Créez une paire de clés AccessKey pour un utilisateur Resource Access Management (RAM) ou un compte Alibaba Cloud afin d'authentifier l'accès programmatique aux API Alibaba Cloud.
Qu'est-ce qu'une paire de clés AccessKey ?
Une paire de clés AccessKey se compose d'un ID de clé AccessKey et d'un secret de clé AccessKey, utilisés conjointement pour authentifier les requêtes programmatiques adressées à Alibaba Cloud.
ID de clé AccessKey : identifiant public et unique de votre paire de clés AccessKey.
Secret de clé AccessKey : clé privée utilisée pour signer les requêtes API. La signature permet de vérifier l'authenticité et l'intégrité de la requête. Vous devez garder votre secret de clé AccessKey strictement confidentiel.
Afin de réduire le risque de fuite, le secret de clé AccessKey n'est affiché qu'une seule fois lors de la création et ne peut pas être récupéré par la suite.
Comment utiliser une paire de clés AccessKey
Utilisez une paire de clés AccessKey pour appeler les API Alibaba Cloud via la CLI, les SDK ou Terraform.
Alibaba Cloud propose également des alternatives plus sécurisées basées sur des informations d'identification de sécurité temporaires (jetons STS). Pour plus de détails, consultez la section Scénarios de développement d'applications.
Si vous devez absolument utiliser une paire de clés AccessKey, appliquez la bonne pratique suivante : Stocker et utiliser correctement les paires de clés AccessKey inévitables.
Fonctionnement d'une paire de clés AccessKey
Resource Access Management (RAM) génère l'ID de clé AccessKey et le secret de clé AccessKey de manière algorithmique. Alibaba Cloud les chiffre aussi bien lors du stockage que pendant la transmission.
Lorsqu'une application envoie une requête, elle inclut l'ID de clé AccessKey ainsi qu'une signature dérivée du secret de clé AccessKey. Alibaba Cloud utilise ces éléments pour authentifier l'expéditeur et vérifier l'intégrité de la requête. Pour en savoir plus sur le mécanisme de signature utilisé par Alibaba Cloud, consultez la rubrique Corps de la requête et mécanisme de signature pour V3.
Créer une clé AccessKey pour un utilisateur RAM
Suivez les étapes ci-dessous en tant qu'administrateur RAM (utilisateur disposant de la stratégie AliyunRAMFullAccess). Si votre compte ne contient aucun utilisateur RAM, consultez la page Créer un utilisateur RAM.
La procédure permettant à un utilisateur RAM de créer sa propre paire de clés AccessKey est identique à celle décrite pour la création d'une paire de clés AccessKey pour un compte Alibaba Cloud. Avant qu'un utilisateur RAM puisse créer sa propre paire de clés AccessKey, le propriétaire du compte Alibaba Cloud doit activer l'option Allow users to manage AccessKey. Sans cette activation, l'utilisateur RAM ne verra pas l'option de création de clé. Pour plus d'informations, consultez la rubrique Gérer les paramètres de sécurité des utilisateurs RAM.
Console
Connectez-vous à la console RAM. Dans le volet de navigation de gauche, choisissez .
Dans la liste des utilisateurs, repérez l'RAM User concerné et cliquez sur son nom d'utilisateur.
-
Sous l'onglet Credential, dans la section AccessKey, cliquez sur Create AccessKey.
RemarqueChaque utilisateur RAM peut disposer d'au maximum deux paires de clés AccessKey. L'une est destinée à une utilisation active, tandis que la seconde sert au renouvellement.
Dans la boîte de dialogue qui s'affiche, lisez les cas d'utilisation et les recommandations. Suivez les conseils proposés pour choisir une solution d'identification plus adaptée. Si vous devez impérativement créer une paire de clés AccessKey, sélectionnez un cas d'utilisation, cochez la case I confirm that it is necessary to create an AccessKey, puis cliquez sur Continue. Le cas d'utilisation sélectionné n'a aucune incidence sur la paire de clés AccessKey créée.
Effectuez la vérification de sécurité comme indiqué.
-
Dans la boîte de dialogue Create AccessKey, enregistrez l'ID de clé AccessKey et le secret de clé AccessKey, puis cliquez sur OK.
