Outre la console web, Key Management Service (KMS) propose plusieurs méthodes d'intégration programmatique, notamment le débogage en ligne via OpenAPI, le SDK Alibaba Cloud et Terraform. Ces outils vous aident à développer et déployer vos applications plus efficacement.
Processus d'intégration
Description des versions
Vous pouvez déboguer en ligne la liste des API pour la version 2016-01-20. La chaîne 2016-01-20 représente le numéro de version de l'API et non une date. Les données affichées correspondent aux dernières informations publiques disponibles sur les API, qui ont continué d'évoluer depuis le 2016-01-20. Pour savoir comment consulter la version de l'API, consultez la rubrique Afficher les versions des API.
Version | Description |
Recommandée |
Débogage en ligne
Pour aider les développeurs à apprendre et utiliser rapidement les OpenAPI Alibaba Cloud, Alibaba Cloud met à disposition le portail OpenAPI. Ce portail intègre une recherche intelligente d'OpenAPI, la documentation, le débogage en ligne, le téléchargement du SDK, des exemples de code, le diagnostic des erreurs et des statistiques d'appels. Utilisez le portail OpenAPI pour appeler les OpenAPI des services Alibaba Cloud et visualiser les résultats des requêtes et des réponses. Le portail génère également automatiquement des exemples de code SDK pour faciliter la prise en main des services Alibaba Cloud. Pour plus d'informations, consultez la rubrique Qu'est-ce qu'OpenAPI ?.
KMS prend en charge le débogage des API via le portail OpenAPI d'Alibaba Cloud. Avant de commencer, familiarisez-vous avec la version de l'API, les endpoints et les paramètres de l'API. Une fois connecté au portail OpenAPI avec votre compte Alibaba Cloud, celui-ci utilise par défaut votre compte pour le débogage en ligne des OpenAPI.
Le point d'entrée pour le débogage des API est le suivant : https://next.api.alibabacloud.com/api/Kms/2016-01-20
Une fois connecté au portail OpenAPI, le volet de gauche affiche la liste des API KMS (par exemple, DescribeRegions). La zone centrale permet de définir les paramètres d'entrée de l'API et de cliquer sur Send Request. Le volet de droite présente des informations telles que Documentation, Debugging Result, SDK Sample Code et CLI Sample Code, ainsi que les définitions des paramètres de réponse.
Endpoints
KMS prend en charge deux types de passerelles : les passerelles partagées et les passerelles dédiées. Utilisez les passerelles partagées pour les opérations du plan de contrôle et du plan de données, tandis que les passerelles dédiées sont réservées aux opérations du plan de données. L'accès aux passerelles partagées s'effectue via Internet ou un VPC, alors que les passerelles dédiées sont accessibles via le réseau privé KMS. Ces deux types de passerelles utilisent des endpoints différents. Pour plus d'informations sur les différences entre ces deux types de passerelles, consultez la rubrique Alibaba Cloud SDK.
Endpoint de passerelle partagée (également appelé endpoint de service KMS)
Pour appeler les opérations cryptographiques du plan de données via une passerelle partagée, vous devez d'abord activer l'accès au réseau public. Pour plus d'informations, consultez la rubrique Clés d'accès dans une instance KMS via le réseau public.
Sélectionnez l'endpoint de service en fonction de la région où résident vos ressources afin de minimiser la latence. Par exemple, dans la région Chine (Hangzhou), l'endpoint public pour KMS est kms.cn-hangzhou.aliyuncs.com et l'endpoint VPC est kms-vpc.cn-hangzhou.aliyuncs.com. Pour obtenir la liste complète des endpoints, consultez la rubrique Endpoints.
Les endpoints publics sont accessibles à l'échelle mondiale.
-
Les endpoints VPC sont accessibles uniquement depuis la région Alibaba Cloud correspondante et exclusivement via un réseau VPC. Avantages des endpoints VPC :
Sécurité renforcée : les endpoints de service VPC sont accessibles uniquement depuis un VPC, ce qui améliore la sécurité et la confidentialité.
Réponse plus rapide : comme les endpoints de service VPC fonctionnent sur le réseau interne du VPC, ils offrent généralement des temps de réponse plus rapides et évitent les problèmes liés au réseau public, tels que la latence et les limites de bande passante.
Coût réduit : les endpoints de service VPC utilisent la communication par réseau interne.
