Además de una consola web, Key Management Service (KMS) ofrece varios métodos de integración programática. Entre ellos se incluyen la depuración en línea de OpenAPI, Alibaba Cloud SDK y Terraform. Estos recursos le ayudan a desarrollar y desplegar sus aplicaciones con mayor eficiencia.
Proceso de integración
Descripción de versiones
Puede depurar en línea la lista de API correspondiente a la versión 2016-01-20. La cadena 2016-01-20 representa el número de versión de la API, no una fecha. Los datos que se muestran corresponden a la información pública más reciente de las API, las cuales han recibido actualizaciones continuas desde la versión 2016-01-20. Para consultar la versión de la API, consulte View API versions.
Versión | Descripción |
Recomendada |
Depuración en línea
Para que los desarrolladores aprendan y utilicen Alibaba Cloud OpenAPI de forma rápida y eficiente, Alibaba Cloud proporciona el portal de OpenAPI. Este portal integra búsqueda inteligente de OpenAPI, documentación, depuración en línea, descargas de SDK, ejemplos de código, diagnóstico de errores y estadísticas de llamadas. Desde el portal de OpenAPI puede invocar las OpenAPI de los servicios de Alibaba Cloud y consultar los resultados de solicitud y respuesta. Además, genera automáticamente ejemplos de código del SDK para facilitar el uso de los servicios de Alibaba Cloud. Para obtener más información, consulte What is OpenAPI?.
KMS es compatible con la depuración de API en el portal de OpenAPI de Alibaba Cloud. Antes de empezar, familiarícese con la versión de la API, los endpoints y los parámetros de la API. Cuando inicia sesión en el portal de OpenAPI con su cuenta de Alibaba Cloud, el portal utiliza su cuenta de forma predeterminada para la depuración en línea de OpenAPI.
La entrada para la depuración de la API es: https://next.api.alibabacloud.com/api/Kms/2016-01-20
Una vez que inicia sesión en el portal de OpenAPI, el panel izquierdo muestra la lista de API de KMS (por ejemplo, DescribeRegions). El área central sirve para establecer los parámetros de entrada de la API y hacer clic en Send Request. El panel derecho presenta información como Documentation, Debugging Result, SDK Sample Code y CLI Sample Code, además de las definiciones de los parámetros de respuesta.
Endpoints
KMS admite dos tipos de puertas de enlace: compartidas y dedicadas. Las puertas de enlace compartidas sirven tanto para operaciones del plano de control como del plano de datos, mientras que las dedicadas se usan únicamente para operaciones del plano de datos. Es posible acceder a las puertas de enlace compartidas por internet o mediante una VPC; en cambio, a las dedicadas se accede a través de la red privada de KMS. Cada tipo utiliza endpoints distintos. Para conocer las diferencias entre ambos, consulte Alibaba Cloud SDK.
Endpoint de puerta de enlace compartida (también conocido como endpoint de servicio de KMS)
Para invocar operaciones criptográficas del plano de datos a través de una puerta de enlace compartida, primero debe habilitar el acceso a la red pública. Para obtener más información, consulte Access keys in a KMS instance over the public network.
Seleccione el endpoint de servicio según la región donde residen sus recursos para minimizar la latencia. Por ejemplo, en la región China (Hangzhou), el endpoint público de KMS es kms.cn-hangzhou.aliyuncs.com, y el endpoint de VPC es kms-vpc.cn-hangzhou.aliyuncs.com. Para consultar la lista completa de endpoints, consulte Endpoints.
Los endpoints públicos permiten el acceso desde cualquier parte del mundo.
-
El acceso a los endpoints de VPC solo está disponible desde la región correspondiente de Alibaba Cloud y exclusivamente a través de una red VPC. Ventajas de los endpoints de VPC:
Mayor seguridad: los endpoints de servicio de VPC solo son accesibles desde dentro de una VPC, lo que mejora la seguridad y la privacidad.
Respuesta más rápida: dado que los endpoints de servicio de VPC operan sobre la red interna de la VPC, suelen ofrecer tiempos de respuesta menores y evitan problemas de la red pública, como latencia y límites de ancho de banda.
