Key Management Service:Gérer et utiliser les secrets ECS

Rotation des secrets ECS

Lors d'une rotation de secret ECS (planifiée ou immédiate), Secrets Manager envoie une commande de rotation à Cloud Assistant. Ce dernier invoque un plugin sur l'instance ECS pour finaliser l'opération. Une fois la rotation réussie, utilisez le nouveau secret pour vous connecter à l'instance ECS.

Remarques d'utilisation

• Pour utiliser les secrets ECS, accordez à KMS les autorisations nécessaires pour gérer les mots de passe et les paires de clés SSH de vos instances ECS. Lors de la connexion à une instance ECS, récupérez le secret correspondant depuis KMS.

• Une fois les mots de passe ou les paires de clés SSH d'un compte ECS stockés dans KMS, ne les modifiez ni ne les supprimez dans Elastic Compute Service (ECS) afin d'éviter toute interruption de service.

• Ne stockez pas un même mot de passe ou une même paire de clés SSH d'une instance ECS dans plusieurs secrets ECS. La rotation des secrets met à jour le mot de passe ou la paire de clés SSH. Si un secret subit une rotation, les valeurs contenues dans les autres secrets deviennent obsolètes, ce qui empêche la connexion à l'instance avec ceux-ci.

Limites

Sur les systèmes Linux, vous pouvez faire tourner les mots de passe et les paires de clés SSH. Sur les systèmes Windows, seule la rotation des mots de passe est possible.

Avant de commencer

• Achetez et activez une instance KMS. Pour plus d'informations, consultez Acheter et activer une instance KMS.

• Créez une clé symétrique dans l'instance KMS pour chiffrer les secrets. Pour plus d'informations, consultez Créer une clé.

• Créez une instance ECS. Pour plus d'informations, consultez Créer une instance ECS.

• Si vous utilisez un utilisateur RAM ou un rôle RAM pour gérer les secrets ECS, assurez-vous que votre compte Alibaba Cloud a attaché la stratégie système AliyunKMSSecretAdminAccess à l'utilisateur RAM ou au rôle RAM. Pour plus d'informations, consultez Gérer les autorisations des utilisateurs RAM ou Gérer les autorisations d'un rôle RAM.

Étape 1 : Créer un secret ECS

Configurez une rotation périodique automatique lors de la création d'un identifiant afin de réduire les risques de sécurité liés aux fuites d'identifiants.

1. Connectez-vous à la console Key Management Service. Dans la barre de navigation supérieure, sélectionnez une région. Dans le volet de navigation de gauche, choisissez Resources > Secrets.

2. Cliquez sur l'onglet ECS Secrets . Sélectionnez un Instance ID , puis cliquez sur Create ECS Secret . Configurez les paramètres et cliquez sur OK .

