Détails des politiques de secret - Key Management Service - Centre de documentation Alibaba Cloud

Relation entre les politiques de secret et les politiques RAM

Description des politiques

Les politiques de secret et les politiques RAM contrôlent l'accès aux secrets KMS selon différentes dimensions. Après avoir ajouté des utilisateurs RAM ou des rôles RAM à une politique de secret, vous pouvez également configurer des politiques RAM pour gérer les autorisations d'opération sur le secret KMS pour ces utilisateurs ou rôles RAM.

Politique de secret : Politique basée sur les ressources associée à un secret spécifique. Elle spécifie quelles identités (utilisateurs RAM, rôles RAM ou comptes Alibaba Cloud) peuvent gérer ou utiliser le secret. Pour plus d'informations, consultez Configurer une politique de secret.
Politique RAM : Politique basée sur l'identité associée à un utilisateur RAM ou à un rôle RAM. Elle spécifie quelles opérations KMS l'identité peut effectuer. Pour plus d'informations, consultez Gérer les autorisations des utilisateurs RAM, Gérer les autorisations d'un rôle RAM et Politiques personnalisées.

Priorité d'évaluation des autorisations

Utilisateurs RAM ou rôles RAM du compte actuel (compte du créateur du secret)

Principe d'évaluation : « Une seule autorisation Allow suffit » (logique OU). L'accès est autorisé si l'une des conditions suivantes est remplie et qu'il n'y a pas de refus explicite (Explicit Deny).

Remarque
Pour plus d'informations sur le refus explicite (Explicit Deny) et le refus implicite (Implicit Deny), consultez Comment RAM évalue les politiques.
- La politique de secret KMS autorise explicitement l'utilisateur ou le rôle.
- La politique RAM autorise explicitement l'utilisateur ou le rôle.

Règles détaillées :

Politique de secret KMS (basée sur les ressources)

Politique RAM (basée sur l'identité)

Résultat de l'évaluation

Allow

Non configuré

Allow

Non configuré

Allow

Deny

Allow

Deny

Non configuré

Deny

Utilisateurs RAM ou rôles RAM d'un autre compte (inter-comptes)

Principe d'évaluation : « Les deux doivent autoriser » (logique ET). L'accès n'est autorisé que si les deux conditions suivantes sont remplies.
- La politique de secret KMS autorise explicitement l'utilisateur ou le rôle externe (ou le compte externe).
- La politique RAM autorise explicitement l'utilisateur ou le rôle externe à appeler les opérations KMS.

Règles détaillées :

Politique de secret KMS (basée sur les ressources)

Politique RAM (basée sur l'identité)

Résultat de l'évaluation

Allow

Deny

Allow

Deny

Allow

Non configuré

Deny

Notes d'utilisation

Les politiques de secret s'appliquent uniquement aux secrets au sein d'une instance KMS. Vous pouvez configurer une politique de secret lors de la création du secret ou la modifier ultérieurement. Pour plus d'informations, consultez Gérer et utiliser les secrets et Configurer une politique de secret.
L'autorisation d'utilisateurs RAM ou de rôles provenant d'autres comptes Alibaba Cloud consomme le quota de gestion des accès de l'instance KMS. Le quota est calculé en fonction du nombre de comptes Alibaba Cloud. Si vous révoquez l'autorisation inter-comptes et que l'instance ne partage plus de ressources avec ce compte, attendez environ 5 minutes pour que le quota consommé diminue en conséquence.
Une politique de secret s'applique uniquement au contrôle d'accès lorsque vous accédez à un secret via le point de terminaison du service KMS. Si vous accédez à un secret via le point de terminaison d'une instance KMS, l'accès dépend de la politique d'autorisation configurée dans le point d'accès applicatif (AAP).
Une politique de secret doit être au format JSON et ne peut pas dépasser 32 768 octets.

Structure de la politique de secret

Une politique de secret complète contient les éléments suivants :

Version : La version de la politique de secret. Seule la version 1 est prise en charge.
Statement : Une politique de secret contient une ou plusieurs instructions. Chaque instruction comprend les paramètres suivants :
- Sid
  
  Facultatif. Identifiant d'instruction personnalisé. L'identifiant peut comporter jusqu'à 128 caractères et contenir des lettres majuscules (A-Z), des lettres minuscules (a-z), des chiffres (0-9) et les caractères spéciaux suivants : _ / + = . @ -
- Effect
  
  Obligatoire. Spécifie s'il faut autoriser ou refuser les actions dans l'instruction. Valeurs valides : Allow et Deny.
- Principal
  
  Obligatoire. L'identité à laquelle la politique s'applique. Vous pouvez spécifier l'un des éléments suivants :
  - Le compte Alibaba Cloud actuel (le compte propriétaire du secret).
  - Les utilisateurs RAM ou les rôles RAM du compte Alibaba Cloud actuel.
  - Les utilisateurs RAM ou les rôles RAM d'un autre compte Alibaba Cloud.
    
    Important
    Après avoir autorisé des utilisateurs RAM ou des rôles d'un autre compte Alibaba Cloud, vous devez également utiliser ce compte Alibaba Cloud pour accorder aux utilisateurs ou rôles RAM l'autorisation d'utiliser le secret dans RAM. Sinon, les identités RAM ne pourront pas utiliser le secret.
    
    Pour plus d'informations, consultez Référence des politiques personnalisées pour KMS, Gérer les autorisations des utilisateurs RAM et Gérer les autorisations d'un rôle RAM.
- Action
  
  Obligatoire. Les opérations API à autoriser ou à refuser. La valeur doit commencer par « kms: ». Seules les opérations suivantes sont valides. Les opérations ne figurant pas dans cette liste ne prendront pas effet.
  Liste des autorisations
  "Action": [ "kms:List*", "kms:Describe*", "kms:PutSecretValue", "kms:Update*", "kms:DeleteSecret", "kms:RestoreSecret", "kms:RotateSecret", "kms:TagResource", "kms:UntagResource" "kms:GetSecretValue" ]
- Resource
  
  Obligatoire. La ressource cible à laquelle la politique s'applique. La valeur Resource ne peut être que *, ce qui indique le secret KMS actuel.
- Condition
  
  Facultatif. Les conditions dans lesquelles la politique prend effet. Un élément de condition, également appelé bloc de condition, se compose d'une ou plusieurs clauses de condition. Chaque clause contient un opérateur de condition, une clé de condition et une valeur de condition. Pour plus d'informations, consultez Éléments de la politique d'autorisation.
  
  Le format est "Condition": {"condition operator": {"condition key": "condition value"}}.
  - condition operator : Pour plus d'informations, consultez Types d'opérateurs de condition.
  - condition key et condition value : Pour les clés de condition et les valeurs valides prises en charge par les politiques de clé, consultez Clés de condition de politique.

FAQ

Comment afficher le créateur du secret ?

Console : Connectez-vous à la console KMS. Sur la page Secrets, ouvrez la page de détails du secret et affichez le champ Created By.
OpenAPI : Appelez l'opération DescribeSecret. Le champ Creator dans la réponse indique le créateur du secret.