Menor costo: los endpoints de servicio de VPC utilizan comunicación por red interna.
Endpoint de puerta de enlace dedicada (también conocido como endpoint de instancia de KMS)
El acceso a la puerta de enlace dedicada se realiza a través de la red privada de KMS. El formato del endpoint de puerta de enlace dedicada es <YOUR_KMS_INSTANCE_ID>.cryptoservice.kms.aliyuncs.com; por ejemplo, kst-hzz65f176a0ogplgq****.cryptoservice.kms.aliyuncs.com.
Sustituya
<YOUR_KMS_INSTANCE_ID>por el identificador de la instancia de KMS que utiliza realmente.Cuando invoque operaciones del plano de datos a través de una puerta de enlace dedicada, debe agregar la configuración del certificado de CA de la instancia durante la inicialización del cliente. Para obtener más información, consulte Initialize the client.
Métodos de autenticación
Los métodos de autenticación son los mismos cuando utiliza un Alibaba Cloud SDK para acceder a OpenAPI, ya sea mediante una puerta de enlace compartida o una dedicada. KMS admite métodos de autenticación de identidad basados en RAM, como AccessKey, STS token, RamRoleArn y el rol de RAM de instancia de ECS. Para obtener más información, consulte Manage credentials y Identity, credentials, and authorization. Si necesita configurar políticas de acceso, consulte Use RAM to implement access control.
AccessKey
De forma predeterminada, una cuenta de Alibaba Cloud tiene permisos de administrador sobre todos los recursos, y esto no se puede modificar. Para garantizar la seguridad de los recursos, se recomienda utilizar un usuario de RAM para crear un par de AccessKey y otorgarle únicamente los permisos necesarios.
Inicie sesión en la consola de RAM. En la página Users, haga clic en el nombre del usuario de RAM de destino.
En la pestaña Secret Management, dentro de la sección AccessKey, haga clic en Create AccessKey.
-
Otorgue al usuario de RAM permisos para acceder a KMS.
-
Método 1: configurar una política basada en identidad
En la columna Actions del usuario de RAM, haga clic en Grant Permission para adjuntar una política de permisos del sistema integrada de KMS al usuario de RAM. Para obtener más información sobre las políticas de permisos del sistema de KMS, consulte System policies for KMS.
NotaTambién puede crear políticas de permisos personalizadas. Para obtener más información, consulte Create a custom policy.
-
Método 2: configurar una política basada en recursos
KMS admite políticas basadas en recursos que otorgan permisos de acceso a claves y secretos individuales. Estas políticas le permiten controlar qué cuentas de Alibaba Cloud, usuarios de RAM y roles de RAM pueden gestionar o usar las claves y los secretos de KMS. Para obtener más información, consulte Key policies y Secret policies.
-
Rol de RAM de ECS
Un rol de RAM de instancia de ECS permite obtener una credencial de acceso temporal (STS token) desde dentro de una instancia de ECS para invocar operaciones de la API de KMS, sin necesidad de configurar un par de AccessKey.
Para obtener más información, consulte Instance RAM roles.
-
Inicie sesión en la consola de RAM y cree un rol de RAM para un servicio de confianza de Alibaba Cloud.
Tipo de entidad de confianza: seleccione Elastic Compute Service.
Entidad de confianza: seleccione Elastic Compute Service (ECS).
-
Otorgue al rol de RAM permisos para acceder a KMS.
-
Método 1: configurar una política basada en identidad
En la columna Actions del rol de RAM, haga clic en Grant Permission para adjuntar una política de permisos del sistema integrada de KMS al rol de RAM. Para obtener más información sobre las políticas de permisos del sistema de KMS, consulte System policies for KMS.
NotaTambién puede crear políticas de permisos personalizadas. Para obtener más información, consulte Create a custom policy.
