Key Management Service:Partagez des instances KMS entre plusieurs comptes

Étape 1 : Configurer Resource Directory et activer le partage organisationnel

1. Activer Resource Directory :

   1. Connectez-vous à la console

      Utilisez le compte de gestion pour vous connecter à la console Resource Management.

   2. Activez Resource Directory

      Dans le volet de navigation de gauche, accédez à Resource Directory > Enable Resource Directory, puis cliquez sur Enable Resource Directory. Pour plus d'informations, consultez la rubrique Activer Resource Directory.

   3. Créez un dossier

      Accédez à Management dans le coin supérieur droit. Dans l'arborescence du répertoire de ressources située à gauche, cliquez sur le dossier cible, puis accédez à l'onglet Resource Organization View. Toujours dans l'arborescence de gauche, cliquez sur le dossier cible, puis sur l'onglet Member. Cliquez ensuite sur Create Folder. Saisissez le Folder Name puis cliquez sur Confirm. Pour plus d'informations, consultez la rubrique Créer un dossier.

   4. Configurez les membres

      Sur l'onglet Member, cliquez sur Create Member Account ou sur Invite Member. Reportez-vous aux rubriques Créer un membre, Inviter un compte Alibaba Cloud et Déplacer un membre pour configurer le nom du compte, l'UID du compte et le compte de facturation.

      Invite Member

      Paramètre	Description
      Account ID or logon email address	ID de compte : pour trouver un ID de compte, consultez la rubrique Comment trouver mon ID de compte Alibaba Cloud ?. Adresse e-mail de connexion : l'adresse e-mail que vous avez utilisée pour enregistrer le compte. Si un compte ne possède pas d'adresse e-mail de connexion, utilisez son ID de compte. Pour inviter plusieurs comptes, saisissez leurs ID de compte ou leurs adresses e-mail de connexion, séparés par des virgules.
      Remarks	Saisissez une remarque pour l'invitation. Cela aide l'invité à vérifier l'authenticité de l'invitation et à répondre plus rapidement.
      Tag	Ajoutez un tag au membre pour faciliter le filtrage et la gestion.
      Parent Folder	Par défaut, le membre invité est placé dans le dossier Root. Vous pouvez cliquer sur Modify pour déplacer le membre vers un autre dossier. Vous pouvez également modifier le dossier après que le membre a accepté l'invitation.

      Create Member Account

      Paramètre	Description
      Account Name	Le nom du compte Alibaba Cloud est un identifiant unique pour un membre et doit être unique au sein de Resource Directory. Le nom du compte Alibaba Cloud doit comporter entre 2 et 50 caractères et peut contenir des lettres, des chiffres et des caractères spéciaux_.-. Il doit commencer et se terminer par une lettre ou un chiffre et ne peut pas contenir de caractères spéciaux consécutifs_.-.
      Member Account Name	Le nom d'affichage doit comporter entre 2 et 50 caractères et peut contenir des caractères chinois, des lettres, des chiffres et des caractères spéciaux_.-.
      Billing Account	Spécifiez le compte de facturation pour le membre nouvellement créé. Use Management Account for Settlement of New Member : utilise le compte de gestion du répertoire de ressources comme compte de facturation sous tutelle financière. Use Existing Member for Settlement of New Member : utilise un membre existant du répertoire de ressources comme compte de facturation sous tutelle financière. Dans le panneau Specify Member, vous devez sélectionner un membre dans l'arborescence du répertoire de ressources. Remarque Un membre ne peut pas être sélectionné s'il ne dispose pas de capacités de paiement. Pour plus d'informations sur les capacités de paiement des membres, consultez les sections Tutelle financière. Use New Member Itself for Settlement : utilise le membre actuel comme son propre compte de facturation.
      Tags	Associez des tags au membre pour une gestion basée sur les tags.
      Parent Folder	Par défaut, le compte invité est placé sous le dossier racine. Vous pouvez cliquer sur Modify pour changer de dossier. Vous pouvez également modifier le dossier après acceptation de l'invitation.

