Db2 审核日志记录

登录到 Amazon Web Services Management Console，然后通过以下网址打开 IAM 控制台：https://console.aws.amazon.com/iam/。

在导航窗格中，选择策略。

选择创建策略，然后选择 JSON。

在添加操作中，按 S3 进行筛选。添加 ListBucket、GetBucketAcl 和 GetBucketLocation 访问权限。

在添加资源中，选择添加。在资源类型中，选择存储桶，然后输入存储桶的名称。选择添加资源。

选择添加新语句。

在添加操作中，按 S3 进行筛选。添加 PutObject、ListMultipartUploadParts 和 AbortMultipartUpload 访问权限。

在添加资源中，选择添加。在资源类型中，选择对象，然后输入您的存储桶名称/*。选择添加资源。

选择添加新语句。

在添加操作中，按 S3 进行筛选。添加 ListAllMyBuckets 访问权限。

在添加资源中，选择添加。在资源类型中，选择所有资源。选择添加资源。

如果您使用自己的 KMS 密钥来加密数据：

选择下一步。

对于策略名称，输入此策略的名称。

（可选）对于描述，输入此策略的描述。

选择创建策略。

运行 create-policy 命令。在以下示例中，将 iam_policy_name 和 s3_bucket_name 替换为 IAM 策略的名称以及目标 Amazon S3 存储桶的名称。

对于 Linux、macOS 或 Unix：

aws iam create-policy \
    --policy-name iam_policy_name \
    --policy-document '{
        "Version": "2012-10-17",
        "Statement": [
            {
                "Sid": "Statement1",
                "Effect": "Allow",
                "Action": [
                    "s3:ListBucket",
                    "s3:GetBucketAcl",
                    "s3:GetBucketLocation"
                ],
                "Resource": [
                    "arn:aws:s3:::s3_bucket_name"
                ]
            },
            {
                "Sid": "Statement2",
                "Effect": "Allow",
                "Action": [
                    "s3:PutObject",
                    "s3:ListMultipartUploadParts",
                    "s3:AbortMultipartUpload"
                ],
                "Resource": [
                    "arn:aws:s3:::s3_bucket_name/*"
                ]
            },
            {
                "Sid": "Statement3",
                "Effect": "Allow",
                "Action": [
                    "s3:ListAllMyBuckets"
                ],
                "Resource": [
                    "*"
                ]
            },
            {
                "Sid": "Statement4",
                "Effect": "Allow",
                "Action": [
                    "kms:GenerateDataKey",
                    "kms:Decrypt"
                ],
                "Resource": [
                    "*"
                ]
            }
        ]
  }'

对于 Windows：

aws iam create-policy ^
    --policy-name iam_policy_name ^
    --policy-document '{
        "Version": "2012-10-17",
        "Statement": [
            {
                "Sid": "Statement1",
                "Effect": "Allow",
                "Action": [
                    "s3:ListBucket",
                    "s3:GetBucketAcl",
                    "s3:GetBucketLocation"
                ],
                "Resource": [
                    "arn:aws:s3:::s3_bucket_name"
                ]
            },
            {
                "Sid": "Statement2",
                "Effect": "Allow",
                "Action": [
                    "s3:PutObject",
                    "s3:ListMultipartUploadParts",
                    "s3:AbortMultipartUpload"
                ],
                "Resource": [
                    "arn:aws:s3:::s3_bucket_name/*"
                ]
            },
            {
                "Sid": "Statement3",
                "Effect": "Allow",
                "Action": [
                    "s3:ListAllMyBuckets"
                ],
                "Resource": [
                    "*"
                ]
            },
            {
                "Sid": "Statement4",
                "Effect": "Allow",
                "Action": [
                    "kms:GenerateDataKey",
                    "kms:Decrypt"
                ],
                "Resource": [
                    "*"
                ]
            }
        ]
  }'

创建策略后，请记下策略的 ARN。您需要步骤 3：创建 IAM 角色并附加您的 IAM 策略的 ARN。

登录 Amazon Web Services Management Console，然后通过以下网址打开 IAM 控制台：https://console.aws.amazon.com/iam/。

在导航窗格中，选择角色。

选择创建角色。

对于可信实体类型，请选择 Amazon Web Service。

对于服务或使用案例，请选择 RDS，然后选择 RDS – 向数据库添加角色。

选择下一步。

对于权限策略，搜索并选择您创建的 IAM policy 的名称。

选择下一步。

对于 Role name（角色名称），输入一个角色名称。

（可选）在描述中，输入新角色的描述。

选择创建角色。

运行 create-role 命令。在以下示例中，将 iam_role_name 替换为您的 IAM 角色的名称。

对于 Linux、macOS 或 Unix：

aws iam create-role \
    --role-name iam_role_name \
    --assume-role-policy-document '{
      "Version": "2012-10-17",
      "Statement": [
        {
          "Effect": "Allow",
          "Principal": {
            "Service": "rds.amazonaws.com"
          },
          "Action": "sts:AssumeRole"
        }
      ]
    }'

对于 Windows：

aws iam create-role ^
    --role-name iam_role_name ^
    --assume-role-policy-document '{
      "Version": "2012-10-17",
      "Statement": [
        {
          "Effect": "Allow",
          "Principal": {
            "Service": "rds.amazonaws.com"
          },
          "Action": "sts:AssumeRole"
        }
      ]
    }'

创建角色之后，记下该角色的 ARN。在下一步骤步骤 4：为 Db2 审核日志记录配置选项组中，您需要用到此 ARN。

运行 attach-role-policy 命令。在以下示例中，将 iam_policy_arn 替换为您在步骤 2：创建 IAM 策略中创建的 IAM policy。将 iam_role_name 替换为刚创建的 IAM 角色的名称。

对于 Linux、macOS 或 Unix：

aws iam attach-role-policy \
   --policy-arn iam_policy_arn \
   --role-name iam_role_name

对于 Windows：

aws iam attach-role-policy ^
   --policy-arn iam_policy_arn ^
   --role-name iam_role_name