KMS s'intègre à Alibaba Cloud Resource Access Management (RAM) via des stratégies système prédéfinies. Attachez ces stratégies aux utilisateurs RAM, aux groupes d'utilisateurs RAM ou aux rôles RAM pour accorder l'accès aux ressources KMS, sans avoir à créer des autorisations de zéro.
Les stratégies système permettent aux nouveaux utilisateurs de démarrer rapidement avec les produits Alibaba Cloud sur la console de gestion, tout en prenant en charge des méthodes plus avancées telles que les opérations API ou les commandes CLI. Si vous maîtrisez ces méthodes avancées, nous vous recommandons d'utiliser stratégies personnalisées pour mettre en œuvre un contrôle plus fin des personnes autorisées à appeler telle ou telle opération API, améliorant ainsi la sécurité.
Les stratégies système pour KMS se répartissent en trois catégories :
Stratégies système de service : attachez-les aux identités RAM pour accorder l'accès à la console ou à l'API.
Stratégies de rôle de service : réservées aux rôles de service KMS ; ne les attachez pas à d'autres identités RAM.
Stratégies de rôle lié au service : utilisées automatiquement par KMS pour accéder à d'autres services cloud ; ne les attachez pas à d'autres identités RAM.
Stratégies système de service
AliyunKMSSecretUserAccess
La stratégie AliyunKMSSecretUserAccess permet de récupérer les secrets dans KMS. Elle peut être attachée aux identités RAM.
AliyunKMSSecretAdminAccess
La stratégie AliyunKMSSecretAdminAccess permet d'administrer les secrets dans KMS via la console de gestion. Elle peut être attachée aux identités RAM.
AliyunKMSReadOnlyAccess
La stratégie AliyunKMSReadOnlyAccess permet un accès en lecture seule à Key Management Service via la console de gestion. Elle peut être attachée aux identités RAM.
AliyunKMSFullAccess
La stratégie AliyunKMSFullAccess permet un accès complet à Key Management Service via la console de gestion. Elle peut être attachée aux identités RAM.
AliyunKMSCryptoUserAccess
La stratégie AliyunKMSCryptoUserAccess permet d'accéder aux API cryptographiques de KMS. Elle peut être attachée aux identités RAM.
AliyunKMSCryptoAdminAccess
La stratégie AliyunKMSCryptoAdminAccess permet d'administrer les clés cryptographiques dans KMS via la console de gestion. Elle peut être attachée aux identités RAM.
Ces six stratégies couvrent les modèles d'accès les plus courants. Attachez-les aux utilisateurs RAM, aux groupes d'utilisateurs RAM ou aux rôles RAM.
| Stratégie | Autorisations accordées |
|---|---|
| AliyunKMSFullAccess | Accès complet à Key Management Service via la console de gestion Alibaba Cloud |
| AliyunKMSReadOnlyAccess | Accès en lecture seule à Key Management Service via la console de gestion Alibaba Cloud |
| AliyunKMSCryptoAdminAccess | Accès administratif aux clés cryptographiques dans KMS via la console de gestion Alibaba Cloud |
| AliyunKMSCryptoUserAccess | Accès aux API cryptographiques de KMS |
| AliyunKMSSecretAdminAccess | Accès administratif aux secrets dans KMS via la console de gestion Alibaba Cloud |
| AliyunKMSSecretUserAccess | Accès permettant de récupérer les secrets dans KMS |
Choisir la bonne stratégie
Accordez AliyunKMSFullAccess uniquement aux administrateurs KMS.
Pour les charges de travail applicatives qui chiffrent ou déchiffrent des données, utilisez AliyunKMSCryptoUserAccess.
Pour les applications qui récupèrent des secrets au moment de l'exécution, utilisez AliyunKMSSecretUserAccess.
Séparez l'administration des clés des opérations cryptographiques en utilisant AliyunKMSCryptoAdminAccess pour les gestionnaires de clés et AliyunKMSCryptoUserAccess pour les identités applicatives.
Alibaba Cloud met à jour les stratégies système à mesure que KMS ajoute de nouvelles fonctionnalités. Lorsqu'une stratégie est mise à jour, la modification prend effet pour toutes les identités RAM auxquelles elle est attachée. Pour éviter des modifications inattendues des autorisations en production, utilisez des stratégies personnalisées plutôt que des stratégies système pour les charges de travail sensibles.
Stratégies de rôle de service
AliyunKMSManageRAMCredentialsRolePolicy
Cette stratégie constitue la politique d'autorisation pour le rôle de service AliyunKMSManageRAMCredentialsRole. Par défaut, KMS utilise ce rôle pour gérer les informations d'identification RAM en votre nom.
AliyunKMSManageRAMCredentialsRolePolicy
N'attachez pas cette stratégie aux utilisateurs RAM, aux groupes d'utilisateurs RAM ou aux rôles RAM. Si un service propose des capacités d'autorisation précises, reportez-vous à la documentation fournie par le service.
Stratégies de rôle lié au service
Chaque rôle lié au service dispose d'une stratégie dédiée qui accorde à KMS les autorisations minimales nécessaires pour accéder au service cloud cible. Ces stratégies sont définies et gérées par KMS : vous ne pouvez ni les modifier ni les supprimer, et vous ne devez pas les attacher à d'autres identités RAM.
| Stratégie | Rôle lié au service associé | Objectif |
|---|---|---|
| AliyunServiceRolePolicyForCustomKeyStore | AliyunServiceRoleForCustomKeyStore | Permet à KMS d'accéder aux ressources d'autres services cloud pour les opérations de magasin de clés personnalisé |
| AliyunServiceRolePolicyForKMSKeyStore | AliyunServiceRoleForKMSKeyStore | Permet à KMS d'accéder aux ressources d'autres services cloud pour les opérations de magasin de clés |
| AliyunServiceRolePolicyForKMSSecretsManagerForECS | AliyunServiceRoleForKMSSecretsManagerForECS | Permet à KMS Secrets Manager de gérer les informations d'identification ECS |
| AliyunServiceRolePolicyForKMSSecretsManagerForPolarDB | AliyunServiceRoleForKMSSecretsManagerForPolarDB | Permet à KMS Secrets Manager de gérer les informations d'identification PolarDB |
| AliyunServiceRolePolicyForKMSSecretsManagerForRDS | AliyunServiceRoleForKMSSecretsManagerForRDS | Permet à KMS Secrets Manager de gérer les informations d'identification ApsaraDB RDS |
| AliyunServiceRolePolicyForKMSSecretsManagerForRedis | AliyunServiceRoleForKMSSecretsManagerForRedis | Permet à KMS Secrets Manager de gérer les informations d'identification ApsaraDB for Redis |
Étapes suivantes
Par défaut, les identités RAM ne disposent d'aucune autorisation. Un administrateur de compte doit accorder des autorisations avant qu'une identité RAM puisse accéder aux ressources KMS. Appliquez le principe du moindre privilège : n'accordez que les autorisations dont chaque identité a réellement besoin.