Membuat kebijakan IAM untuk mengakses sumber daya AWS KMS

Aurora dapat mengakses AWS KMS keys yang digunakan untuk mengenkripsi cadangan basis datanya. Namun, Anda harus terlebih dahulu membuat kebijakan IAM yang memberikan izin yang memungkinkan Aurora mengakses kunci KMS.

Kebijakan berikut menambahkan izin yang diperlukan Aurora untuk mengakses kunci KMS atas nama Anda.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "kms:Decrypt"
            ],
            "Resource": "arn:aws:kms:<region>:<123456789012>:key/<key-ID>"
        }
    ]
}

Anda dapat menggunakan langkah-langkah berikut untuk membuat kebijakan IAM yang memberikan izin minimum yang diperlukan Aurora untuk mengakses kunci KMS atas nama Anda.

Untuk membuat kebijakan IAM untuk memberikan akses ke kunci KMS Anda

1. Buka konsol IAM.

2. Di panel navigasi, pilih Kebijakan.

3. Pilih Buat kebijakan.

4. Di tab Editor visual, klik Pilih layanan, lalu pilih KMS.

5. Untuk Tindakan, pilih Tulis, lalu pilih Dekripsi.

6. Pilih Sumber Daya, lalu pilih Tambahkan ARN.

7. Di kotak dialog Tambahkan ARN, masukkan nilai berikut:

   • Wilayah – Ketik Wilayah AWS, seperti us-west-2.

   • Akun – Ketik nomor akun pengguna.

   • Nama Log Stream – Ketik pengidentifikasi kunci KMS.

8. Di kotak dialog Tambahkan ARN, pilih Tambahkan.

9. Pilih Tinjau kebijakan.

10. Atur Nama untuk nama kebijakan IAM Anda, misalnya AmazonRDSKMSKey. Anda menggunakan nama ini saat membuat peran IAM untuk dikaitkan dengan klaster DB Aurora Anda. Anda juga dapat menambahkan nilai Deskripsi opsional.

11. Pilih Buat kebijakan.

12. Selesaikan langkah-langkah dalam Membuat peran IAM untuk mengizinkan Amazon Aurora mengakses layanan AWS.