-
Método 2: configurar una política basada en recursos
KMS admite políticas basadas en recursos que otorgan permisos de acceso a claves y secretos individuales. Estas políticas le permiten controlar qué cuentas de Alibaba Cloud, usuarios de RAM y roles de RAM pueden gestionar o usar las claves y los secretos de KMS. Para obtener más información, consulte Key policies y Secret policies.
-
Inicie sesión en la consola de ECS y adjunte el rol de RAM a una instancia de ECS.
STS Token
Security Token Service (STS) emite una credencial de acceso temporal, conocida como STS token, a un usuario o rol de RAM. Este token permite acceder a KMS con permisos específicos durante un periodo de validez limitado. Una vez que expira, queda invalidado automáticamente.
Inicie sesión en la consola de RAM para crear un usuario o un rol de RAM. Para obtener más información, consulte Create a RAM user y Create a RAM role.
Otorgue el permiso
AliyunSTSAssumeRoleAccessal usuario o rol de RAM. Para obtener más información, consulte Manage RAM user permissions y Grant permissions to a RAM role.-
Otorgue al usuario o rol de RAM permisos para acceder a KMS.
-
Método 1: configurar una política basada en identidad
En la columna Actions del rol o usuario de RAM, haga clic en Grant Permission para adjuntar una política de permisos del sistema integrada de KMS. Para obtener más información sobre las políticas de permisos del sistema de KMS, consulte System policies for KMS.
NotaTambién puede crear políticas de permisos personalizadas. Para obtener más información, consulte Create a custom policy.
-
Método 2: configurar una política basada en recursos
KMS admite políticas basadas en recursos que otorgan permisos de acceso a claves y secretos individuales. Estas políticas le permiten controlar qué cuentas de Alibaba Cloud, usuarios de RAM y roles de RAM pueden gestionar o usar las claves y los secretos de KMS. Para obtener más información, consulte Key policies y Secret policies.
-
Utilice el usuario o rol de RAM para invocar la operación AssumeRole de STS y obtener una credencial de acceso temporal de STS. Para obtener más información, consulte AssumeRole.
RamRoleArn
Los usuarios de RAM o los servicios en la nube pueden asumir un rol para obtener permisos temporales (STS token) en lugar de usar claves de largo plazo, lo que reduce el riesgo de filtración de claves. Por ejemplo, en una tarea temporal de procesamiento de datos, un usuario de RAM o un servicio en la nube asume temporalmente un rol con un RamRoleArn específico. Al finalizar la tarea, se revocan los permisos del rol y se minimiza el riesgo de exposición.
-
Cree un par de AccessKey de usuario
Inicie sesión en la consola de RAM. En el panel de navegación izquierdo, elija . En la página Users, haga clic en el nombre del usuario de RAM de destino.
Adjunte al usuario de RAM la política del sistema
AliyunSTSAssumeRoleAccesso una política personalizada que incluya la acciónsts:AssumeRole.En la pestaña Secret Management, dentro de la sección AccessKey, haga clic en Create AccessKey.
-
Cree y autorice un rol de RAM:
En el panel de navegación izquierdo, elija . En la página Roles, haga clic en Create Role. Para obtener más información, consulte Create a RAM role.
-
Otorgue al rol de RAM permisos para acceder a KMS.
-
Método 1: configurar una política basada en identidad
En la columna Actions del rol de RAM, haga clic en Grant Permission para adjuntar una política de permisos del sistema integrada de KMS al rol de RAM. Para obtener más información sobre las políticas de permisos del sistema de KMS, consulte System policies for KMS.
NotaTambién puede crear políticas de permisos personalizadas. Para obtener más información, consulte Create a custom policy.
-
Método 2: configurar una política basada en recursos
KMS admite políticas basadas en recursos que otorgan permisos de acceso a claves y secretos individuales. Estas políticas le permiten controlar qué cuentas de Alibaba Cloud, usuarios de RAM y roles de RAM pueden gestionar o usar las claves y los secretos de KMS. Para obtener más información, consulte Key policies y Secret policies.
-
-
Obtenga el RamRoleArn del rol de RAM de destino. Para obtener más información, consulte View the information about a RAM role.
