Amazon S3 アクセスと GCS アクセスの設定

ソースデータが Amazon S3 または Google Cloud Storage (GCS) バケットに保存されている場合は、データをTiDB Cloudにインポートまたは移行する前に、バケットへのクロスアカウントアクセスを構成する必要があります。このドキュメントでは、これを行う方法について説明します。

Amazon S3 アクセスの構成

TiDB Cloud がAmazon S3 バケットのソースデータにアクセスできるようにするには、次の手順に従ってTiDB Cloudのバケットアクセスを設定し、Role-ARN を取得します。

TiDB Cloudコンソールで、ターゲットの TiDB クラスターのTiDB Cloudアカウント ID と外部 ID を取得します。
1. クラスターページに移動し、左側のナビゲーションバーの上部でターゲットプロジェクトを選択します。
2. ターゲットクラスターを見つけて、クラスター領域の右上隅にある[...]をクリックし、 [データのインポート]を選択します。 [データのインポート]ページが表示されます。
  ヒント：
  または、 [クラスター]ページでクラスターの名前をクリックし、 [インポート]領域で[データのインポート] をクリックすることもできます。
3. [データのインポート]ページで、 [必要なロール ARN を取得するためのガイド]をクリックして、 TiDB Cloudアカウント ID とTiDB Cloud外部 ID を取得します。後で使用するために、これらの ID をメモしておいてください。
AWS マネジメントコンソールで、Amazon S3 バケットの管理ポリシーを作成します。
1. AWS マネジメントコンソールにサインインし、 https://console.aws.amazon.com/s3/で Amazon S3 コンソールを開きます。
2. [バケット]リストで、ソースデータを含むバケットの名前を選択し、 [ARN のコピー]をクリックして S3 バケット ARN を取得します (たとえば、 arn:aws:s3:::tidb-cloud-source-data )。後で使用するために、バケット ARN を書き留めます。
3. https://console.aws.amazon.com/iam/でIAMコンソールを開き、左側のナビゲーションペインで[ポリシー]をクリックし、 [ポリシーの作成]をクリックします。
4. [ポリシーの作成]ページで、 [JSON]タブをクリックします。
5. 次のアクセスポリシーテンプレートをコピーして、ポリシーテキストフィールドに貼り付けます。
```
{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "VisualEditor0",
            "Effect": "Allow",
            "Action": [
                "s3:GetObject",
                "s3:GetObjectVersion"
            ],
            "Resource": "<Your S3 bucket ARN>/<Directory of your source data>/*"
        },
        {
            "Sid": "VisualEditor1",
            "Effect": "Allow",
            "Action": [
                "s3:ListBucket",
                "s3:GetBucketLocation"
            ],
            "Resource": "<Your S3 bucket ARN>"
        }
    ]
}
```
  ポリシーテキストフィールドで、次の構成を独自の値に更新します。
  - "Resource": "<Your S3 bucket ARN>/<Directory of the source data>/*"
    たとえば、ソースデータがtidb-cloud-source-dataバケットのルートディレクトリに格納されている場合は、 "Resource": "arn:aws:s3:::tidb-cloud-source-data/*"使用します。ソースデータがバケットのmydataディレクトリに保存されている場合は、 "Resource": "arn:aws:s3:::tidb-cloud-source-data/mydata/*"を使用します。 TiDB Cloud がこのディレクトリ内のすべてのファイルにアクセスできるように、ディレクトリの最後に/*が追加されていることを確認してください。
  - "Resource": "<Your S3 bucket ARN>"
    たとえば、 "Resource": "arn:aws:s3:::tidb-cloud-source-data"です。
6. [次へ: タグ]をクリックし、ポリシーのタグを追加して (オプション)、 [次へ: 確認]をクリックします。
7. ポリシー名を設定し、 [ポリシーの作成]をクリックします。
AWS マネジメントコンソールで、 TiDB Cloudのアクセスロールを作成し、ロール ARN を取得します。
1. https://console.aws.amazon.com/iam/のIAMコンソールで、左側のナビゲーションペインで[ロール]をクリックし、 [ロールの作成]をクリックします。
2. ロールを作成するには、次の情報を入力します。
  - [信頼されたエンティティタイプ]で、 [AWS アカウント]を選択します。
  - An AWS accountで、 Another AWS accountを選択し、 TiDB Cloudアカウント ID をAccount IDフィールドに貼り付けます。
  - [オプション]で、 [外部 ID を要求する (サードパーティがこのロールを引き受ける場合のベストプラクティス)]をクリックし、 TiDB Cloudの外部 ID を[外部 ID]フィールドに貼り付けます。「外部 ID が必要」なしでロールが作成された場合、プロジェクト内の 1 つの TiDB クラスターの設定が完了すると、そのプロジェクト内のすべての TiDB クラスターは同じ Role-ARN を使用して Amazon S3 バケットにアクセスできます。アカウント ID と外部 ID を使用してロールが作成された場合、対応する TiDB クラスターのみがバケットにアクセスできます。
3. [次へ]をクリックしてポリシーリストを開き、作成したポリシーを選択して、 [次へ]をクリックします。
4. [ロールの詳細]で、ロールの名前を設定し、右下隅にある[ロールの作成]をクリックします。ロールが作成されると、ロールのリストが表示されます。
5. ロールのリストで、作成したロールの名前をクリックしてその概要ページに移動し、ロール ARN をコピーします。
TiDB Cloudコンソールで、 TiDB Cloudアカウント ID と外部 ID を取得するデータインポートページに移動し、ロール ARN をロール ARNフィールドに貼り付けます。

