Créez une paire de clés AccessKey pour un utilisateur Resource Access Management (RAM) ou un compte Alibaba Cloud afin d'authentifier l'accès programmatique aux API Alibaba Cloud.
Qu'est-ce qu'une paire de clés AccessKey ?
Une paire de clés AccessKey se compose d'un AccessKey ID et d'un AccessKey secret, utilisés conjointement pour authentifier les requêtes programmatiques adressées à Alibaba Cloud.
AccessKey ID : identifiant public et unique associé à votre paire de clés AccessKey.
AccessKey secret : clé privée utilisée pour signer les requêtes API. La signature permet de vérifier l'authenticité et l'intégrité de la requête. Gardez votre AccessKey secret strictement confidentiel.
Afin de réduire les risques de fuite, l'AccessKey secret n'est affiché qu'une seule fois lors de sa création et ne peut pas être récupéré ultérieurement.
Comment utiliser une paire de clés AccessKey
Utilisez une paire de clés AccessKey pour appeler les API Alibaba Cloud via la CLI, les SDK ou Terraform.
Alibaba Cloud propose également des alternatives plus sécurisées reposant sur des informations d'identification de sécurité temporaires (jetons STS). Pour plus de détails, consultez la rubrique Scénarios de développement d'applications.
Si vous devez absolument utiliser une paire de clés AccessKey, appliquez la bonne pratique suivante : Stocker et utiliser correctement les paires de clés AccessKey inévitables.
Fonctionnement d'une paire de clés AccessKey
Resource Access Management (RAM) génère l'AccessKey ID et l'AccessKey secret de manière algorithmique. Alibaba Cloud les chiffre aussi bien lors du stockage que pendant leur transmission.
Lorsqu'une application envoie une requête, celle-ci inclut l'AccessKey ID ainsi qu'une signature dérivée de l'AccessKey secret. Alibaba Cloud utilise ces éléments pour authentifier l'expéditeur et vérifier l'intégrité de la requête. Pour en savoir plus sur le mécanisme de signature utilisé par Alibaba Cloud, consultez la rubrique Corps de la requête et mécanisme de signature pour V3.
Créer une clé AccessKey pour un utilisateur RAM
Suivez les étapes ci-dessous en tant qu'administrateur RAM (utilisateur disposant de la stratégie AliyunRAMFullAccess). Si votre compte ne contient aucun utilisateur RAM, consultez la rubrique Créer un utilisateur RAM.
La procédure permettant à un utilisateur RAM de créer sa propre paire de clés AccessKey est identique à celle décrite pour la création d'une paire de clés AccessKey pour un compte Alibaba Cloud. Avant qu'un utilisateur RAM puisse créer sa propre paire de clés AccessKey, le propriétaire du compte Alibaba Cloud doit activer l'option Allow users to manage AccessKey. À défaut, l'utilisateur RAM ne verra pas l'option de création de clé. Pour plus d'informations, consultez la rubrique Gérer les paramètres de sécurité des utilisateurs RAM.
Console
Connectez-vous à la console RAM. Dans le volet de navigation de gauche, choisissez .
Dans la liste des utilisateurs, repérez l'RAM User concerné et cliquez sur son nom d'utilisateur.
-
Sous l'onglet Credential , dans la section AccessKey, cliquez sur Create AccessKey.
RemarqueChaque utilisateur RAM peut disposer d'au maximum deux paires de clés AccessKey. L'une sert à l'utilisation active et la seconde à la rotation des clés.
Dans la boîte de dialogue qui s'affiche, prenez connaissance des cas d'utilisation et des recommandations. Suivez les recommandations pour choisir une solution d'authentification plus adaptée. Si vous devez impérativement créer une paire de clés AccessKey, sélectionnez un cas d'utilisation, cochez la case I confirm that it is necessary to create an AccessKey , puis cliquez sur Continue. Le cas d'utilisation sélectionné n'affecte pas la paire de clés AccessKey créée.
Effectuez la vérification de sécurité selon les instructions affichées.
-
Dans la boîte de dialogue Create AccessKey , enregistrez l'AccessKey ID et l'AccessKey secret, puis cliquez sur OK.
