:CreateSecret

Le nom du secret. Le nom doit être unique dans la même région. Le nom peut comporter jusqu'à 192 caractères et contenir des lettres, des chiffres, des traits de soulignement (_), des barres obliques (/), des signes plus (+), des signes égal (=), des points (.), des traits d'union (-) et des arobases (@). Les limites suivantes s'appliquent aux noms de secret pour les différents types de secrets :

• Si SecretType est défini sur Generic, Rds ou Redis, le nom ne peut pas commencer par acs/.

• Si SecretType est défini sur RAMCredentials, définissez ce paramètre sur la valeur fixe $Auto. Dans ce cas, KMS génère automatiquement un nom de secret qui commence par acs/ram/user/ et contient le nom d'affichage de l'utilisateur RAM.

• Si SecretType est défini sur ECS, le nom doit commencer par acs/ecs/.

Le numéro de version de la version initiale. Le numéro de version doit être unique au sein du secret. Le numéro de version peut comporter jusqu'à 64 caractères.

L'identifiant de la clé utilisée pour chiffrer la valeur du secret.

La valeur du secret. La valeur peut comporter jusqu'à 30 720 octets (30 Ko). KMS chiffre la valeur du secret avec la clé spécifiée et stocke la valeur chiffrée dans la version initiale.

• Si SecretType est défini sur Generic, vous pouvez spécifier une valeur de secret personnalisée.

• Si SecretType est défini sur Rds, la valeur du secret doit être au format suivant : {"Accounts":[{"AccountName":"","AccountPassword":""}]}. Dans ce format, AccountName spécifie le nom d'utilisateur du compte pour l'instance RDS et AccountPassword spécifie le mot de passe du compte.

• Si SecretType est défini sur Redis, définissez ce paramètre sur $Auto.

• Si SecretType est défini sur RAMCredentials, la valeur du secret doit être au format suivant : {"AccessKeys":[{"AccessKeyId":"","AccessKeySecret":""}]}. Dans ce format, AccessKeyId spécifie l'identifiant AccessKey et AccessKeySecret spécifie le secret AccessKey. Vous devez spécifier toutes les paires AccessKey de l'utilisateur RAM.

• Si SecretType est défini sur PolarDB, définissez ce paramètre sur $Auto.

• Si SecretType est défini sur ECS, la valeur du secret doit être dans l'un des formats suivants :

  • Si SecretSubType dans le paramètre ExtendedConfig est défini sur Password : {"UserName":"","Password": ""}. Dans ce format, UserName spécifie le nom d'utilisateur utilisé pour se connecter à l'instance ECS et Password spécifie le mot de passe utilisé pour se connecter à l'instance ECS.

  • Si SecretSubType dans le paramètre ExtendedConfig est défini sur SSHKey : {"UserName":"","PublicKey": "", "PrivateKey": ""}. Dans ce format, PublicKey spécifie la clé publique au format SSH utilisée pour se connecter à l'instance ECS et PrivateKey spécifie la clé privée utilisée pour se connecter à l'instance ECS.

Le type de la valeur du secret. Valeurs valides :

• text (par défaut) : La valeur du secret est une chaîne de texte.

• binary : La valeur du secret est une chaîne binaire.

La description du secret.

Les balises du secret. Chaque balise se compose d'une paire clé-valeur. Une balise se compose d'une clé de balise et d'une valeur de balise.

La clé de balise et la valeur de balise peuvent comporter jusqu'à 128 caractères et contenir des lettres, des chiffres, des barres obliques (/), des barres obliques inverses (\), des traits de soulignement (_), des traits d'union (-), des points (.), des signes plus (+), des signes égal (=), des deux-points (:) et des arobases (@).

• La clé de balise ne peut pas commencer par aliyun ou acs:.

• Vous pouvez spécifier jusqu'à 20 paires clé-valeur pour chaque secret.

Le type du secret. Valeurs valides :

• Generic (par défaut) : un secret générique.

• Rds : un secret RDS.

• Redis : un secret Redis.

• RAMCredentials : un secret RAM.

• ECS : un secret ECS.

• PolarDB : un secret PolarDB.

La configuration étendue du secret. Ce paramètre spécifie les propriétés du secret d'un type spécifique. La valeur peut comporter jusqu'à 1 024 caractères.