   5. Activez le partage de ressources

      Une fois le partage de ressources activé, le propriétaire des ressources (compte de gestion ou membre) peut partager des ressources avec l'ensemble du répertoire de ressources, avec des dossiers ou avec des membres. Pour plus d'informations, consultez la rubrique Activer le partage de ressources.

      1. Utilisez le compte de gestion du répertoire de ressources pour vous connecter à la console Resource Sharing. Dans le volet de navigation de gauche, accédez à Resource Sharing > Configure.

      2. Cliquez sur Enable, puis dans la boîte de dialogue Service-linked Role for Resource Sharing, cliquez sur OK.

         Remarque

         Le système crée automatiquement un rôle lié au service nommé AliyunServiceRoleForResourceSharing pour obtenir les informations organisationnelles du répertoire de ressources. Pour plus d'informations, consultez la rubrique Rôle lié au service pour Resource Sharing.

   Étape 2 : Configurer le partage de l'instance KMS

   Cette étape guide le propriétaire de l'instance dans le partage d'une instance KMS avec un ou plusieurs principaux.

   1. Connectez-vous à la console

      Connectez-vous à la console Key Management Service. Dans la barre de menu supérieure, sélectionnez une région. Dans le volet de navigation de gauche, cliquez sur Instances.

   2. Sélectionnez un mode de partage

      Sur la page Instances, repérez l'instance KMS cible et cliquez sur Share Resources dans la colonne Actions. Dans le panneau RD Multi-account Sharing Settings, commencez par sélectionner le Guide de sélection du mode de partage pour choisir un Sharing Model.

   3. Configurez le partage de ressources

      Dans la zone Add to Resource Share, sélectionnez ou créez un partage de ressources.

      Élément	Créer un partage de ressources (recommandé)	Sélectionner un partage de ressources existant
      Scénario	Premier partage ou lorsque l'isolation des autorisations est requise.	Lorsque vous devez ajouter l'instance actuelle à un partage de ressources existant et réutiliser ses principaux et ses autorisations.
      Fonctionnalités	Isolation des autorisations : contient uniquement l'instance KMS actuelle avec des autorisations indépendantes. Portée du contrôle : seuls les comptes nouvellement ajoutés peuvent accéder à l'instance partagée.	Partage des autorisations : Tous les principaux existants dans le partage de ressources obtiennent automatiquement l'accès à la nouvelle instance, ce qui consomme le quota de gestion des accès. Toute modification d'autorisation apportée au partage de ressources affecte toutes les ressources du partage. Portée du contrôle : les principaux existants et les comptes nouvellement ajoutés peuvent tous deux accéder à l'instance partagée. Avertissement Cela peut entraîner une élévation involontaire des privilèges et une consommation de quota. Procédez avec prudence.

   4. Configurez les paramètres de partage

      Effectuez la configuration suivante en fonction de la méthode sélectionnée, puis cliquez sur OK.

      Créer un partage de ressources (recommandé)

      • Resource Share Name

        Prend en charge les caractères chinois, les lettres majuscules et minuscules, les chiffres et les caractères spéciaux (« . », « _ » ou « - »). Longueur maximale : 50 caractères.

      • Principals (principaux de l'instance)

        Spécifiez les comptes pouvant utiliser cette instance KMS.

        Important

        • Nous vous recommandons d'ajouter des ressources par dossier ou par compte cloud pour un contrôle granulaire. Chaque ajout consomme un quota de gestion des accès de l'instance.

        • Si vous ajoutez ou supprimez des principaux dans un partage de ressources existant, les modifications s'appliquent à toutes les ressources de l'unité.

        Vous pouvez ajouter les trois types de principaux suivants :

        • Compte cloud : la ressource est partagée uniquement avec le compte Alibaba Cloud spécifié (UID).

        • Organisation du répertoire de ressources : partagez la ressource avec tous les comptes membres de l'ensemble du répertoire de ressources, y compris les membres ajoutés ultérieurement.

        • Dossier (unité organisationnelle) : saisissez un ID de dossier pour partager la ressource avec tous les membres situés sous le dossier, y compris les membres ajoutés ultérieurement. Format de l'ID de dossier : fd-string. Pour plus d'informations sur la consultation des informations relatives aux dossiers, consultez la rubrique Informations de base sur les dossiers.