Endpoint de passerelle dédiée (également appelé endpoint d'instance KMS)
L'accès à la passerelle dédiée s'effectue via le réseau privé KMS. Le format de l'endpoint de la passerelle dédiée est <YOUR_KMS_INSTANCE_ID>.cryptoservice.kms.aliyuncs.com, par exemple kst-hzz65f176a0ogplgq****.cryptoservice.kms.aliyuncs.com.
Remplacez
<YOUR_KMS_INSTANCE_ID>par l'ID de l'instance KMS que vous utilisez réellement.Lorsque vous appelez des opérations du plan de données via une passerelle dédiée, vous devez ajouter la configuration du certificat CA de l'instance lors de l'initialisation du client. Pour plus d'informations, consultez la rubrique Initialiser le client.
Méthodes d'authentification
Lorsque vous utilisez un SDK Alibaba Cloud pour accéder à l'OpenAPI via une passerelle partagée ou dédiée, les méthodes d'authentification sont identiques. KMS prend en charge les méthodes d'authentification d'identité basées sur RAM, telles que AccessKey, le jeton STS, RamRoleArn et le rôle RAM d'instance ECS. Pour plus d'informations, consultez les rubriques Gérer les identifiants et Identité, identifiants et autorisation. Pour savoir comment configurer les politiques d'accès, consultez la rubrique Utiliser RAM pour implémenter le contrôle d'accès.
AccessKey
Par défaut, un compte Alibaba Cloud dispose de permissions d'administrateur pour toutes les ressources, lesquelles ne peuvent pas être modifiées. Pour garantir la sécurité des ressources, nous vous recommandons d'utiliser un utilisateur RAM pour créer une paire de clés AccessKey et de lui accorder uniquement les permissions nécessaires.
Connectez-vous à la console RAM. Sur la page Users, cliquez sur le nom de l'utilisateur RAM cible.
Dans l'onglet Secret Management, section AccessKey, cliquez sur Create AccessKey.
-
Accordez à l'utilisateur RAM les permissions d'accès à KMS.
-
Méthode 1 : Configurer une politique basée sur l'identité
Dans la colonne Actions de l'utilisateur RAM, cliquez sur Grant Permission pour attacher une politique de permission système intégrée pour KMS à l'utilisateur RAM. Pour plus d'informations sur les politiques de permission système pour KMS, consultez la rubrique Politiques système pour KMS.
RemarqueVous pouvez également créer des politiques de permission personnalisées. Pour plus d'informations, consultez la rubrique Créer une politique personnalisée.
-
Méthode 2 : Configurer une politique basée sur les ressources
KMS prend en charge les politiques basées sur les ressources qui accordent des permissions d'accès pour des clés et des secrets individuels. Vous pouvez utiliser ces politiques pour contrôler quels comptes Alibaba Cloud, utilisateurs RAM et rôles RAM peuvent gérer ou utiliser les clés et secrets KMS. Pour plus d'informations, consultez les rubriques Politiques de clé et Politiques de secret.
-
Rôle RAM ECS
Un rôle RAM d'instance ECS vous permet d'obtenir un identifiant d'accès temporaire (jeton STS) depuis une instance ECS pour appeler les opérations API KMS, sans avoir besoin de configurer une paire de clés AccessKey.
Pour plus d'informations, consultez la rubrique Rôles RAM d'instance.
-
Connectez-vous à la console RAM et créez un rôle RAM pour un service Alibaba Cloud de confiance.
Type d'entité de confiance : sélectionnez Elastic Compute Service.
Entité de confiance : sélectionnez Elastic Compute Service (ECS).
-
Accordez au rôle RAM les permissions d'accès à KMS.
-
Méthode 1 : Configurer une politique basée sur l'identité
Dans la colonne Actions du rôle RAM, cliquez sur Grant Permission pour attacher une politique de permission système intégrée pour KMS au rôle RAM. Pour plus d'informations sur les politiques de permission système pour KMS, consultez la rubrique Politiques système pour KMS.
RemarqueVous pouvez également créer des politiques de permission personnalisées. Pour plus d'informations, consultez la rubrique Créer une politique personnalisée.
-
Méthode 2 : Configurer une politique basée sur les ressources
KMS prend en charge les politiques basées sur les ressources qui accordent des permissions d'accès pour des clés et des secrets individuels. Vous pouvez utiliser ces politiques pour contrôler quels comptes Alibaba Cloud, utilisateurs RAM et rôles RAM peuvent gérer ou utiliser les clés et secrets KMS. Pour plus d'informations, consultez les rubriques Politiques de clé et Politiques de secret.
-
Connectez-vous à la console ECS et attachez le rôle RAM à une instance ECS.
