KMS se integra con Alibaba Cloud Resource Access Management (RAM) mediante políticas del sistema predefinidas. Asigne estas políticas a usuarios de RAM, grupos de usuarios de RAM o roles de RAM para otorgar acceso a los recursos de KMS, sin necesidad de redactar permisos desde cero.
Las políticas del sistema están diseñadas para que los nuevos usuarios comiencen rápidamente a utilizar los productos de Alibaba Cloud en la consola de administración. También permiten usar métodos más avanzados, como operaciones de API o comandos de CLI. Si ya conoce estos métodos avanzados, le recomendamos utilizar políticas personalizadas para implementar un control más detallado sobre quién tiene autorización para invocar cada operación de API y así mejorar la seguridad.
Las políticas del sistema para KMS se dividen en tres categorías:
Políticas del sistema de servicio: se asignan a identidades de RAM para otorgar acceso a la consola o a la API.
Políticas de rol de servicio: exclusivas para los roles de servicio de KMS; no las asigne a otras identidades de RAM.
Políticas de rol vinculado al servicio: KMS las utiliza automáticamente para acceder a otros servicios en la nube; no las asigne a otras identidades de RAM.
Políticas del sistema de servicio
AliyunKMSSecretUserAccess
La política AliyunKMSSecretUserAccess otorga acceso para recuperar los secretos almacenados en KMS. Se puede asignar a identidades de RAM.
AliyunKMSSecretAdminAccess
La política AliyunKMSSecretAdminAccess otorga acceso administrativo a los secretos de KMS desde Management Console. Se puede asignar a identidades de RAM.
AliyunKMSReadOnlyAccess
La política AliyunKMSReadOnlyAccess otorga acceso de solo lectura a Key Management Service desde Management Console. Se puede asignar a identidades de RAM.
AliyunKMSFullAccess
La política AliyunKMSFullAccess otorga acceso total a Key Management Service desde Management Console. Se puede asignar a identidades de RAM.
AliyunKMSCryptoUserAccess
La política AliyunKMSCryptoUserAccess otorga acceso a las API criptográficas de KMS. Se puede asignar a identidades de RAM.
AliyunKMSCryptoAdminAccess
La política AliyunKMSCryptoAdminAccess otorga acceso administrativo a las claves criptográficas de KMS desde Management Console. Se puede asignar a identidades de RAM.
Estas seis políticas cubren los patrones de acceso más comunes. Asígnelas a usuarios de RAM, grupos de usuarios de RAM o roles de RAM.
|
Política |
Acceso que otorga |
|
Acceso total a Key Management Service desde Alibaba Cloud Management Console |
|
|
Acceso de solo lectura a Key Management Service desde Alibaba Cloud Management Console |
|
|
Acceso administrativo a las claves criptográficas de KMS desde Alibaba Cloud Management Console |
|
|
Acceso a las API criptográficas de KMS |
|
|
Acceso administrativo a los secretos de KMS desde Alibaba Cloud Management Console |
|
|
Acceso para recuperar los secretos almacenados en KMS |
Cómo elegir la política adecuada
Otorgue AliyunKMSFullAccess únicamente a los administradores de KMS.
Para cargas de trabajo de aplicaciones que cifran o descifran datos, utilice AliyunKMSCryptoUserAccess.
Si sus aplicaciones recuperan secretos durante la ejecución, aplique AliyunKMSSecretUserAccess.
Separe la administración de claves de las operaciones criptográficas. Para ello, asigne AliyunKMSCryptoAdminAccess a los administradores de claves y AliyunKMSCryptoUserAccess a las identidades de las aplicaciones.
Alibaba Cloud actualiza las políticas del sistema conforme KMS incorpora nuevas funciones. Cuando se actualiza una política, el cambio surte efecto en todas las identidades de RAM a las que está asignada. Para evitar cambios inesperados de permisos en producción, utilice políticas personalizadas en lugar de políticas del sistema en las cargas de trabajo sensibles.
Políticas de rol de servicio
AliyunKMSManageRAMCredentialsRolePolicy
Esta es la política de autorización del rol de servicio AliyunKMSManageRAMCredentialsRole. De forma predeterminada, KMS utiliza este rol para gestionar las credenciales de RAM en su nombre.
AliyunKMSManageRAMCredentialsRolePolicy
No asigne esta política a usuarios de RAM, grupos de usuarios de RAM ni roles de RAM. Si un servicio ofrece capacidades de autorización precisas, consulte la documentación correspondiente.
Políticas de rol vinculado al servicio
Cada rol vinculado al servicio cuenta con una política dedicada que otorga a KMS los permisos mínimos necesarios para acceder al servicio en la nube de destino. KMS define y gestiona estas políticas, por lo que no es posible modificarlas ni eliminarlas. Tampoco debe asignarlas a otras identidades de RAM.
|
Política |
Rol vinculado al servicio asociado |
Propósito |
|
AliyunServiceRoleForCustomKeyStore |
Permite que KMS acceda a los recursos de otros servicios en la nube para realizar operaciones de almacén de claves personalizado |
|
|
AliyunServiceRoleForKMSKeyStore |
Permite que KMS acceda a los recursos de otros servicios en la nube para realizar operaciones de almacén de claves |
|
|
AliyunServiceRoleForKMSSecretsManagerForECS |
Permite que KMS Secrets Manager gestione las credenciales de ECS |
|
|
AliyunServiceRoleForKMSSecretsManagerForPolarDB |
Permite que KMS Secrets Manager gestione las credenciales de PolarDB |
|
|
AliyunServiceRoleForKMSSecretsManagerForRDS |
Permite que KMS Secrets Manager gestione las credenciales de ApsaraDB RDS |
|
|
AliyunServiceRoleForKMSSecretsManagerForRedis |
Permite que KMS Secrets Manager gestione las credenciales de ApsaraDB for Redis |
Pasos siguientes
De forma predeterminada, las identidades de RAM no tienen ningún permiso. Un administrador de la cuenta debe otorgar permisos antes de que una identidad de RAM pueda acceder a los recursos de KMS. Aplique el principio de privilegio mínimo y conceda únicamente los permisos que cada identidad realmente necesita.