Resource Access Management:Gérer les identifiants de service (clés API)

Principales caractéristiques

• Isolation au niveau du service : Chaque clé API est associée à un seul service cloud (spécifié par son ServiceName) lors de la création. Elle ne permet d'appeler que les API de ce service et interdit les appels inter-services. Vous ne pouvez pas étendre sa portée via des politiques d'autorisation.

• Portée des autorisations minimisée : Les autorisations effectives d'une clé API correspondent à l'intersection entre les autorisations de l'utilisateur RAM associé et la portée du service cloud lié. Même si l'utilisateur RAM dispose d'autorisations pour plusieurs services, la clé API reste restreinte à son service désigné.

• Réservée aux utilisateurs RAM : Seuls les utilisateurs RAM peuvent créer des clés API. Les comptes Alibaba Cloud (comptes racine) ne le peuvent pas. Cette pratique limite l'impact potentiel d'une fuite d'identifiants.

• Conventions de dénomination : Le terme ServiceCredential est utilisé dans OpenAPI et les SDK, tandis que la console emploie le terme plus convivial API Key. Ces deux termes désignent la même ressource.

Clés API vs AccessKeys

Les clés API et les AccessKeys sont toutes deux des identifiants à long terme pour les utilisateurs RAM. Elles diffèrent toutefois par leur portée de service, leurs méthodes d'émission et leurs cas d'utilisation.

États du cycle de vie

Une clé API peut se trouver dans l'un des trois états suivants au cours de son cycle de vie :

• Active : L'identifiant permet d'appeler l'OpenAPI du service cloud lié. Il s'agit de l'état par défaut lors de la création.

• Inactive : L'identifiant est temporairement désactivé. Vous pouvez le réactiver à l'état Active. Une clé doit être inactive avant suppression.

• Expirée : Le système fait automatiquement passer le statut de la clé à Expirée lorsque l'heure d'expiration est atteinte. L'identifiant devient définitivement invalide et ne peut pas être récupéré. Vous devez créer une nouvelle clé.

Quotas et expiration

• Quota : Chaque utilisateur RAM peut créer au maximum deux clés API par service cloud, y compris les clés Active et Inactive. Ce quota est fixe. Les clés expirées comptent dans ce quota, contrairement aux clés supprimées.

• Unité de la période d'expiration : Jours.

• Plage de valeurs : La console propose des préréglages de 1, 7, 30 et 90 jours, ou vous pouvez configurer une clé pour qu'elle n'expire jamais. Les valeurs personnalisées sont également prises en charge.

• Valeur par défaut OpenAPI : Si vous omettez le paramètre CredentialAgeDays lors de l'appel à l'opération CreateServiceCredential, la clé est configurée pour ne jamais expirer.

• L'expiration est définitive : Lorsqu'une clé expire, son statut passe à Expired et elle devient définitivement invalide. Elle ne peut pas être réactivée. Vous devez supprimer la clé expirée et en créer une nouvelle.

Services cloud pris en charge

Dans la console RAM, accédez à la page User Details, puis à l'onglet Credential Management et à la section API Keys, et cliquez sur Create API Key. La liste déroulante Cloud Service répertorie les services disponibles pour votre compte. Reportez-vous à la documentation du service spécifique pour obtenir la liste des API prises en charge.

Autogestion pour les utilisateurs RAM

Un compte Alibaba Cloud ou un administrateur RAM disposant des autorisations suffisantes peut utiliser le paramètre AllowUserToManageServiceCredential dans les paramètres de sécurité RAM pour contrôler si les utilisateurs RAM peuvent gérer leurs propres clés API. Ce paramètre présente les deux états suivants :

• Autoriser l'autogestion : Un utilisateur RAM peut se connecter à la console ou appeler l'OpenAPI pour créer, mettre à jour ou supprimer ses propres clés API, à condition qu'aucune politique d'autorisation n'interdise explicitement ces actions (c'est-à-dire qu'aucune politique Deny explicite n'existe).

• Autogestion non autorisée : Les utilisateurs RAM ne peuvent pas gérer leurs propres clés API. Un administrateur disposant d'autorisations telles que ram:CreateServiceCredential doit créer et maintenir les clés.

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "ram:CreateServiceCredential",
        "ram:ListServiceCredentials"
      ],
      "Resource": "acs:ram:*:ACCOUNT_ID:user/USER_NAME"
    }
  ]
}

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "ram:CreateServiceCredential",
        "ram:ListServiceCredentials",
        "ram:GetServiceCredential",
        "ram:UpdateServiceCredential",
        "ram:DeleteServiceCredential"
      ],
      "Resource": "acs:ram:*:ACCOUNT_ID:user/USER_NAME"
    }
  ]
}

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "ram:CreateServiceCredential",
        "ram:ListServiceCredentials",
        "ram:GetServiceCredential",
        "ram:UpdateServiceCredential",
        "ram:DeleteServiceCredential"
      ],
      "Resource": "acs:ram:*:ACCOUNT_ID:user/USER_NAME",
      "Condition": {
        "StringEquals": {
          "ram:ServiceCredentialServiceName": "ak.aliyuncs.com"
        }
      }
    }
  ]
}

Structure des données des clés API

Chaque clé API comprend les champs principaux suivants. Les noms de champs renvoyés par OpenAPI sont préfixés par ServiceCredential, tandis que les noms de champs dans la console sont plus conviviaux.

Recommandations de sécurité

• Définissez une période d'expiration pour les clés API. Évitez de configurer les clés de test à court terme pour qu'elles n'expirent jamais. Pour les autres cas d'utilisation, définissez une période d'expiration appropriée, telle que 30 ou 90 jours, en fonction du cycle d'utilisation du service, et renouvelez la clé avant son expiration.

• Copiez immédiatement le secret de la clé API ou téléchargez le fichier CSV après la création d'une clé. Une fois la fenêtre contextuelle fermée, vous ne pouvez plus récupérer le secret. Si vous perdez le secret, vous devez supprimer la clé et en créer une nouvelle.

• Traitez les clés API comme des identifiants hautement sensibles. Ne les commitez pas en texte clair dans les dépôts de code, les fichiers de configuration ou les journaux. Nous vous recommandons d'utiliser un service de gestion des secrets ou de les chiffrer avec KMS avant le stockage.