• Si SecretType est défini sur Generic, ce paramètre est ignoré.

• Si SecretType est défini sur Rds, vous devez spécifier les paramètres suivants dans ExtendedConfig :

  • SecretSubType (Obligatoire) : Le sous-type du secret. Valeurs valides :

    • SingleUser : Secrets Manager gère le secret RDS en mode compte unique. Lorsque le secret est permuté, le mot de passe du compte spécifié est réinitialisé avec un nouveau mot de passe aléatoire.

    • DoubleUsers : Secrets Manager gère le secret RDS en mode double compte. ACSCurrent et ACSPrevious pointent vers l'un des comptes. Lorsque le secret est permuté, le mot de passe du compte pointé par ACSPrevious est réinitialisé avec un nouveau mot de passe aléatoire. Ensuite, Secrets Manager intervertit les comptes vers lesquels pointent ACSCurrent et ACSPrevious.

  • DBInstanceId (Obligatoire) : L'identifiant de l'instance RDS à laquelle le compte appartient.

  • CustomData (Facultatif) : Les données personnalisées. La valeur est une paire clé-valeur au format JSON. Vous pouvez spécifier jusqu'à 10 paires clé-valeur. Séparez plusieurs paires clé-valeur par des virgules (,). Exemple : {"Key1": "v1", "fds":"fdsf"}. La valeur par défaut est {}.

• Si SecretType est défini sur Redis, vous devez spécifier les paramètres suivants dans ExtendedConfig :

  • SecretSubType (Obligatoire) : Le sous-type du secret. Valeurs valides :

    • DoubleUsers : Secrets Manager gère le secret Redis en mode double compte. ACSCurrent et ACSPrevious pointent vers l'un des comptes. Lorsque le secret est permuté, le mot de passe du compte pointé par ACSPrevious est réinitialisé avec un nouveau mot de passe aléatoire. Ensuite, Secrets Manager intervertit les comptes vers lesquels pointent ACSCurrent et ACSPrevious.

  • AccountName (Obligatoire) : Le nom d'utilisateur de la base de données.

  • CloneAccountName (Obligatoire) : Le nom d'utilisateur de la base de données, qui est la valeur de AccountName avec le suffixe _clone.

  • AccountPrivilege (Obligatoire) : Les autorisations d'accès à la base de données.

  • InstanceId (Obligatoire) : L'identifiant de l'instance Redis.

  • RegionId (Obligatoire) : L'identifiant de la région où réside l'instance Redis.

  • CustomData (Facultatif) : Les données personnalisées. La valeur est une paire clé-valeur au format JSON. Vous pouvez spécifier jusqu'à 10 paires clé-valeur. Séparez plusieurs paires clé-valeur par des virgules (,). Exemple : {"Key1": "v1", "fds":"fdsf"}. La valeur par défaut est {}.

• Si SecretType est défini sur RAMCredentials, vous devez spécifier les paramètres suivants dans ExtendedConfig :

  • SecretSubType (Obligatoire) : Le sous-type du secret. La valeur est RamUserAccessKey.

  • UserName (Obligatoire) : Le nom de l'utilisateur RAM.

  • CustomData (Facultatif) : Les données personnalisées. La valeur est une paire clé-valeur au format JSON. Vous pouvez spécifier jusqu'à 10 paires clé-valeur. Séparez plusieurs paires clé-valeur par des virgules (,). La valeur par défaut est {}.

• Si SecretType est défini sur ECS, vous devez spécifier les paramètres suivants dans ExtendedConfig :

  • SecretSubType (Obligatoire) : Le sous-type du secret. Valeurs valides :

    • Password : un mot de passe ECS.

    • SSHKey : une paire de clés SSH ECS.

  • RegionId (Obligatoire) : L'identifiant de la région où réside l'instance ECS.

  • InstanceId (Obligatoire) : L'identifiant de l'instance ECS.

  • CustomData (Facultatif) : Les données personnalisées. La valeur est une paire clé-valeur au format JSON. Vous pouvez spécifier jusqu'à 10 paires clé-valeur. Séparez plusieurs paires clé-valeur par des virgules (,). La valeur par défaut est {}.

