Guide d'intégration KMS, passerelle partagée, passerelle dédiée, SDK, KMS Agent, accès application - Key Management Service

Aperçu de l'intégration KMS

L'intégration avec KMS nécessite de prendre des décisions dans quatre domaines :

Type de passerelle : passerelle partagée (Internet/VPC) ou passerelle dédiée (réseau privé)
Méthode d'authentification : authentification RAM ou authentification par point d'accès application (AAP) (non recommandée)
Méthode d'intégration : SDK (Alibaba Cloud SDK, secret SDK ou instance SDK) ou KMS Agent
Type d'API : opérations d'API de gestion, opérations cryptographiques et opérations de récupération de secrets

Architecture d'intégration KMS :

Guide de décision

Suivez ces étapes pour déterminer votre passerelle, votre authentification et vos méthodes d'intégration :

Étape 1 : Déterminer les exigences d'isolation réseau

Charges de travail déployées dans des VPC Alibaba Cloud avec des exigences de haute performance ou de haute sécurité → Passerelle dédiée (réseau privé, chiffrement des données de bout en bout)
Charges de travail déployées dans des environnements non Alibaba Cloud ou nécessitant des opérations de gestion → Passerelle partagée (Internet/VPC)

Étape 2 : Déterminer les exigences de capacité API

Opérations de gestion requises (création de clés, de secrets, etc.) → Passerelle partagée + Alibaba Cloud SDK (obligatoire, car les opérations de gestion ne sont prises en charge que par cette combinaison)
Seules les opérations cryptographiques ou la récupération de secrets sont requises → Secret SDK ou Alibaba Cloud SDK (selon le type de passerelle)
Applications multi-langages nécessitant une intégration simplifiée → KMS Agent (prend uniquement en charge la récupération de secrets)

Types de passerelles

KMS propose des passerelles partagées et des passerelles dédiées.

Les passerelles partagées utilisent le réseau global KMS pour un accès via Internet ou VPC. Elles prennent en charge les opérations d'API de gestion et les opérations d'API métier.
Les passerelles dédiées utilisent le réseau privé d'une instance KMS spécifique pour un accès via des réseaux privés uniquement. Elles ne prennent en charge que les opérations d'API métier et offrent une sécurité API de bout en bout avec un niveau de sécurité des données plus élevé.

Fonctionnalité	Passerelle partagée	Passerelle dédiée
Scénario recommandé	Vous devez gérer des instances KMS, des clés ou des secrets (créer, modifier ou supprimer). Les charges de travail sont déployées en dehors des VPC Alibaba Cloud. Vous accédez à KMS depuis un environnement de non-production, tel qu'un environnement de test interne.	Les charges de travail sont déployées sur des VPC Alibaba Cloud. Les opérations métier (chiffrement, déchiffrement, récupération de secrets) exigent des performances élevées. Les exigences en matière de sécurité des données sont élevées.
Endpoint	Internet ou VPC	Endpoint privé KMS
Performance	Soumis aux limites QPS. Par exemple, le chiffrement/déchiffrement via la passerelle partagée prend en charge 1 000 QPS.	Déterminé par l'instance KMS que vous achetez (par exemple, 1 000 ou 2 000 QPS). Consultez la description du paramètre Content.
Méthode d'intégration prise en charge	Alibaba Cloud SDK, secret SDK et KMS Agent	Alibaba Cloud SDK, secret SDK, KMS Agent et KMS Instance SDK
Opération d'API prise en charge	Toutes les opérations OpenAPI	OpenAPI : opérations cryptographiques et récupération de secrets. Instance API (non recommandée)
Authentification	Authentification RAM et authentification AAP (non recommandée)	Authentification RAM et authentification AAP (non recommandée)
Certificat CA	Non requis	Requis

Méthodes d'intégration

KMS prend en charge l'intégration basée sur SDK et KMS Agent. Ils diffèrent par les opérations d'API prises en charge et les scénarios d'utilisation.

SDK contre KMS Agent

Dimension	SDK (Alibaba Cloud/secret/instance)	KMS Agent	Choix recommandé
Opérations d'API prises en charge	Gestion, cryptographie et récupération de secrets	Récupération de secrets uniquement	Opérations de gestion requises : SDK Récupération de secrets uniquement : L'un ou l'autre
Prise en charge des langages	Java, Python, Go, C++, PHP, .NET, TypeScript, Swift	Tout langage de programmation (interface HTTP)	Langage croisé ou langage de niche : Agent
Déploiement réseau	Connexion directe à la passerelle. Prend en charge Internet, VPC et réseau privé	Accès par l'application locale. Communication HTTP locale	Microservices multi-langages : Agent Connexion directe critique pour les performances : SDK
Complexité d'intégration	SDK spécifique au langage avec logique de signature intégrée	Authentification simplifiée, interface HTTP standard, secrets gérés par proxy	Intégration rapide : Agent Contrôle total : SDK

Processus d'intégration

Intégration SDK

Les SDK KMS gèrent le processus de signature en interne — vous fournissez les paramètres et les informations d'authentification. SDK disponibles : Alibaba Cloud SDK, secret SDK et KMS Instance SDK (non recommandé).

Sélectionnez un SDK en fonction de votre passerelle, de votre authentification et de votre type d'API, puis suivez ce processus d'intégration. La référence SDK fournit une configuration détaillée.

Processus d'intégration SDK

Processus d'intégration standard :

Notes d'utilisation

Prend en charge toutes les opérations sur les clés et les secrets (gestion et métier). Les opérations de gestion nécessitent une intégration SDK.
Installez le SDK correspondant à votre langage de programmation.