Jeton STS
Security Token Service (STS) délivre un identifiant d'accès temporaire, un jeton STS, à un utilisateur RAM ou un rôle RAM. Ce jeton permet d'accéder à KMS avec des permissions spécifiques pendant une période de validité limitée. Une fois le jeton expiré, il devient automatiquement invalide.
Connectez-vous à la console RAM pour créer un utilisateur RAM ou un rôle RAM. Pour plus d'informations, consultez les rubriques Créer un utilisateur RAM et Créer un rôle RAM.
Accordez la permission
AliyunSTSAssumeRoleAccessà l'utilisateur RAM ou au rôle RAM. Pour plus d'informations, consultez les rubriques Gérer les permissions des utilisateurs RAM et Accorder des permissions à un rôle RAM.-
Accordez à l'utilisateur RAM ou au rôle RAM les permissions d'accès à KMS.
-
Méthode 1 : Configurer une politique basée sur l'identité
Dans la colonne Actions du rôle ou de l'utilisateur RAM, cliquez sur Grant Permission pour attacher une politique de permission système intégrée pour KMS. Pour plus d'informations sur les politiques de permission système pour KMS, consultez la rubrique Politiques système pour KMS.
RemarqueVous pouvez également créer des politiques de permission personnalisées. Pour plus d'informations, consultez la rubrique Créer une politique personnalisée.
-
Méthode 2 : Configurer une politique basée sur les ressources
KMS prend en charge les politiques basées sur les ressources qui accordent des permissions d'accès pour des clés et des secrets individuels. Vous pouvez utiliser ces politiques pour contrôler quels comptes Alibaba Cloud, utilisateurs RAM et rôles RAM peuvent gérer ou utiliser les clés et secrets KMS. Pour plus d'informations, consultez les rubriques Politiques de clé et Politiques de secret.
-
Utilisez l'utilisateur RAM ou le rôle RAM pour appeler l'opération STS AssumeRole afin d'obtenir un identifiant d'accès STS temporaire. Pour plus d'informations, consultez la rubrique AssumeRole.
RamRoleArn
Les utilisateurs RAM ou les services cloud peuvent endosser un rôle pour obtenir des permissions temporaires (jeton STS) au lieu d'utiliser des clés à long terme, ce qui réduit le risque de fuite de clés. Par exemple, dans le cadre d'une tâche de traitement de données temporaire, un utilisateur RAM ou un service cloud endosse temporairement un rôle avec un RamRoleArn spécifique. Une fois la tâche terminée, les permissions du rôle sont révoquées, minimisant ainsi le risque d'exposition.
-
Créer une paire de clés AccessKey utilisateur
Connectez-vous à la console RAM. Dans le volet de navigation de gauche, choisissez . Sur la page Users, cliquez sur le nom de l'utilisateur RAM cible.
Attachez la politique système
AliyunSTSAssumeRoleAccessou une politique personnalisée incluant l'actionsts:AssumeRoleà l'utilisateur RAM.Dans l'onglet Secret Management, section AccessKey, cliquez sur Create AccessKey.
-
Créer et autoriser un rôle RAM :
Dans le volet de navigation de gauche, choisissez . Sur la page Roles, cliquez sur Create Role. Pour plus d'informations, consultez la rubrique Créer un rôle RAM.
-
Accordez au rôle RAM les permissions d'accès à KMS.
-
Méthode 1 : Configurer une politique basée sur l'identité
Dans la colonne Actions du rôle RAM, cliquez sur Grant Permission pour attacher une politique de permission système intégrée pour KMS au rôle RAM. Pour plus d'informations sur les politiques de permission système pour KMS, consultez la rubrique Politiques système pour KMS.
RemarqueVous pouvez également créer des politiques de permission personnalisées. Pour plus d'informations, consultez la rubrique Créer une politique personnalisée.
-
Méthode 2 : Configurer une politique basée sur les ressources
KMS prend en charge les politiques basées sur les ressources qui accordent des permissions d'accès pour des clés et des secrets individuels. Vous pouvez utiliser ces politiques pour contrôler quels comptes Alibaba Cloud, utilisateurs RAM et rôles RAM peuvent gérer ou utiliser les clés et secrets KMS. Pour plus d'informations, consultez les rubriques Politiques de clé et Politiques de secret.
-
-
Obtenez le RamRoleArn du rôle RAM cible. Pour plus d'informations, consultez la rubrique Afficher les informations d'un rôle RAM.
