KMS propose trois catégories de SDK : Alibaba Cloud SDK, Secret SDKs et KMS Instance SDK (non recommandé). Choisissez un SDK en fonction de votre scénario d'intégration, de vos exigences d'authentification et du type de passerelle.
Diagramme de flux d'intégration des SDK
Alibaba Cloud SDK
Le SDK Alibaba Cloud est un package de dépendances permettant d'appeler les API des services cloud. Il permet aux développeurs de créer rapidement des applications sur la plateforme Alibaba Cloud. Ce SDK prend en charge les opérations de gestion et les opérations métier. Les langages pris en charge sont Java, Python, C++, PHP, .NET (uniquement C#), Go, TypeScript et Swift. Pour plus d'informations, consultez Alibaba Cloud SDK.
Opérations API prises en charge
Le SDK Alibaba Cloud prend en charge les opérations de gestion et les opérations métier de l'API KMS. La liste complète est disponible dans la section OpenAPI prises en charge.
Opérations de gestion : gérez les clés par défaut et les instances KMS, par exemple en créant des clés, des secrets et des instances, ou en modifiant les tags des clés.
-
Opérations métier :
Opérations cryptographiques : chiffrement et déchiffrement symétriques et asymétriques, chiffrement sous enveloppe, génération de clés de données, ainsi que génération et vérification de signatures numériques.
Récupération de valeurs de secrets : récupérez les valeurs de secrets depuis les instances KMS.
En production, mettez en œuvre des politiques de nouvelle tentative et une mise en cache des secrets pour éviter les échecs de récupération dus aux fluctuations du réseau. Pour plus d'informations, consultez Nouvelles tentatives avec backoff exponentiel.
Types de passerelles pris en charge
Le SDK Alibaba Cloud accède à l'API KMS et à l'API KMS Instance via des passerelles partagées ou dédiées. Les opérations de gestion sont disponibles uniquement via les passerelles partagées. Les opérations métier sont accessibles via les deux types de passerelles.
|
Type de passerelle |
Scénario recommandé |
Authentification |
Opération API prise en charge |
|
Passerelle partagée |
|
Authentification RAM |
Toutes les opérations de l'API KMS |
|
Passerelle dédiée |
|
Authentification RAM |
Récupération de valeurs de secrets et opérations cryptographiques de l'API KMS |
Secret SDKs
Les Secret SDKs encapsulent l'API KMS et l'API KMS Instance avec une mise en cache et une actualisation intégrées des secrets, offrant une grande stabilité et une intégration simplifiée. Ces SDK permettent uniquement de récupérer des secrets. Trois types sont disponibles : le client de secrets, le client JDBC (Java Database Connectivity) pour les secrets et le plug-in de secrets RAM (Resource Access Management). Les langages pris en charge sont Java 8+, Python et Go. Pour plus d'informations, consultez Credentials SDK.
Types de Secret SDKs
|
Type de SDK |
Description |
|
|
|
|
|
API prises en charge
Les Secret SDKs permettent uniquement de récupérer des valeurs de secrets via l'API KMS ou l'API KMS Instance. L'utilisation de l'API KMS Instance n'est pas recommandée. Pour gérer les secrets, utilisez le SDK Alibaba Cloud.
En production, mettez en œuvre des politiques de nouvelle tentative et une mise en cache des secrets pour éviter les échecs de récupération dus aux fluctuations du réseau. Pour plus d'informations, consultez Nouvelles tentatives avec backoff exponentiel.
Types de passerelles pris en charge
Les Secret SDKs récupèrent les valeurs de secrets via des passerelles partagées ou dédiées. Les passerelles partagées prennent en charge l'authentification RAM ou l'authentification par point d'accès applicatif (AAP) pour les appels à l'API KMS. Les passerelles dédiées prennent en charge uniquement l'authentification AAP pour les appels à l'API KMS Instance.
|
Type de passerelle |
Scénario recommandé |
Authentification |
Opération API prise en charge |
|
Passerelle partagée |
|
Authentification RAM |
Récupération de valeurs de secrets via l'API KMS |
|
Authentification AAP (non recommandée) |
Récupération de valeurs de secrets via l'API KMS Instance |
||
|
Passerelle dédiée |
|
Authentification AAP (non recommandée) |
Récupération de valeurs de secrets via l'API KMS Instance |
KMS Instance SDK (non recommandé)
Le SDK KMS Instance accède aux points de terminaison des passerelles dédiées pour les opérations cryptographiques et la récupération de valeurs de secrets. Les langages pris en charge sont Java 8+, PHP, Go, Python et .NET (uniquement C#). Pour plus d'informations, consultez KMS Instance SDK.
Points de terminaison des passerelles et authentification
Points de terminaison des passerelles
KMS propose deux types de points de terminaison :
Point de terminaison de passerelle partagée (point de terminaison du service KMS) : adresse réseau globale de KMS, accessible via Internet ou les VPC. Les points de terminaison varient selon la région. Par exemple, les points de terminaison pour la région Chine (Hangzhou) sont kms.cn-hangzhou.aliyuncs.com et kms-vpc.cn-hangzhou.aliyuncs.com. Pour plus d'informations, consultez Opérations.
Point de terminaison de passerelle dédiée (également appelé point de terminaison d'instance KMS) : adresse réseau d'une instance KMS spécifique. Vous pouvez accéder aux points de terminaison des passerelles dédiées uniquement via un réseau privé. Les points de terminaison des passerelles dédiées suivent le format
{The ID of the KMS instance}.cryptoservice.kms.aliyuncs.com.
Authentification
KMS prend en charge l'authentification RAM et AAP. Les passerelles partagées prennent en charge les deux méthodes. Les passerelles dédiées prennent en charge uniquement l'authentification AAP.
Authentification RAM : rôles RAM, jetons STS (Security Token Service), rôles RAM des instances ECS (Elastic Compute Service) et paires de clés AccessKey.
Authentification AAP (non recommandée) : créez un AAP, puis téléchargez et enregistrez la clé client, qui inclut ClientKeyContent et ClientKeyPassword. Deux modes sont disponibles : configuration de passerelle dédiée et configuration de passerelle partagée. Configurez l'AAP en suivant les instructions de la section Authentification AAP.