Key Management Service:Configurer une politique de secret

Configurer dans la console

1. Connectez-vous à la console Key Management Service. Dans la barre de navigation supérieure, sélectionnez une région. Dans le volet de navigation de gauche, choisissez Resources > Secrets.

2. Sous l'onglet Secrets, localisez le secret cible, puis cliquez sur son ID ou sur Details dans la colonne Actions.

3. Dans la zone Secret Policy en bas de la page des détails, cliquez sur Configure Secret Policy, configurez la politique, puis cliquez sur OK.

   1. Visual Editor : dans ce mode, sélectionnez le Principal (utilisateur RAM ou rôle RAM) en appliquant les autorisations de la politique par défaut (Action).

      • Administrator : gère le secret sans pouvoir récupérer sa valeur. Vous ne pouvez sélectionner que des utilisateurs RAM et des rôles RAM du compte actuel.

      • User : récupère uniquement la valeur du secret. Vous ne pouvez sélectionner que des utilisateurs RAM et des rôles RAM du compte actuel.

      • Cross-account User :

        Important

        • L'autorisation d'utilisateurs ou de rôles RAM provenant d'autres comptes Alibaba Cloud consomme le Access Management Quota de l'instance KMS. Ce quota est calculé selon le nombre de comptes Alibaba Cloud. Après révocation de l'autorisation, le quota est restitué en environ 5 minutes.

        • Vous devez également configurer les autorisations d'utilisation du secret correspondantes pour l'utilisateur ou le rôle dans la console RAM. Pour plus d'informations, consultez les rubriques Politiques personnalisées, Gérer les autorisations des utilisateurs RAM et Gérer les autorisations d'un rôle RAM.

        • Peut concerner des utilisateurs RAM ou des rôles RAM provenant d'autres comptes Alibaba Cloud. Permet uniquement de récupérer la valeur du secret.

        • Cliquez sur Add ARN of Cross-account User et saisissez l'ARN du principal. Pour trouver l'ARN, connectez-vous à la console RAM et consultez la page des détails de l'utilisateur ou du rôle.

          • Utilisateur RAM : le format est acs:ram::<other Alibaba Cloud account userId>:user/<ramuser>, par exemple, acs:ram::119285303511****:user/testpolicyuser.

          • Rôle RAM : le format est acs:ram::<other Alibaba Cloud account userId>:role/<ramrole>, par exemple, acs:ram::119285303511****:role/testpolicyrole.

   2. Syntax Editor : modifiez ou ajoutez directement des politiques d'autorisation dans l'éditeur de syntaxe. Voici un exemple de configuration.

      • Scénario : configurez une politique de secret pour un secret appartenant au compte Alibaba Cloud (119285303511****).

        • Accordez au compte Alibaba Cloud actuel (119285303511****) un accès complet au secret, incluant la gestion et l'utilisation. Ne modifiez pas cette instruction.

        • Accordez à l'utilisateur RAM (secret_ramuser1) du compte Alibaba Cloud actuel (119285303511****) l'autorisation de gérer le secret.

        • Accordez à l'utilisateur RAM (secret_ramuser2) du compte Alibaba Cloud actuel (119285303511**) et à l'utilisateur RAM (secret_ramuser3) d'un autre compte Alibaba Cloud (190325303126**) l'autorisation d'utiliser le secret.

      • Exemple de syntaxe :

        {
            "Statement": [
                {
                    "Action": [
                        "kms:*"
                    ],
                    "Effect": "Allow",
                    "Principal": {
                        "RAM": [
                            "acs:ram::119285303511****:*"
                        ]
                    },
                    "Resource": [
                        "*"
                    ],
                    "Sid": "kms default secret policy"
                },
                {
                    "Action": [
                        "kms:List*",
                        "kms:Describe*",
                        "kms:PutSecretValue",
                        "kms:Update*",
                        "kms:DeleteSecret",
                        "kms:RestoreSecret",
                        "kms:RotateSecret",
                        "kms:TagResource",
                        "kms:UntagResource"
                    ],
                    "Effect": "Allow",
                    "Principal": {
                        "RAM": [
                            "acs:ram::119285303511****:user/secret_ramuser1"
                        ]
                    },
                    "Resource": [
                        "*"
                    ]
                },
                {
                    "Action": [
                        "kms:List*",
                        "kms:Describe*",
                        "kms:GetSecretValue"
                    ],
                    "Effect": "Allow",
                    "Principal": {
                        "RAM": [
                            "acs:ram::119285303511****:user/secret_ramuser2",
                            "acs:ram::190325303126****:user/secret_ramuser3"
                        ]
                    },
                    "Resource": [
                        "*"
                    ]
                }
            ],
            "Version": "1"
        }

        Remarque

        Remarque : le champ Resource dans l'exemple précédent doit être défini sur ["*"], ce qui indique que la politique s'applique au secret actuel.

Limites

• Les politiques de secret ne peuvent être configurées que pour les secrets présents dans une instance KMS.

• Une politique de secret doit être au format JSON et ne peut pas dépasser 32 768 octets.

• Les opérations suivantes peuvent être spécifiées dans une politique de secret :

  Avertissement

  Si vous spécifiez une opération ne figurant pas dans cette liste, elle n'aura aucun effet.

  "Action": [
                  "kms:List*",
                  "kms:Describe*",
                  "kms:PutSecretValue",
                  "kms:Update*",
                  "kms:DeleteSecret",
                  "kms:RestoreSecret",
                  "kms:RotateSecret",
                  "kms:TagResource",
                  "kms:UntagResource"
                  "kms:GetSecretValue"
              ]

• Autorisation de secret inter-comptes : pour autoriser des utilisateurs RAM ou des rôles RAM d'autres comptes Alibaba Cloud à utiliser un secret de votre compte, vous devez configurer une double autorisation :

  1. Configurez une politique de secret dans la console KMS pour accorder l'accès au compte cible. Ajoutez un principal Cross-account User dans la politique de secret.

  2. Le compte cible doit configurer les autorisations d'utilisation du secret correspondantes pour son utilisateur ou son rôle dans la console RAM.

Autorisations de la politique par défaut (Action)

  "Action": [
                "kms:List*",
                "kms:Describe*",
                "kms:PutSecretValue",
                "kms:Update*",
                "kms:DeleteSecret",
                "kms:RestoreSecret",
                "kms:RotateSecret",
                "kms:TagResource",
                "kms:UntagResource"
            ]

 "Action": [
                "kms:List*",
                "kms:Describe*",
                "kms:GetSecretValue"
            ]