Dans le volet de navigation de gauche, choisissez . Sur la page Roles, cliquez sur le nom du rôle cible.
-
Sur la page des détails du rôle, trouvez le RamRoleArn dans la section ARN.
RemarqueLe RamRoleArn correspond au nom de ressource Alibaba Cloud (ARN) du rôle RAM à endosser. Le format est
acs:ram::$accountID:role/$roleName, où$accountIDest l'ID du compte Alibaba Cloud et$roleNameest le nom du rôle RAM.
Méthodes d'intégration
Le SDK constitue la méthode la plus simple et la mieux prise en charge pour appeler l'OpenAPI. Nous vous recommandons d'utiliser le SDK.
SDK Alibaba Cloud
Alibaba Cloud fournit des SDK pour plusieurs langages de programmation (Java, C#, Go, Python, Node.js/TypeScript, PHP, C++, etc.). Les SDK encapsulent la logique de signature, le mécanisme de délai d'expiration et le mécanisme de nouvelle tentative, et fournissent des objets de requête et de réponse pour les appels API, ce qui simplifie le développement. Pour plus d'informations sur le SDK Alibaba Cloud, consultez la rubrique Alibaba Cloud SDK.
CLI Alibaba Cloud
Alibaba Cloud CLI (Alibaba Cloud Command Line Interface) est un outil de ligne de commande unifié basé sur l'OpenAPI Alibaba Cloud. Utilisez Alibaba Cloud CLI pour interagir avec les services Alibaba Cloud et gérer vos ressources Alibaba Cloud depuis un shell. Saisissez des commandes pour effectuer des opérations sans dépendre d'une interface utilisateur graphique (GUI). Pour plus d'informations, consultez la rubrique Qu'est-ce qu'Alibaba Cloud CLI. Pour savoir comment obtenir et utiliser les commandes Alibaba Cloud CLI, consultez la rubrique Prise en main d'Alibaba Cloud CLI.
Terraform
Terraform est un outil open source qui vous permet de prévisualiser, provisionner et gérer en toute sécurité et efficacement l'infrastructure et les ressources cloud. Il appelle l'OpenAPI après avoir converti les modèles en une structure de données interne et prend en charge plusieurs grands fournisseurs cloud. Terraform calcule automatiquement les différences entre les ressources et génère un plan d'exécution. Vous pouvez prévisualiser l'impact des modifications avant de les appliquer, ce qui aide à prévenir les dommages accidentels aux ressources ou les interruptions de service. Pour plus d'informations, consultez la rubrique Qu'est-ce qu'Alibaba Cloud Terraform ?. Pour utiliser rapidement Terraform afin d'orchestrer Key Management Service, consultez la rubrique Vue d'ensemble.
Seules certaines opérations API KMS sont prises en charge lorsque vous utilisez Terraform pour orchestrer et utiliser Key Management Service.
Encapsulation personnalisée des appels API
Les appels HTTP natifs vous obligent à implémenter vous-même l'algorithme de signature, à construire des requêtes personnalisées basées sur les paramètres de l'API et à initier les appels HTTP. Pour plus d'informations sur l'algorithme de signature, consultez la rubrique Mécanisme de signature. En plus des paramètres métier requis, vous devez également concaténer les paramètres de requête communs. Pour plus d'informations, consultez la rubrique Paramètres communs. Pour un exemple d'appel API personnalisé, consultez la rubrique Syntaxe de requête et méthode de signature V3.
Notes d'utilisation
KMS n'accepte les requêtes que via HTTPS. Les versions TLS 1.0, 1.1 et 1,2 sont prises en charge. SSL v2 et SSL v3 ne sont pas pris en charge.
-
Le nombre maximal de requêtes par seconde (QPS) d'un seul compte Alibaba Cloud varie selon l'API. Pour plus de détails, consultez la limite QPS dans la documentation de chaque API. Pour plus d'informations, consultez la rubrique Limitation de débit et gestion des quotas.
RemarqueTous les utilisateurs RAM sous un même compte Alibaba Cloud partagent le quota QPS de ce compte Alibaba Cloud.
Si un appel API renvoie une erreur, vérifiez si les paramètres de la requête et leurs valeurs sont corrects en vous basant sur le code d'erreur renvoyé. Pour plus d'informations, consultez la rubrique Codes d'erreur courants.
Enregistrez le RequestID renvoyé par l'appel API ou le message d'erreur du SDK, et utilisez Alibaba Cloud OpenAPI Diagnostics pour effectuer un diagnostic en libre-service.