Db2 監査ログ記録

AWS Management Console にサインインして、IAM コンソール (https://console.aws.amazon.com/iam/) を開きます。

ナビゲーションペインで、[ポリシー] を選択します。

[ポリシーを作成] を選択し、[JSON] を選択します。

[アクションを追加] で、「S3」でフィルタリングします。アクセス ListBucket、GetBucketAcl、GetBucketLocation を追加します。

[リソースを追加] で、[追加] を選択します。[リソースタイプ] で、[バケット] を選択し、バケットの名前を入力します。[リソースを追加] を選択します。

[新しいステートメントを追加] を選択します。

[アクションを追加] で、「S3」でフィルタリングします。アクセス PutObject、ListMultipartUploadParts、AbortMultipartUpload を追加します。

[リソースを追加] で、[追加] を選択します。[リソースタイプ] で、[オブジェクト] を選択し、バケット名/* を入力します。[リソースを追加] を選択します。

[新しいステートメントを追加] を選択します。

[アクションを追加] で、「S3」でフィルタリングします。アクセス ListAllMyBuckets を追加します。

[リソースを追加] で、[追加] を選択します。[リソースタイプ] には、[すべてのリソース] を選択します。[リソースを追加] を選択します。

独自の KMS キーを使用してデータを暗号化する場合:

[Next] を選択します。

[ポリシー名] にこのポリシーの名前を入力します。

(オプション) [Description (説明)] に、ポリシーの説明を入力します。

[Create policy] を選択します。

create-policy コマンドを実行します。次の例では、iam_policy_name と amzn-s3-demo-bucket を IAM ポリシーの名前とターゲットの Amazon S3 バケットの名前に置き換えます。

Linux、macOS、Unix の場合:

aws iam create-policy \
    --policy-name iam_policy_name \
    --policy-document '{
        "Version": "2012-10-17",
        "Statement": [
            {
                "Sid": "Statement1",
                "Effect": "Allow",
                "Action": [
                    "s3:ListBucket",
                    "s3:GetBucketAcl",
                    "s3:GetBucketLocation"
                ],
                "Resource": [
                    "arn:aws:s3:::amzn-s3-demo-bucket"
                ]
            },
            {
                "Sid": "Statement2",
                "Effect": "Allow",
                "Action": [
                    "s3:PutObject",
                    "s3:ListMultipartUploadParts",
                    "s3:AbortMultipartUpload"
                ],
                "Resource": [
                    "arn:aws:s3:::amzn-s3-demo-bucket/*"
                ]
            },
            {
                "Sid": "Statement3",
                "Effect": "Allow",
                "Action": [
                    "s3:ListAllMyBuckets"
                ],
                "Resource": [
                    "*"
                ]
            },
            {
                "Sid": "Statement4",
                "Effect": "Allow",
                "Action": [
                    "kms:GenerateDataKey",
                    "kms:Decrypt"
                ],
                "Resource": [
                    "*"
                ]
            }
        ]
  }'

Windows の場合:

aws iam create-policy ^
    --policy-name iam_policy_name ^
    --policy-document '{
        "Version": "2012-10-17",
        "Statement": [
            {
                "Sid": "Statement1",
                "Effect": "Allow",
                "Action": [
                    "s3:ListBucket",
                    "s3:GetBucketAcl",
                    "s3:GetBucketLocation"
                ],
                "Resource": [
                    "arn:aws:s3:::amzn-s3-demo-bucket"
                ]
            },
            {
                "Sid": "Statement2",
                "Effect": "Allow",
                "Action": [
                    "s3:PutObject",
                    "s3:ListMultipartUploadParts",
                    "s3:AbortMultipartUpload"
                ],
                "Resource": [
                    "arn:aws:s3:::amzn-s3-demo-bucket/*"
                ]
            },
            {
                "Sid": "Statement3",
                "Effect": "Allow",
                "Action": [
                    "s3:ListAllMyBuckets"
                ],
                "Resource": [
                    "*"
                ]
            },
            {
                "Sid": "Statement4",
                "Effect": "Allow",
                "Action": [
                    "kms:GenerateDataKey",
                    "kms:Decrypt"
                ],
                "Resource": [
                    "*"
                ]
            }
        ]
  }'

ポリシーが作成されたら、ポリシーの ARN を書き留めます。ステップ 3: IAM ロールを作成して IAM ポリシーをアタッチする の ARN が必要です。

AWS Management Console にサインインして、IAM コンソール (https://console.aws.amazon.com/iam/) を開きます。

ナビゲーションペインで [Roles] (ロール) を選択します。

[ロールの作成] を選択します。

[信頼されたエンティティタイプ] で、[AWS のサービス] を選択します。

[サービスまたはユースケース] で、[RDS] を選択し、[RDS - データベースにロールを追加] を選択します。

[Next] を選択します。

[アクセス許可ポリシー] で、作成した IAM ポリシーの名前を検索して選択します。

[Next] を選択します。

[ロール名] に、ロールの名前を入力します。

(オプション) [説明] には、新しいロールの説明を入力します。

[ロールの作成] を選択します。

create-role コマンドを実行します。次の例では、iam_role_name を IAM ロールの名前に置き換えます。

Linux、macOS、Unix の場合:

aws iam create-role \
    --role-name iam_role_name \
    --assume-role-policy-document '{
      "Version": "2012-10-17",
      "Statement": [
        {
          "Effect": "Allow",
          "Principal": {
            "Service": "rds.amazonaws.com"
          },
          "Action": "sts:AssumeRole"
        }
      ]
    }'

Windows の場合:

aws iam create-role ^
    --role-name iam_role_name ^
    --assume-role-policy-document '{
      "Version": "2012-10-17",
      "Statement": [
        {
          "Effect": "Allow",
          "Principal": {
            "Service": "rds.amazonaws.com"
          },
          "Action": "sts:AssumeRole"
        }
      ]
    }'

ロールが作成されたら、このロールの ARN を書き留めます。この ARN は次のステップ「ステップ 4: Db2 監査ログ記録のオプショングループを設定する」で必要になります。

attach-role-policy コマンドを実行します。次の例では、iam_policy_arn を ステップ 2: IAM ポリシーを作成する で作成した IAM ポリシーの ARN に置き換えます。iam_role_name は、先ほど作成した IAM ロールの名前に置き換えます。

Linux、macOS、Unix の場合:

aws iam attach-role-policy \
   --policy-arn iam_policy_arn \
   --role-name iam_role_name

Windows の場合:

aws iam attach-role-policy ^
   --policy-arn iam_policy_arn ^
   --role-name iam_role_name