      • Add Permissions

        Configurez les autorisations pour les principaux de ressources (principaux de l'instance). Pour obtenir des informations détaillées sur les autorisations, consultez la bibliothèque d'autorisations dans la console Resource Sharing.

        • AliyunRSDefaultPermissionKMSInstance (recommandé) : deux versions (v1 et v2) sont disponibles. Les autorisations nouvellement créées utilisent par défaut la version v2. Pour plus d'informations sur la consultation de la version d'autorisation, consultez la rubrique Afficher les détails d'une autorisation.

        • AliyunRSPermissionKMSInstanceReadWrite (obsolète) : si vous utilisiez précédemment cette autorisation, vous pouvez continuer à l'utiliser.

      Sélectionner un partage de ressources existant

      • Select Resource Share

        Le système synchronise tous les partages de ressources sous le compte actuel. Pour plus d'informations, consultez la rubrique Créer un partage de ressources.

      • Shared Resources

        Cette liste affiche automatiquement les ressources existantes dans le partage de ressources sélectionné (lecture seule). Après cette opération, l'instance KMS actuelle est ajoutée au partage de ressources.

      • Principals (principaux de l'instance)

        Spécifiez les comptes pouvant utiliser cette instance KMS.

        Important

        • Nous vous recommandons d'ajouter des ressources par dossier ou par compte cloud pour un contrôle granulaire. Chaque ajout consomme un quota de gestion des accès de l'instance.

        • Si vous ajoutez ou supprimez des principaux dans un partage de ressources existant, les modifications s'appliquent à toutes les ressources de l'unité.

        Vous pouvez ajouter les trois types de principaux suivants :

        • Compte cloud : la ressource est partagée uniquement avec le compte Alibaba Cloud spécifié (UID).

        • Organisation du répertoire de ressources : partagez la ressource avec tous les comptes membres de l'ensemble du répertoire de ressources, y compris les membres ajoutés ultérieurement.

        • Dossier (unité organisationnelle) : saisissez un ID de dossier pour partager la ressource avec tous les membres situés sous le dossier, y compris les membres ajoutés ultérieurement. Format de l'ID de dossier : fd-string. Pour plus d'informations sur la consultation des informations relatives aux dossiers, consultez la rubrique Informations de base sur les dossiers.

      • Add Permissions

        Configurez les autorisations pour les principaux de ressources (principaux de l'instance). Pour obtenir des informations détaillées sur les autorisations, consultez la bibliothèque d'autorisations dans la console Resource Sharing.

        • AliyunRSDefaultPermissionKMSInstance (recommandé) : deux versions (v1 et v2) sont disponibles. Les autorisations nouvellement créées utilisent par défaut la version v2. Pour plus d'informations sur la consultation de la version d'autorisation, consultez la rubrique Afficher les détails d'une autorisation.

        • AliyunRSPermissionKMSInstanceReadWrite (obsolète) : si vous utilisiez précédemment cette autorisation, vous pouvez continuer à l'utiliser.

   Utiliser l'instance partagée (principal de l'instance)

   Vérifiez que le partage a réussi, puis créez et utilisez des clés/secrets dans l'instance partagée.

   1. Connectez-vous à la console

      Connectez-vous à la console Key Management Service. Sur la page Instances, vous pouvez voir une instance KMS avec l'étiquette Shared.

   2. Créez des clés et des secrets

      Sur l'onglet Keys ou Secrets, cliquez sur Create Key ou sur Create Secret. Pour KMS Instance, sélectionnez l'instance partagée. Pour les autres configurations, consultez les rubriques Créer une clé et Créer un secret.

   3. Accordez des autorisations aux utilisateurs RAM :

      Le principal de la ressource doit configurer une politique RAM pour ses identités RAM (utilisateurs ou rôles) afin d'accorder des autorisations pour appeler des opérations API KMS spécifiques (telles que kms:Encrypt, kms:Decrypt). Pour plus d'informations, consultez la rubrique Utiliser RAM pour implémenter le contrôle d'accès.

