クラウドベンダーアカウントの認可

OB Cloudのクロスアカウントアクセスユーザーと委任を作成します。

Huawei Cloudの統一認証サービスIAM > 委任で新しい委任を作成します。以下の設定に注意してください：

1. **委任タイプで、通常アカウント**を選択します。

2. **委任されるアカウント**に、OB Cloudが提供するメインアカウントを入力します(現在のインスタンスは結果を自動取得します)。

   説明

   OB Cloudが提供するマスターアカウントは、セキュリティ設定 > TDE 透過的データ暗号化 > Huawei Cloudアカウントの認可を表示で確認できます。

KMSアクセス権限を設定します。

1. カスタムポリシーを作成します。

   1. 統一アイデンティティ認証サービスIAM管理ページで、左側のナビゲーションバーの権限管理 > 権限をクリックします。

   2. 権限ポリシーページの右上隅で、カスタムポリシーの作成をクリックします。

   3. ポリシー名を入力した後、視覚化ビューのタブで、以下の設定を選択します：

      

      項目	説明
      効果	を許可する
      サービス	データ暗号化サービス
      操作	以下の権限を選択： kms:cmk:get（キー情報のクエリ） kms:cmk:list（キーのリストのクエリ） kms:dek:create（データキーの作成） kms:dek:encrypt（データキーの暗号化） kms:dek:decrypt（データキーの復号化）
      リソース	デフォルトではすべてのリソースが選択されています。OceanBaseがアクセスできるように特定のKMSリソースのみを許可したい場合は、特定のリソースを選択できます。

   4. **わかりました**をクリックして、作成を完了します。

2. 委譲に対するKMSキー権限を設定します。

   1. 左側のナビゲーションペインで、委譲をクリックします。

   2. 委譲リストで、対象の委譲の**操作列の承認する**をクリックします。

   3. 認可ページで、最初のステップで作成したポリシーを選択し、**次へ**をクリックします。

   4. 最小認可範囲を設定した後、**わかりました**をクリックします。

3. 統一アイデンティティ認証サービスIAM委譲詳細からURN情報を取得します。

認可検証を行います。

1. OB Cloudクラウドデータベースコンソールにログインします。

2. 左側のナビゲーションペインでクラスターリストをクリックし、対象のクラスターを選択して、クラスターワークスペースページに移動します。

3. 左側のナビゲーションペインで**セキュリティ設定**をクリックします。

4. セキュリティ設定画面で、**透過的データ暗号化（TDE）**タブをクリックします。

5. Huawei Cloudアカウント認証を表示 をクリックします。

6. URNにIAM委任の詳細で取得したURN情報を入力し、**完了**をクリックします。

AWS IAM管理コンソールにログインします。

KMSアクセス権限を設定します。

1. カスタムKMS権限ポリシーを作成します。

   1. ポリシー管理ページで、**作成方式**をクリックします。

   2. 可視化編集タブで、以下の設定を選択します：

      

      オプション	説明
      サービスの選択	KMS
      操作	指定操作を選択し、以下の権限を選択します： ListAliases ListKeys DescribeKey GenerateDataKey Decrypt Encrypt
      リソース	デフォルトではすべてが選択されています。OceanBaseがアクセスできる特定のKMSリソースのみを許可する場合は、指定リソースを選択できます。

   3. **OK**をクリックして、作成を完了します。

2. IAMロールを作成し、KMSキー権限を設定します。

   1. ロール管理ページで、ロールの作成をクリックします。

   2. カスタム信頼ポリシーを選択した後、以下の設定を入力し、PrincipalフィールドにOB Cloudが提供するIAMユーザーのARNを挿入します。

      説明

      IAMユーザーのARNは、セキュリティ設定 > TDE透過的データ暗号化 > AWSアカウントの権限付与を表示で確認できます。
      

      {
         "Version":"2012-10-17"
         "Statement":[
         {
            "Effect":"Allow",
            "Principal":{****},
            "Action":"sts:AssumeRole"
         }]
      }
      

   3. 権限を追加する際に、手順1で作成したカスタム権限ポリシーを選択します。

   4. 名前と説明を入力し、OK をクリックします。

3. AWS IAMロールの詳細からARN情報を取得します。

権限検証。

1. OceanBase Cloudコンソールにログインします。

2. 左側のナビゲーションペインで クラスターリスト をクリックし、対象クラスタを選択して クラスターワークスペース ページに移動します。

3. 左側のナビゲーションペインで セキュリティ をクリックします。

4. セキュリティ設定画面で、透過的データ暗号化（TDE） タブをクリックします。

5. AWSアカウント認証を表示 をクリックします。

6. ARNに、AWS IAMロールの詳細で取得したARN情報を入力し、完了 をクリックします。

   

Tencent Cloudのアクセス管理 > ポリシーにログインします。

KMSアクセス権限を設定します。

1. KMSアクセス権限ポリシーを作成します。

   1. ポリシー管理ページで、新規カスタムポリシー > ポリシージェネレーターによる作成 をクリックします。

   2. 可視化編集タブで、以下の設定を選択します：

      

      選択肢	説明
      サービスの選択	キーマネジメントシステム (KMS)
      操作	指定操作 を選択し、以下の権限を選択します： ListKeys ListKeyDetail DescribeKey GenerateDataKey Encrypt Decrypt
      リソース	デフォルトでは すべてのリソース が選択されています。OceanBaseがアクセスできる特定のKMSリソースのみを許可する場合は、特定のリソース を選択できます。

   3. 次へ をクリックします。

   4. ポリシー名と説明を入力し、完了 をクリックします。

2. [アクセス管理] > ロールでCAMロールを作成し、指定したポリシーを設定します。

   1. ロール管理ページで、新規ロール > テンセントクラウドアカウント をクリックします。

   2. ロールの情報を入力し、以下の設定を行います：

      項目	説明
      クラウドアカウントタイプ	その他のプライマリアカウント を選択します。
      アカウントID	OB Cloudが提供するテンセントクラウドアカウントを入力します。 説明 OB Cloudが提供するプライマリアカウントは、セキュリティ設定 > TDE透過的データ暗号化 > テンセントクラウドアカウントの認可を表示で確認できます。

   | | コンソールアクセス | 未選択のままにします。 | | MFA認証が必要 | 未選択のままにします。 | | 外部ID | 未選択のままにします。 |

   3. ロールポリシーを設定し、手順1で作成したカスタムポリシーを選択します。

   4. ロールタグを設定し、必要に応じて構成します。

   5. レビューし、ロール名と説明を設定して、**完了**をクリックします。

3. ロールの作成が完了したら、ロールの詳細からRoleArnを取得します。

権限検証を行います。

1. OB Cloudクラウドデータベースコンソールにログインします。

2. 左側のナビゲーションペインでクラスターリストをクリックし、対象のクラスターを選択して、クラスターワークスペースページに移動します。

3. 左側のナビゲーションペインで**セキュリティ**をクリックします。

4. セキュリティ設定画面で、**透過的データ暗号化（TDE）**タブをクリックします。

5. **Tencent Cloudアカウント認証**をクリックします。

6. テンセントクラウドCAMロールの詳細で取得したRoleArn情報を入力し、**完了**をクリックします。