• Si SecretType est défini sur PolarDB, vous devez spécifier les paramètres suivants dans ExtendedConfig :

  • SecretSubType (Obligatoire) : La valeur fixe est DoubleUsers.

  • RegionId (Obligatoire) : La région.

  • DBClusterId (Obligatoire) : L'identifiant de l'instance PolarDB.

  • DBType (Obligatoire) : MySQL ou PostgreSQL.

  • AccountName (Obligatoire) : Le nom du compte.

  • CloneAccountName : La valeur est AccountName_clone.

  • AccountType : Seul Normal est pris en charge.

  • AccountPrivilege : Ce paramètre n'est disponible que pour MySQL.

  • DBName : Ce paramètre n'est disponible que pour MySQL.

  • CustomData (Facultatif) : Les données personnalisées. La valeur est une paire clé-valeur au format JSON. Vous pouvez spécifier jusqu'à 10 paires clé-valeur. Séparez plusieurs paires clé-valeur par des virgules (,). Exemple : {"Key1": "v1", "fds":"fdsf"}. La valeur par défaut est {}.

Indique si la permutation automatique doit être activée. Valeurs valides :

• true : active la permutation automatique.

• false (par défaut) : désactive la permutation automatique.

L'intervalle de permutation automatique. La valeur est comprise entre 6 heures et 8 760 heures (365 jours).
La valeur est au format integer[unit]. integer indique l'intervalle. unit indique l'unité de temps.
Valeurs valides pour unit : d (jour), h (heure), m (minute) et s (seconde). Par exemple, 7d et 604 800s indiquent tous deux un intervalle de permutation de 7 jours.

L'identifiant de l'instance KMS.

Le contenu de la stratégie de secret. La valeur est au format JSON. La valeur peut comporter jusqu'à 32 768 octets.

Pour plus d'informations sur les stratégies de secret, consultez Présentation des stratégies de secret. Si vous ne spécifiez pas ce paramètre, la stratégie de secret par défaut est utilisée.

Une stratégie de secret contient les parties suivantes :

• Version : La version de la stratégie de secret. Seul 1 est pris en charge.

• Statement : Les instructions de la stratégie de secret. Chaque stratégie de secret peut contenir une ou plusieurs instructions.

Voici le format d'une stratégie de secret :

{
    "Version": "1",
    "Statement": [
        {
            "Sid": "Enable RAM User Permissions",
            "Effect": "Allow",
            "Principal": {
              "RAM": ["acs:ram::12345678****:*"]
            },
            "Action": [
                "kms:*"
            ],
            "Resource": [
                "*"
            ]
        }
    ]
}

Détails d'une instruction :

• Sid : (Facultatif) L'identifiant personnalisé de l'instruction. La valeur peut comporter jusqu'à 128 caractères et contenir des lettres majuscules (A-Z), des lettres minuscules (a-z), des chiffres (0-9) et des caractères spéciaux, notamment des traits de soulignement (_), des barres obliques (/), des signes plus (+), des signes égal (=), des points (.), des arobases (@) et des traits d'union (-).

• Effect : (Obligatoire) L'effet de l'instruction de stratégie. Valeurs valides : Allow et Deny.

• Principal : (Obligatoire) Le principal autorisé par la stratégie. Vous pouvez spécifier le compte Alibaba Cloud actuel (le compte auquel le secret appartient), un utilisateur ou un rôle RAM du compte Alibaba Cloud actuel, ou un utilisateur ou un rôle RAM d'un autre compte Alibaba Cloud.

• Action : (Obligatoire) Les opérations d'API autorisées ou refusées. La valeur doit commencer par "kms:". Pour la liste des opérations prises en charge, consultez Présentation des stratégies de secret. Si vous spécifiez une opération qui ne figure pas dans la liste, le paramètre ne prend pas effet.

• Resource : (Obligatoire) La ressource. La valeur ne peut être que *, ce qui indique le secret KMS actuel.

• Condition : (Facultatif) Les conditions pour que l'autorisation prenne effet. Vous pouvez utiliser des conditions pour évaluer le contexte d'une requête d'API afin de déterminer s'il faut appliquer l'instruction de stratégie. Le format est "Condition": {"condition operator": {"condition key": "condition value"}}. Pour plus d'informations, consultez Présentation des stratégies de secret.