(Facultatif) Configurer une stratégie de liste de contrôle d'accès (ACL) réseau pour la clé AccessKey : vous pouvez restreindre les adresses IP source des requêtes API utilisant cette paire de clés AccessKey. Cette mesure améliore la sécurité en garantissant que la paire de clés n'est utilisée qu'à partir d'environnements réseau de confiance. Nous vous recommandons de cliquer sur Configure network access policy afin de définir les environnements réseau de confiance pour cette paire de clés AccessKey. Pour plus d'informations, consultez la rubrique Configurer une stratégie de liste de contrôle d'accès (ACL) réseau pour la clé AccessKey d'un utilisateur RAM.
Dans les recommandations de sécurité, vous pouvez également définir la durée maximale d'inactivité de la paire de clés AccessKey (il est recommandé de la désactiver automatiquement après 90 jours d'inactivité). Cliquez sur Go to Settings pour configurer.
ImportantAfin de réduire le risque de fuite, le secret de clé AccessKey n'est affiché qu'une seule fois lors de la création et ne peut pas être récupéré par la suite.
API
Appelez l'opération CreateAccessKey et spécifiez le paramètre suivant :
UserPrincipalName: nom de connexion de l'utilisateur RAM, par exemple test@example.onaliyun.com. Vous trouverez ce nom de connexion dans la console RAM.
Afin de réduire le risque de fuite, le secret de clé AccessKey n'est renvoyé que dans la réponse de l'opération CreateAccessKey et ne peut pas être récupéré ultérieurement.
Créer une clé AccessKey pour un compte Alibaba Cloud (non recommandé)
Sauf nécessité absolue, nous vous recommandons vivement de ne pas créer ni utiliser de paire de clés AccessKey pour votre compte Alibaba Cloud. Avant de poursuivre, évaluez si vous pouvez utiliser à la place la paire de clés AccessKey d'un utilisateur RAM.
Connectez-vous à la console Alibaba Cloud avec votre compte Alibaba Cloud.
Placez le curseur sur votre photo de profil dans le coin supérieur droit et cliquez sur AccessKey.
Dans la boîte de dialogue We do not recommend that you use the AccessKey of your Alibaba Cloud account, prenez connaissance des risques liés à la création d'une paire de clés AccessKey pour votre compte Alibaba Cloud. Si vous devez absolument continuer, cochez la case I am aware of the security risks of using a main account AccessKey., puis cliquez sur Continue to use the AccessKey of my Alibaba Cloud account.
-
Sur la page AccessKey, cliquez sur Create AccessKey.
RemarqueUn compte Alibaba Cloud peut disposer d'au maximum deux paires de clés AccessKey. L'une est destinée à une utilisation active, tandis que la seconde sert au renouvellement.
Dans la boîte de dialogue Create Main Account AccessKey, relisez attentivement les risques et les limitations. Si vous êtes certain de vouloir créer la paire de clés AccessKey, cochez la case I am aware of the security risks of using a main account AccessKey., puis cliquez sur Continue to use the AccessKey of my Alibaba Cloud account.
-
Dans la boîte de dialogue Create AccessKey, enregistrez l'ID de clé AccessKey et le secret de clé AccessKey. Cochez ensuite la case I have saved the AccessKey Secret et cliquez sur OK.
(Recommandé) Configurer une stratégie de liste de contrôle d'accès (ACL) réseau pour la clé AccessKey : vous pouvez restreindre les adresses IP source des requêtes API utilisant cette paire de clés AccessKey. Cette mesure améliore la sécurité en garantissant que la paire de clés n'est utilisée qu'à partir d'environnements réseau de confiance. Nous vous recommandons de cliquer sur Configure network access policy afin de définir les environnements réseau de confiance pour cette paire de clés AccessKey. Pour plus d'informations, consultez la rubrique Configurer une stratégie de liste de contrôle d'accès (ACL) réseau pour la clé AccessKey d'un compte Alibaba Cloud.
ImportantAfin de réduire le risque de fuite, le secret de clé AccessKey d'un compte Alibaba Cloud n'est affiché qu'une seule fois lors de la création et ne peut pas être récupéré par la suite.