Détail des types de SDK

Les trois types de SDK diffèrent par les opérations prises en charge, les passerelles, l'authentification et les langages :

Type de SDK	Opération d'API prise en charge	Passerelle et méthode d'authentification	Langage de programmation pris en charge
Secret SDK	OpenAPI : Récupération de secrets : GetSecretValue Instance API (non recommandée) : GetSecretValue	Passerelle partagée : Authentification RAM + OpenAPI Authentification AAP + OpenAPI (non recommandée) Authentification AAP + Instance API (non recommandée) Passerelle dédiée : Authentification RAM + OpenAPI Authentification AAP + Instance API (non recommandée)	Java (Java 8 et versions ultérieures) Python Go
Alibaba Cloud SDK	OpenAPI : Opérations de gestion Opérations métier - Opérations cryptographiques Opérations métier - Récupération des valeurs de secret	Passerelle partagée : Authentification RAM + OpenAPI Passerelle dédiée : Authentification RAM + OpenAPI	Java Python Go C++ PHP .NET (C#) TypeScript Swift
KMS Instance SDK (non recommandé)	Instance API : Opérations liées aux clés, Opérations liées aux secrets et GenerateRandom	Passerelle partagée : non prise en charge Passerelle dédiée : Authentification AAP + Instance API	Java (Java 8 et versions ultérieures) Python Go PHP .NET (C# uniquement)

Intégration KMS Agent

KMS Agent simplifie l'authentification et la gestion du cache pour les applications accédant à KMS via des interfaces HTTP standard. Pour plus d'informations, consultez KMS agent.

Notes d'utilisation

Prend en charge tout langage de programmation.
Prend uniquement en charge l'accès par l'application locale.
Prend uniquement en charge la récupération de secrets. Les opérations de gestion (créer, modifier, supprimer) ne sont pas prises en charge.

Processus d'intégration KMS Agent

Notes de développement

Opération d'API prise en charge

Type de passerelle

Méthode d'authentification

Langage de programmation pris en charge

OpenAPI :

Récupération de secrets : GetSecretValue

Passerelle partagée et passerelle dédiée

Authentification RAM

Tout langage de programmation (via des interfaces HTTP standard)

Types d'API KMS

KMS propose deux types d'API : OpenAPI et KMS Instance API (non recommandée). Par fonction, elles couvrent les opérations de gestion, les opérations cryptographiques et la récupération de secrets. Aperçu d'OpenAPI. KMS Instance API.

Comparaison des types d'API

Types d'API et leurs méthodes d'intégration prises en charge :

Type d'API

Alibaba Cloud SDK

Secret SDK

KMS Instance SDK

KMS Agent

Opérations de gestion Créer, modifier ou supprimer des clés et des secrets

Pris en charge

Non pris en charge

Opérations cryptographiques Chiffrement, déchiffrement, signatures numériques, etc.

Pris en charge

Non pris en charge

Pris en charge

Non pris en charge

Récupération de valeur de secret Récupérer les valeurs de secret

Pris en charge

Opérations d'API de gestion

Les opérations de gestion concernent les instances KMS, les clés et les secrets, y compris la création, la suppression et la modification des tags.

Seul l'Alibaba Cloud SDK peut appeler les opérations de gestion, via un endpoint de passerelle partagée.

Opérations cryptographiques

Les opérations cryptographiques incluent le chiffrement/déchiffrement symétrique et asymétrique, le chiffrement sous enveloppe, la génération de clés de données, la signature et la vérification de signature.

Utilisez l'Alibaba Cloud SDK ou le KMS Instance SDK pour les opérations cryptographiques.

Important

Pour appeler les opérations cryptographiques via une passerelle partagée, vous devez activer l'accès Internet. Pour plus d'informations, consultez Clés d'accès dans une instance KMS via le réseau public.

Opérations de récupération de secrets

Vous pouvez utiliser le secret SDK, l'Alibaba Cloud SDK, le KMS Instance SDK ou KMS Agent pour appeler GetSecretValue d'OpenAPI ou GetSecretValue de KMS Instance API (non recommandé) via une passerelle partagée ou dédiée afin de récupérer les valeurs de secret KMS.

Authentification

KMS prend en charge l'authentification RAM et l'authentification AAP (non recommandée). Pour plus d'informations, consultez Gérer les identifiants d'accès RAM et Contrôle d'accès (anciennement AAP).

Fonctionnalité	Authentification RAM	Authentification AAP (non recommandée)
Description	Prend en charge des politiques d'autorisation flexibles personnalisées. Prend en charge les rôles RAM, les jetons STS, les rôles ECS RAM et les paires AccessKey. Aucun certificat CA requis.	Prend en charge des politiques d'autorisation flexibles personnalisées. Nécessite le téléchargement d'un fichier de clé client contenant l'identifiant d'identité (ClientKeyContent) et le mot de passe (ClientKeyPassword). Les certificats CA peuvent être configurés pour l'authentification TLS mutuelle.
Méthode d'intégration prise en charge	Alibaba Cloud SDK, secret SDK et KMS Agent	Secret SDK et KMS Instance SDK
Opération d'API prise en charge	Toutes les opérations OpenAPI	OpenAPI : récupération de secrets. Opérations d'Instance API
Passerelle prise en charge	Passerelle dédiée et passerelle partagée	Passerelle dédiée et passerelle partagée Remarque L'authentification AAP prend en charge les configurations de passerelle dédiée et partagée, décrites dans Authentification AAP.