GCS アクセスの構成

TiDB Cloud がGCS バケット内のソースデータにアクセスできるようにするには、バケットの GCS アクセスを構成する必要があります。プロジェクト内の 1 つの TiDB クラスターの構成が完了すると、そのプロジェクト内のすべての TiDB クラスターが GCS バケットにアクセスできるようになります。

TiDB Cloudコンソールで、ターゲット TiDB クラスターの Google Cloud サービスアカウント ID を取得します。
1. クラスターページに移動し、左側のナビゲーションバーの上部でターゲットプロジェクトを選択します。
2. ターゲットクラスターを見つけて、クラスター領域の右上隅にある[...]をクリックし、 [データのインポート]を選択します。 [データのインポート]ページが表示されます。
  ヒント：
  または、 [クラスター]ページでクラスターの名前をクリックし、 [インポート]領域で[データのインポート]をクリックすることもできます。
3. [データのインポート]ページで、 [Google Cloud サービスアカウント ID を表示]をクリックし、後で使用できるようにサービスアカウント ID をコピーします。
Google Cloud Platform (GCP) 管理コンソールで、GCS バケットのIAMロールを作成します。
1. GCP 管理コンソールにサインインします。
2. 役割ページに移動し、 [CREATE ROLE]をクリックします。
3. 役割の名前、説明、ID、および役割の開始段階を入力します。ロールの作成後にロール名を変更することはできません。
4. [権限を追加]をクリックします。
5. 次の読み取り専用アクセス許可を役割に追加し、 [追加]をクリックします。
  - storage.buckets.get
  - storage.objects.get
  - storage.objects.list
  アクセス許可名をフィルタークエリとして [プロパティ名または値を入力]フィールドにコピーし、フィルター結果で名前を選択することができます。 3 つのアクセス許可を追加するには、アクセス許可名の間にORを使用できます。
バケツページに移動し、 TiDB Cloudにアクセスさせたい GCS バケットの名前をクリックします。
バケットの詳細ページで、 [PERMISSIONS]タブをクリックし、 [GRANT ACCESS]をクリックします。
次の情報を入力してバケットへのアクセスを許可し、 [保存]をクリックします。
- [New Principals]フィールドに、ターゲット TiDB クラスタの Google Cloud サービスアカウント ID を貼り付けます。
- [ロールの選択]ドロップダウンリストで、作成したばかりのIAMロールの名前を入力し、フィルター結果から名前を選択します。
ノート：
TiDB Cloudへのアクセスを削除するには、付与したアクセスを削除するだけです。
バケットの詳細ページで、 [オブジェクト]タブをクリックします。
ファイルの gsutil URI をコピーする場合は、ファイルを選択し、 [オブジェクトオーバーフローメニューを開く]をクリックし、 [gsutil URI をコピー]をクリックします。
フォルダの gsutil URI を使用する場合は、フォルダを開き、フォルダ名に続く [コピー] ボタンをクリックしてフォルダ名をコピーします。その後、フォルダの正しい URI を取得するために、名前の先頭にgs:// 、末尾に/追加する必要があります。
たとえば、フォルダー名がtidb-cloud-source-dataの場合、URI としてgs://tidb-cloud-source-data/使用する必要があります。
TiDB Cloudコンソールで、Google Cloud サービスアカウント ID を取得するデータインポートページに移動し、GCS バケット gsutil URI をバケット gsutil URIフィールドに貼り付けます。たとえば、 gs://tidb-cloud-source-data/を貼り付けます。