En el panel de navegación izquierdo, elija . En la página Roles, haga clic en el nombre del rol de destino.
-
En la página de detalles del rol, busque el RamRoleArn en la sección ARN.
NotaEl RamRoleArn es el Alibaba Cloud Resource Name (ARN) del rol de RAM que se va a asumir. Su formato es
acs:ram::$accountID:role/$roleName, donde$accountIDes el identificador de la cuenta de Alibaba Cloud y$roleNamees el nombre del rol de RAM.
Métodos de integración
El SDK es la forma más sencilla y con mejor soporte para invocar OpenAPI. Se recomienda utilizarlo.
Alibaba Cloud SDK
Alibaba Cloud proporciona SDK para varios lenguajes de programación (Java, C#, Go, Python, Node.js/TypeScript, PHP, C++, entre otros). Estos SDK encapsulan la lógica de firma, el mecanismo de tiempo de espera y el mecanismo de reintentos. Además, proporcionan objetos de solicitud y respuesta para las llamadas a la API, lo que simplifica el desarrollo. Para obtener más información sobre Alibaba Cloud SDK, consulte Alibaba Cloud SDK.
Alibaba Cloud CLI
Alibaba Cloud CLI (Alibaba Cloud Command Line Interface) es una herramienta de línea de comandos unificada construida sobre Alibaba Cloud OpenAPI. Con ella puede interactuar con los servicios de Alibaba Cloud y gestionar sus recursos desde un shell. Basta con introducir comandos para ejecutar operaciones, sin depender de una interfaz gráfica de usuario (GUI). Para obtener más información, consulte What is Alibaba Cloud CLI. Si desea saber cómo obtener y usar los comandos de Alibaba Cloud CLI, consulte Get started with Alibaba Cloud CLI.
Terraform
Terraform es una herramienta de código abierto que permite previsualizar, aprovisionar y gestionar infraestructura y recursos en la nube de forma segura y eficiente. Invoca OpenAPI después de convertir las plantillas en una estructura de datos interna y es compatible con varios proveedores de nube importantes. Terraform calcula automáticamente las diferencias entre recursos y genera un plan de ejecución. Así, usted puede previsualizar el impacto de los cambios antes de aplicarlos, lo que ayuda a evitar daños accidentales en los recursos o interrupciones del servicio. Para obtener más información, consulte What is Alibaba Cloud Terraform?. Si desea orquestar rápidamente Key Management Service con Terraform, consulte Overview.
Cuando utiliza Terraform para orquestar y usar Key Management Service, solo se admite un subconjunto de las operaciones de la API de KMS.
Encapsulación personalizada de llamadas a la API
Las llamadas HTTP nativas requieren que implemente el algoritmo de firma por su cuenta, construya solicitudes personalizadas según los parámetros de la API e inicie las llamadas HTTP. Para obtener información sobre el algoritmo de firma, consulte Signature mechanism. Además de los parámetros de negocio obligatorios, debe concatenar los parámetros de solicitud comunes. Para obtener más información, consulte Common parameters. Si necesita un ejemplo de llamada personalizada a la API, consulte Request syntax and signature method V3.
Notas de uso
KMS solo acepta solicitudes a través de HTTPS. Son compatibles TLS 1.0, 1.1 y 1.2. No se admiten SSL v2 ni SSL v3.
-
El máximo de consultas por segundo (QPS) de una sola cuenta de Alibaba Cloud varía según la API. Consulte el límite de QPS en la documentación de cada API para conocer el valor exacto. Para obtener más información, consulte Throttling and quota management.
NotaTodos los usuarios de RAM asociados a una misma cuenta de Alibaba Cloud comparten la cuota de QPS de dicha cuenta.
Si una llamada a la API devuelve un error, compruebe si los parámetros de solicitud y sus valores son correctos a partir del código de error devuelto. Para obtener más información, consulte Common error codes.
Registre el RequestID que devuelve la llamada a la API o el mensaje de error del SDK. Luego, utilice Alibaba Cloud OpenAPI Diagnostics para ejecutar diagnósticos de autoservicio.