   4. Utilisez les clés et les secrets

      Une fois les clés et les secrets créés, vous pouvez les utiliser dans les services cloud ou les applications auto-gérées. Pour plus d'informations, consultez :

      • Chiffrement côté serveur pour les services cloud : Vue d'ensemble de l'intégration du chiffrement KMS avec les services cloud Services cloud intégrés à KMS.

      • Intégration des secrets des services cloud : Intégration des secrets KMS avec les services Alibaba Cloud.

      • Intégration d'applications auto-gérées avec KMS (clés et secrets) : Intégrer KMS avec des applications auto-gérées.

   Gestion et maintenance

   Modifier les principaux de ressources d'un partage de ressources

   • Effectuer des opérations dans la console Key Management Service

     1. Le propriétaire de l'instance doit se connecter à la console Key Management Service. Dans la barre de menu supérieure, sélectionnez une région. Dans le volet de navigation de gauche, cliquez sur Instances.

     2. Sur la page Instances, selon le type d'instance KMS, cliquez sur l'onglet Software Key Management ou sur l'onglet Hardware Key Management.

     3. Localisez l'instance KMS cible et cliquez sur Actions/Share Resources.

     4. Dans le panneau Add to Resource Share dans la section Principals, ajoutez ou supprimez les principaux de ressources, puis cliquez sur Edit.

   • Effectuer des opérations dans la console Resource Sharing

     Pour plus d'informations, consultez la rubrique Modifier un partage de ressources.

   Supprimer les relations de partage d'instances KMS

   Important

   • Avant de révoquer le partage, le principal de l'instance doit supprimer toutes les clés et tous les secrets qu'il a créés. Sinon, la révocation échouera. Assurez-vous que les ressources associées ne sont plus utilisées afin d'éviter toute interruption de service.

   • Les opérations ne peuvent être effectuées que dans la console Resource Sharing.

   1. Utilisez le compte de gestion pour vous connecter à la console Resource Sharing.

   2. Dans le volet de navigation de gauche, choisissez OK > Resource Sharing.Dans la liste des partages de ressources, cliquez sur l'ID du partage de ressources cible.

   3. Dans le coin supérieur droit de la page, cliquez sur Resources I Share.Dans la boîte de dialogue Delete Resource Share, cliquez sur Delete Resource Share.

   Consulter les journaux d'opérations

   Le propriétaire de l'instance peut utiliser ActionTrail ou la console KMS pour interroger les journaux d'opérations relatifs aux clés et aux secrets de l'instance KMS partagée, à des fins d'audit.

   Important

   Vous pouvez uniquement consulter les journaux d'opérations du SDK Alibaba Cloud (telles que le chiffrement, le déchiffrement et la récupération de secrets). Les opérations de gestion (telles que la création de clés et la modification du statut des clés) ne sont pas visibles.

   ActionTrail

   • Portée : Vous pouvez uniquement consulter les opérations métier effectuées via les passerelles partagées.

   • Procédure :

     1. Connectez-vous à la console ActionTrail. Dans le volet de navigation de gauche, choisissez Event Query.

     2. Dans la barre de navigation supérieure, sélectionnez la région où est déployée l'instance KMS partagée.

     3. Définissez la condition de requête sur Resource Name et saisissez l'ID de la clé ou du secret créé sous l'instance partagée.

   OK

   • Portée : Permet de consulter les opérations métier effectuées via les passerelles dédiées et les passerelles partagées.

   • Procédure :

     1. Connectez-vous à la console Key Management Service. Dans la barre de navigation supérieure, sélectionnez une région. Dans le volet de navigation de gauche, choisissez Simple Log Service for KMS > Security Operations.

     2. Dans la barre de navigation supérieure, sélectionnez la région où est déployée l'instance KMS partagée.

     3. Sélectionnez l'ID de l'instance partagée et cliquez sur Simple Log Service for KMS.

        Remarque

        Si le service de journalisation n'est pas activé pour l'instance actuelle, commencez par activer Simple Log Service for KMS.

   Bonnes pratiques pour les environnements de production

   Lors du déploiement et de l'utilisation d'instances partagées dans des environnements de production, respectez ces consignes afin de garantir la stabilité, la sécurité et la conformité du système.

