AWS での顧客管理の暗号化キーを使用した保存時の暗号化

この手順は、TiDB Cloud APIを使用してCMEK 対応プロジェクトを作成するエンドポイント経由で完了できます。aws_cmek_enabledフィールドがtrueに設定されていることを確認してください。

現在、 TiDB Cloud APIはパブリックプレビューです。詳細については、 TiDB Cloud API ドキュメントをご覧ください。

1. AWS KMS でキーポリシーを設定し、キーポリシーに次の情報を追加します。

   {
       "Version": "2012-10-17",
       "Id": "cmek-policy",
       "Statement": [
           // EBS-related policy
           {
               "Sid": "Allow access through EBS for all principals in the account that are authorized to use EBS",
               "Effect": "Allow",
               "Principal": {
                   "AWS": "*"
               },
               "Action": [
                   "kms:Encrypt",
                   "kms:Decrypt",
                   "kms:ReEncrypt*",
                   "kms:GenerateDataKey*",
                   "kms:CreateGrant",
                   "kms:DescribeKey"
               ],
               "Resource": "*",
               "Condition": {
                   "StringEquals": {
                       "kms:CallerAccount": "<pingcap-account>",
                       "kms:ViaService": "ec2.<region>.amazonaws.com"
                   }
               }
           },
           // S3-related policy
           {
               "Sid": "Allow TiDB cloud role to use KMS to store encrypted backup to S3",
               "Effect": "Allow",
               "Principal": {
                   "AWS": "arn:aws:iam::<pingcap-account>:root"
               },
               "Action": [
                   "kms:Decrypt",
                   "kms:GenerateDataKey"
               ],
               "Resource": "*"
           },
           ... // user's own admin access to KMS
       ]
   }
   

   • <pingcap-account>はクラスターが実行されるアカウントです。アカウントがわからない場合は、 TiDB Cloudサポート問い合わせてください。
   • <region>はクラスターを作成するリージョンです（例： us-west-2 ）。リージョンを指定したくない場合は、 <region>ワイルドカード*に置き換え、 StringLikeブロックに入力します。
   • 前のブロックの EBS 関連のポリシーについては、 AWSドキュメントを参照してください。
   • 前のブロックの S3 関連のポリシーについては、 AWSブログを参照してください。

2. TiDB Cloud API のAWS CMEK を構成するのエンドポイントを呼び出します。

   現在、 TiDB Cloud APIはパブリックプレビューです。詳細については、 TiDB Cloud API ドキュメントをご覧ください。