TiDB Cloud Serverless の外部ストレージ アクセスを構成する

前の手順で説明した「新しい ARN の追加」ダイアログで、 「問題が発生した場合は、ロール ARN を手動で作成します」をクリックします。TiDB TiDB Cloudアカウント IDとTiDB Cloud外部 IDが取得されます。

AWS マネジメントコンソールで、Amazon S3 バケットの管理ポリシーを作成します。

1. AWS マネジメントコンソールにサインインしてAmazon S3 コンソール開きます。

2. [バケット]リストで、ソース データを含むバケットの名前を選択し、 [ARN のコピー]をクリックして S3 バケット ARN (例: arn:aws:s3:::tidb-cloud-source-data ) を取得します。後で使用するために、バケット ARN をメモしておきます。

   

3. IAMコンソールを開き、左側のナビゲーション ペインで[ポリシー]をクリックして、 [ポリシーの作成]をクリックします。

   

4. [ポリシーの作成]ページで、 [JSON]タブをクリックします。

5. 必要に応じて、ポリシー テキスト フィールドでポリシーを構成します。以下は、TiDB Cloud Serverless クラスターからデータをエクスポートしたり、 TiDB Cloud Serverless クラスターにデータをインポートしたりするために使用できる例です。

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Sid": "VisualEditor0",
               "Effect": "Allow",
               "Action": [
                   "s3:GetObject",
                   "s3:GetObjectVersion",
                   "s3:PutObject"
               ],
               "Resource": "<Your S3 bucket ARN>/<Directory of your source data>/*"
           },
           {
               "Sid": "VisualEditor1",
               "Effect": "Allow",
               "Action": [
                   "s3:ListBucket"
               ],
               "Resource": "<Your S3 bucket ARN>"
           }
       ]
   }
   

   ポリシー テキスト フィールドで、次の構成を独自の値に置き換えます。

   • "Resource": "<Your S3 bucket ARN>/<Directory of the source data>/*" 。例えば、

     • ソース データがtidb-cloud-source-dataバケットのルート ディレクトリに保存されている場合は、 "Resource": "arn:aws:s3:::tidb-cloud-source-data/*"使用します。
     • ソース データがバケットのmydataディレクトリに保存されている場合は、 "Resource": "arn:aws:s3:::tidb-cloud-source-data/mydata/*"使用します。

     TiDB Cloud がこのディレクトリ内のすべてのファイルにアクセスできるように、ディレクトリの末尾に/*が追加されていることを確認してください。

   • "Resource": "<Your S3 bucket ARN>" 、たとえば"Resource": "arn:aws:s3:::tidb-cloud-source-data" 。

   • カスタマー管理のキー暗号化で AWS Key Management Service キー (SSE-KMS) を有効にしている場合は、ポリシーに次の設定が含まれていることを確認してください。1 "arn:aws:kms:ap-northeast-1:105880447796:key/c3046e91-fdfc-4f3a-acff-00597dd3801f"バケットのサンプル KMS キーです。

     {
         "Sid": "AllowKMSkey",
         "Effect": "Allow",
         "Action": [
             "kms:Decrypt"
         ],
         "Resource": "arn:aws:kms:ap-northeast-1:105880447796:key/c3046e91-fdfc-4f3a-acff-00597dd3801f"
     }
     

   • バケット内のオブジェクトが別の暗号化されたバケットからコピーされた場合、KMS キー値には両方のバケットのキーを含める必要があります。たとえば、 "Resource": ["arn:aws:kms:ap-northeast-1:105880447796:key/c3046e91-fdfc-4f3a-acff-00597dd3801f","arn:aws:kms:ap-northeast-1:495580073302:key/0d7926a7-6ecc-4bf7-a9c1-a38f0faec0cd"]です。

6. 「次へ」をクリックします。

7. ポリシー名を設定し、ポリシーのタグ（オプション）を追加して、 「ポリシーの作成」をクリックします。

AWS マネジメントコンソールで、 TiDB Cloudのアクセスロールを作成し、ロール ARN を取得します。

1. IAMコンソールで、左側のナビゲーション ペインで[ロール]をクリックし、 [ロールの作成]をクリックします。

   

2. ロールを作成するには、次の情報を入力します。

   • 信頼されたエンティティタイプで、 AWS アカウントを選択します。
   • 「AWS アカウント」で「別の AWS アカウント」を選択し、 TiDB Cloudアカウント ID を「アカウント ID」フィールドに貼り付けます。
   • オプションで、外部 ID が必要 (サードパーティがこのロールを引き受ける場合のベストプラクティス)をクリックし、 TiDB Cloud外部 ID を外部 IDフィールドに貼り付けます。外部 ID が必要 なしでロールを作成した場合、プロジェクト内の 1 つの TiDB クラスターの設定が完了すると、そのプロジェクト内のすべての TiDB クラスターが同じロール ARN を使用して Amazon S3 バケットにアクセスできます。アカウント ID と外部 ID を使用してロールを作成した場合、対応する TiDB クラスターのみがバケットにアクセスできます。

3. [次へ]をクリックしてポリシー リストを開き、作成したポリシーを選択して、 [次へ]をクリックします。

4. ロールの詳細で、ロールの名前を設定し、右下隅のロールの作成をクリックします。ロールが作成されると、ロールのリストが表示されます。

5. ロールのリストで、作成したロールの名前をクリックして概要ページに移動し、ロール ARN を取得できます。