   • Connectivité réseau

     Si les principaux de l'instance déploient des applications autogérées dans un VPC et doivent accéder à KMS via une passerelle privée, le propriétaire de l'instance doit lier le VPC auquel appartiennent les principaux de l'instance à l'instance KMS partagée pour un accès au réseau privé. Pour plus d'informations, consultez la rubrique Configurer l'accès multi-VPC aux instances KMS au sein d'une même région.

   • Audit et conformité

     • Propriétaire de l'instance : doit activer ActionTrail pour enregistrer toutes les opérations de gestion sur l'instance partagée ainsi que les opérations critiques effectuées par les principaux.

     • Principaux de l'instance : Nous vous recommandons d'activer ActionTrail pour enregistrer toutes les activités d'appels API au sein de votre compte.

   • Gestion des changements :

     • Révoquer le partage : Avant de révoquer une relation de partage ou de supprimer un partage de ressources, le principal de l'instance doit supprimer toutes les clés et tous les secrets créés dans l'instance partagée. Si des ressources subsistent, la révocation échouera. Assurez-vous que les ressources associées ne sont plus utilisées afin d'éviter toute interruption de service. Pour plus d'informations, consultez la rubrique Supprimer les relations de partage d'instances KMS.

     • Modifier les principaux de l'instance : L'ajout ou la suppression de principaux dans un partage de ressources affecte toutes les ressources partagées contenues dans ce partage. Afin d'éviter toute confusion liée aux autorisations, nous vous recommandons de créer des partages de ressources distincts pour différents scénarios métier ou équipes. Pour plus d'informations, consultez la rubrique Modifier les principaux de ressources d'un partage de ressources.

   Quotas et limites

   • Limites des fonctionnalités

     • Les clés par défaut (telles que les clés alias/acs/oss) ne peuvent pas être partagées.

     • Les principaux de l'instance ne peuvent pas utiliser une instance KMS partagée entre différentes régions.

     • En mode Joint ownership : Tous les noms de clés et de secrets au sein de l'instance doivent être globalement uniques.

   • Limites de quota de gestion des accès

     Les instances KMS partagées consomment le quota de gestion des accès du propriétaire de l'instance. Si le quota est insuffisant, mettez à niveau l'instance KMS sans délai.

     Important

     • Calcul du quota :Quota consommé = Nombre de comptes partagés + Nombre de VPC liés.

       Par exemple, si vous partagez une instance avec 3 comptes et liez 2 VPC, le quota total consommé est de 5.

     • Description de la modification du quota : Si l'ajout de principaux de ressources échoue en raison d'un quota insuffisant, le système ne tente pas automatiquement de nouveau après augmentation du quota de l'instance. Vous devez supprimer manuellement les principaux (compte ou dossier) du partage de ressources, puis les ajouter à nouveau.

   FAQ

   • Après la configuration, si les principaux de l'instance reçoivent des erreurs « AccessDenied » ou « Forbidden » lors de l'appel d'API, comment résoudre le problème ?

     Vérifiez les quatre configurations d'autorisation suivantes dans l'ordre :

     1. Autorisations de partage de ressources : Dans la console Resource Sharing : Confirmez que le compte principal a été ajouté au partage de ressources et que le statut du partage est normal.

     2. Autorisations de l'instance KMS : Vérifiez si l'autorisation associée au partage de ressources est bien AliyunRSDefaultPermissionKMSInstance.

     3. Autorisations d'appel RAM : Confirmez que l'utilisateur RAM ou le rôle RAM qui appelle l'opération d'API s'est vu attribuer une stratégie RAM permettant d'accéder à KMS. Par exemple, les autorisations d'opération kms:Encrypt et kms:Decrypt.

     4. Propriété des ressources : En mode Independent ownership : Confirmez que la clé ou le secret sur lequel l'opération est effectuée a été créé par le principal de l'instance actuel.

   • Pourquoi recevoir une erreur de conflit de nom lors de la création d'un secret en mode de propriété conjointe ?

     En mode Next : Tous les noms de clés et de secrets dans l'instance KMS doivent être uniques. Le propriétaire de l'instance et les principaux ne peuvent pas créer de ressources portant le même nom.

     • Solution 1 : Modifiez le nom du secret.