   Paramètre	Description
   Secret Name	Nom d'identifiant personnalisé. Il doit être unique au sein de la région actuelle.
   Managed Instance	Sélectionnez une instance ECS sous votre compte Alibaba Cloud.
   Managed User	Saisissez le nom d'utilisateur d'un utilisateur existant sur l'instance ECS, par exemple root (Linux) ou Administrator (Windows).
   Initial Secret Value	La valeur de l'identifiant ne doit pas dépasser 30 720 octets (30 Ko). Mot de passe : Mot de passe de connexion de l'utilisateur sur l'instance ECS. Paire de clés : Paire de clés SSH utilisée pour se connecter à l'instance ECS. Obtenir une paire de clés SSH Utiliser une paire de clés SSH créée dans ECS Clé privée : Après la création d'une paire de clés SSH dans ECS, la clé privée est automatiquement téléchargée sur votre ordinateur local sous le nom key-pair-name.pem. Clé publique : Pour plus d'informations, consultez la documentation relative à l'affichage des clés publiques SSH. Générer une paire de clés SSH localement Générez et enregistrez les clés privée et publique. Par exemple, utilisez la commande ssh-keygen pour générer une paire de clés RSA de 3 072 bits : ssh-keygen -t RSA -b 3072 -m PEM -f ~/.ssh/sshKey_demo -N "" Les fichiers suivants sont générés : ~/.ssh/sshKey_demo : stocke la clé privée. ~/.ssh/sshKey_demo.pub : stocke la clé publique. Remarque La valeur de l'identifiant doit être correctement configurée. Si la valeur de l'identifiant est incorrecte, le mot de passe ou la paire de clés récupéré(e) depuis KMS ne pourra pas être utilisé(e) pour se connecter à l'instance ECS avant la première rotation de l'identifiant.
   CMK	Sélectionnez la clé symétrique utilisée pour chiffrer la valeur de l'identifiant. La clé et l'identifiant doivent appartenir à la même instance KMS. Important La clé et l'identifiant doivent appartenir à la même instance KMS, et la clé doit être une clé symétrique. Pour plus d'informations sur les clés symétriques prises en charge par KMS, consultez Types et spécifications de clés. Si un utilisateur RAM ou un rôle RAM est utilisé, il doit disposer des autorisations nécessaires pour exécuter l'opération GenerateDataKey à l'aide de la clé maître de chiffrement.
   Tags	Ajoutez des tags à l'identifiant pour le classer. Chaque tag se compose d'une paire clé-valeur. Remarque Format d'une clé de tag et d'une valeur de tag : Une clé de tag ou une valeur de tag peut comporter jusqu'à 128 caractères et contenir des lettres, des chiffres, des barres obliques (/), des barres obliques inverses (\), des traits de soulignement (_), des tirets (-), des points (.), des signes plus (+), des signes égal (=), des deux-points (:), des arobases (@) et des espaces. Une clé de tag ne peut pas commencer par aliyun ou acs:. Chaque identifiant prend en charge jusqu'à 20 paires clé-valeur de tags.
   Automatic Rotation	Indiquez si vous souhaitez activer la rotation automatique. Lorsqu'elle est activée, KMS met régulièrement à jour la valeur de l'identifiant afin de réduire les risques de fuite d'identifiants.
   Rotation Period	Définissez ce paramètre uniquement lorsque la rotation automatique est activée. Valeurs valides : de 1 heure à 365 jours. Spécifie l'intervalle de rotation. KMS met régulièrement à jour la valeur de l'identifiant en fonction de ce paramètre.
   Description	Description facultative de l'identifiant à des fins d'identification et de gestion.
   Advanced Settings > Policy Settings	Définissez la stratégie d'accès pour l'identifiant afin de contrôler quels utilisateurs ou rôles RAM peuvent le lire ou le modifier. Vous pouvez sélectionner la stratégie par défaut dans un premier temps et la modifier ultérieurement selon vos besoins.

   Remarque

   Lors de la création d'un secret, le système crée automatiquement le rôle lié au service AliyunServiceRoleForKMSSecretsManagerForECS et attache la stratégie d'autorisation AliyunServiceRolePolicyForKMSSecretsManagerForECS à ce rôle. Secrets Manager assume ce rôle pour gérer vos secrets ECS et exécuter les tâches de rotation des mots de passe et des paires de clés SSH ECS. Connectez-vous à la console RAM pour afficher les détails des rôles liés au service et des stratégies d'autorisation. Pour plus d'informations, consultez Afficher un rôle RAM et Afficher les détails de la stratégie d'autorisation.

Étape 2 : Intégrer le secret ECS

KMS met à votre disposition le SDK Alibaba Cloud, les SDK d'instance KMS et le client Secrets Manager pour récupérer les valeurs des secrets et intégrer les secrets ECS dans vos applications. Nous vous recommandons d'utiliser le client Secrets Manager. Celui-ci encapsule la mise en cache des secrets, les bonnes pratiques et les modèles de conception afin de simplifier l'intégration. Pour plus d'informations, consultez Client Secrets Manager. Pour obtenir des informations détaillées sur chaque SDK, consultez Référence SDK.

Autres opérations

FAQ

• Le message « Your secret is being rotated, please try again later »

• Le statut indisponible ou l'erreur « Rejected.Unavailable »

Documents connexes

• Intégrer les secrets KMS avec les services Alibaba Cloud

• Intégrer les secrets ECS dans Bastionhost