(Facultatif) Configurer une stratégie de liste de contrôle d'accès (ACL) réseau pour la clé AccessKey : vous pouvez restreindre les adresses IP source des requêtes API utilisant cette paire de clés AccessKey. Cette mesure améliore la sécurité en garantissant que la paire de clés n'est utilisée qu'à partir d'environnements réseau approuvés. Nous vous recommandons de cliquer sur Configure network access policy pour définir les environnements réseau approuvés pour cette paire de clés AccessKey. Pour plus d'informations, consultez la rubrique Configurer une stratégie de liste de contrôle d'accès (ACL) réseau pour la clé AccessKey d'un utilisateur RAM.
Dans les recommandations de sécurité, vous pouvez également définir la durée maximale d'inactivité pour la paire de clés AccessKey (recommandation : désactivation automatique après 90 jours d'inactivité). Cliquez sur Go to Settings pour configurer.
ImportantAfin de réduire les risques de fuite, l'AccessKey secret n'est affiché qu'une seule fois lors de sa création et ne peut pas être récupéré ultérieurement.
API
Appelez l'opération CreateAccessKey et spécifiez le paramètre suivant :
UserPrincipalName: nom de connexion de l'utilisateur RAM, par exemple test@example.onaliyun.com. Vous trouverez ce nom de connexion dans la console RAM.
Afin de réduire les risques de fuite, l'AccessKey secret n'est renvoyé que dans la réponse de l'opération CreateAccessKey . Il ne peut pas être récupéré ultérieurement.
Créer une clé AccessKey pour un compte Alibaba Cloud (déconseillé)
Sauf nécessité absolue, nous vous recommandons vivement de ne pas créer ni utiliser de paire de clés AccessKey pour votre compte Alibaba Cloud. Avant de poursuivre, évaluez si vous pouvez utiliser à la place la paire de clés AccessKey d'un utilisateur RAM.
Connectez-vous à la console Alibaba Cloud avec votre compte Alibaba Cloud.
Placez le curseur sur votre photo de profil dans le coin supérieur droit et cliquez sur AccessKey.
Dans la boîte de dialogue We do not recommend that you use the AccessKey of your Alibaba Cloud account , prenez connaissance des risques liés à la création d'une paire de clés AccessKey pour votre compte Alibaba Cloud. Si vous devez impérativement poursuivre, cochez la case I am aware of the security risks of using a main account AccessKey. , puis cliquez sur Continue to use the AccessKey of my Alibaba Cloud account.
-
Sur la page AccessKey, cliquez sur Create AccessKey.
RemarqueUn compte Alibaba Cloud peut disposer d'au maximum deux paires de clés AccessKey. L'une sert à l'utilisation active et la seconde à la rotation des clés.
Dans la boîte de dialogue Create Main Account AccessKey , examinez à nouveau les risques et les limitations. Si vous êtes certain de vouloir créer la paire de clés AccessKey, cochez la case I am aware of the security risks of using a main account AccessKey. , puis cliquez sur Continue to use the AccessKey of my Alibaba Cloud account.
-
Dans la boîte de dialogue Create AccessKey , enregistrez l'AccessKey ID et l'AccessKey secret. Cochez ensuite la case I have saved the AccessKey Secret et cliquez sur OK.
(Recommandé) Configurer une stratégie de liste de contrôle d'accès (ACL) réseau pour la clé AccessKey : vous pouvez restreindre les adresses IP source des requêtes API utilisant cette paire de clés AccessKey. Cette mesure améliore la sécurité en garantissant que la paire de clés n'est utilisée qu'à partir d'environnements réseau approuvés. Nous vous recommandons de cliquer sur Configure network access policy pour définir les environnements réseau approuvés pour cette paire de clés AccessKey. Pour plus d'informations, consultez la rubrique Configurer une stratégie de liste de contrôle d'accès (ACL) réseau pour la clé AccessKey d'un compte Alibaba Cloud.
ImportantAfin de réduire les risques de fuite, l'AccessKey secret d'un compte Alibaba Cloud n'est affiché qu'une seule fois lors de sa création et ne peut pas être récupéré ultérieurement.