     • Solution 2 : Si votre scénario métier nécessite des clés ou des secrets portant le même nom entre plusieurs comptes, basculez le mode de partage vers le mode « Joint Ownership ».

       Avertissement

       Cette modification ne peut être effectuée que du mode « Joint ownership » vers le mode « Independent ownership » et est irréversible. Évaluez attentivement l'impact avant de procéder.

   Annexe : Détails des permissions en mode de partage

   Le tableau suivant répertorie les autorisations d'opération du propriétaire de l'instance et des principaux de l'instance pour chaque fonctionnalité dans les deux modes de partage.

   Remarque

   Pris en charge indique que la fonctionnalité est prise en charge.Non pris en charge indique que la fonctionnalité n'est pas prise en charge.

   Independent Ownership

   Fonctionnalité	Sous-fonctionnalité	Propriétaire de l'instance	Principaux de l'instance
   Gestion de l'instance	Consulter les détails de l'instance KMS	Pris en charge	Non pris en charge
   	Configurer l'accès multi-VPC à l'instance KMS
   	Mettre à niveau l'instance
   	Renouveler l'instance
   	Supprimer l'association de partage
   Gestion des clés	Créer une clé	Pris en charge	Pris en charge
   	Consulter les métadonnées de la clé	Pris en charge Remarque Toutes les clés sont prises en charge, y compris celles créées par les principaux de l'instance.	Pris en charge Remarque Seules les clés créées par les principaux de l'instance sont prises en charge.
   	Configurer la rotation des clés
   	Planifier la suppression de la clé
   	Activer la protection contre la suppression
   	Créer et gérer les alias de clé
   	Ajouter et gérer les tags de clé
   Opérations cryptographiques	Aucune
   Gestion des secrets	Créer un secret	Pris en charge	Pris en charge
   	Consulter les métadonnées du secret	Pris en charge Remarque Tous les secrets sont pris en charge, y compris ceux créés par les principaux de l'instance.	Pris en charge Remarque Seuls les secrets créés par les principaux de l'instance sont pris en charge.
   	Supprimer un secret
   	Configurer la rotation des secrets
   	Ajouter et gérer les tags de secret
   Obtenir la valeur du secret	Aucune
   Gestion des sauvegardes	Aucune	Pris en charge Remarque Toutes les clés et tous les secrets peuvent être sauvegardés, y compris ceux créés par les principaux de l'instance.	Non pris en charge
   Accès aux applications	Créer un point d'accès d'application	Pris en charge	Pris en charge

   Joint Ownership

   Fonctionnalité	Sous-fonctionnalité	Propriétaire de l'instance	Principaux de l'instance
   Gestion de l'instance	Consulter les détails de l'instance KMS	Pris en charge	Non pris en charge
   	Configurer l'accès multi-VPC à l'instance KMS
   	Mettre à niveau l'instance
   	Renouveler l'instance
   	Supprimer l'association de partage
   Gestion des clés	Créer une clé	Pris en charge	Pris en charge
   	Consulter les métadonnées de la clé	Pris en charge Remarque Seules les clés créées par le propriétaire de l'instance sont prises en charge.	Pris en charge Remarque Seules les clés créées par les principaux de l'instance sont prises en charge.
   	Configurer la rotation des clés
   	Planifier la suppression de la clé
   	Activer la protection contre la suppression
   	Créer et gérer les alias de clé
   	Ajouter et gérer les tags de clé
   Opérations cryptographiques	Aucune
   Gestion des secrets	Créer un secret	Pris en charge	Pris en charge
   	Consulter les métadonnées du secret	Pris en charge Remarque Seules les clés créées par le propriétaire de l'instance sont prises en charge.	Pris en charge Remarque Seuls les secrets créés par les principaux de l'instance sont pris en charge.
   	Supprimer un secret
   	Configurer la rotation des secrets
   	Ajouter et gérer les tags de secret
   Obtenir la valeur du secret	Aucune
   Gestion des sauvegardes	Aucune	Pris en charge Remarque Seules les clés créées par le propriétaire de l'instance peuvent être sauvegardées.	Non pris en charge
   Accès aux applications	Créer un point d'accès d'application	Pris en charge	Pris en charge