシーを作成します。

      1. ポリシー管理ページで、ポリシーの作成をクリックします。

      2. 可視化編集タブで、以下の設定を選択します：

         

         オプション	説明
         サービスの選択	KMS
         操作	指定操作を選択し、以下の権限を選択します： ListAliases ListKeys DescribeKey GenerateDataKey Decrypt Encrypt
         リソース	デフォルトではすべてが選択されています。OceanBaseがアクセスできるようにするKMSリソースを特定のものだけに制限したい場合は、指定リソースを選択できます。

      3. OKをクリックして、作成を完了します。

   2. IAMロールを作成し、KMSキー権限を設定します。

      1. ロール管理ページで、ロールの作成をクリックします。

      2. カスタム信頼ポリシーを選択した後、以下の設定を入力し、PrincipalフィールドにOceanBase Cloudが提供するIAMユーザーのARNを挿入します。

         説明

         IAMユーザーのARNは、セキュリティ設定 > TDE透過的データ暗号化 > AWSアカウントの権限付与を表示で確認できます。
         

         {
            "Version":"2012-10-17"
            "Statement":[
            {
               "Effect":"Allow",
               "Principal":{****},
               "Action":"sts:AssumeRole"
            }]
         }
         

      3. 権限を追加する際に、手順1で作成したカスタム権限ポリシーを選択します。

      4. 名前と説明情報を入力し、OKをクリックします。

   3. AWS IAMロールの詳細からARN情報を取得します。

3. 権限付与の検証を行います。

   1. OceanBase Cloudコンソールにログインします。

   2. 左側のナビゲーションバーでクラスターリストをクリックし、対象のクラスターを選択して、クラスターワークスペースページに移動します。

   3. 左側のナビゲーションバーでセキュリティ設定をクリックします。

   4. セキュリティ設定画面で、TDE透過的データ暗号化タブをクリックします。

   5. AWSアカウントの権限付与を表示をクリックします。

   6. ARNに、AWS IAMロールの詳細で取得したARN情報を入力し、**完了**をクリックします。

前提条件

• KMS APIサービスが有効になっていること。有効化するには、Cloud Key Management Service (KMS) APIにアクセスしてください。

操作手順

1. サービスアカウントを作成します。

   1. GCPのIAMと管理 > サービスアカウントにログインします。

   2. サービスアカウントを作成をクリックします。

   3. 作成ダイアログでサービスアカウント名を入力し、作成して続行をクリックします。

   4. サービスアカウントに、次のGCPの事前定義ロールを付与します。ロールの詳細については、Permissions and rolesを参照してください。

      • Cloud KMS Viewer
      • Cloud KMS Crypto Operator
      • Cloud KMS CryptoKey Encrypter/Decrypter

   5. 完了をクリックします。

2. OceanBase Cloudのサービスアカウントに権限を付与します。

   1. 作成したアカウント名をクリックし、サービスアカウントの管理ページに移動します。

   2. Principals with accessをクリックします。

   3. View by principalsタブでGrant accessをクリックします。

   4. 権限付与画面で次の情報を設定します。

      • Add principals：OceanBase Cloudのサービスアカウント情報を省略せずに入力します。

        説明

        OceanBase Cloudが提供するマスターアカウントは、セキュリティ設定 > TDE透過的データ暗号化 > View Google Cloud Account Authorizationで確認できます。

      • Assign roles：tokenを検索し、Service Account Token Creatorを選択します。

   5. Saveをクリックします。

   6. ロールの作成が完了したら、サービスアカウントの詳細からメールアドレスを取得します。

3. 権限付与を検証します。

   1. OceanBase Cloudコンソールにログインします。

   2. 左側のナビゲーションバーでクラスターリストをクリックし、対象クラスターを選択して、クラスターワークスペースページに移動します。

   3. 左側のナビゲーションバーでセキュリティ設定をクリックします。

   4. セキュリティ設定画面でTDE透過的データ暗号化タブをクリックします。

   5. View Google Cloud Account Authorizationをクリックします。

   6. GCPサービスアカウントの詳細から取得したメールアドレスを入力し、**完了**をクリックします。