Une paire de clés AccessKey est un identifiant de sécurité permettant d'accéder aux ressources Alibaba Cloud via des opérations API. Utilisez-la pour signer les requêtes API afin de vous authentifier.
Qu'est-ce qu'une paire de clés AccessKey ?
Une paire de clés AccessKey se compose d'un AccessKey ID et d'un AccessKey secret, utilisés conjointement pour authentifier les requêtes programmatiques adressées à Alibaba Cloud.
AccessKey ID : identifiant public et unique associé à votre paire de clés AccessKey.
AccessKey secret : clé privée utilisée pour signer les requêtes API. La signature permet de vérifier l'authenticité et l'intégrité de la requête. Vous devez garder votre AccessKey secret strictement confidentiel.
Afin de réduire les risques de fuite, l'AccessKey secret n'est affiché qu'une seule fois lors de sa création et ne peut pas être récupéré ultérieurement.
Comment utiliser une paire de clés AccessKey
Utilisez une paire de clés AccessKey pour appeler les API Alibaba Cloud via la CLI, les SDK ou Terraform.
Alibaba Cloud propose également des alternatives plus sécurisées reposant sur des informations d'identification temporaires (jetons STS). Pour en savoir plus, consultez la rubrique Scénarios de développement d'applications.
Si vous devez absolument utiliser une paire de clés AccessKey, appliquez la bonne pratique suivante : Stockez et utilisez correctement les paires de clés AccessKey inévitables.
Fonctionnement d'une paire de clés AccessKey
Resource Access Management (RAM) génère algorithmiquement l'AccessKey ID et l'AccessKey secret. Alibaba Cloud chiffre ces éléments aussi bien lors du stockage que pendant leur transmission.
Lorsqu'une application envoie une requête, elle inclut l'AccessKey ID ainsi qu'une signature dérivée de l'AccessKey secret. Alibaba Cloud utilise ces éléments pour authentifier l'expéditeur et vérifier l'intégrité de la requête. Pour plus d'informations sur le mécanisme de signature utilisé par Alibaba Cloud, consultez la rubrique Corps de la requête et mécanisme de signature pour V3.
Créer une clé AccessKey pour un utilisateur RAM
Suivez les étapes ci-dessous en tant qu'administrateur RAM (utilisateur disposant de la stratégie AliyunRAMFullAccess). Si votre compte ne contient aucun utilisateur RAM, consultez la rubrique Créer un utilisateur RAM.
La procédure permettant à un utilisateur RAM de créer sa propre paire de clés AccessKey est identique à celle décrite pour la création d'une paire de clés AccessKey pour un compte Alibaba Cloud. Avant qu'un utilisateur RAM puisse créer sa propre paire de clés AccessKey, le propriétaire du compte Alibaba Cloud doit activer l'option Allow users to manage AccessKey. Dans le cas contraire, l'utilisateur RAM ne verra pas l'option de création de clé. Pour plus d'informations, consultez la rubrique Gérer les paramètres de sécurité des utilisateurs RAM.
Console
Connectez-vous à la console RAM. Dans le volet de navigation de gauche, choisissez .
Dans la liste des utilisateurs, repérez l'RAM User et cliquez sur son nom d'utilisateur.
-
Sous l'onglet Credential, dans la section AccessKey, cliquez sur Create AccessKey.
RemarqueChaque utilisateur RAM peut disposer d'au maximum deux paires de clés AccessKey. L'une est destinée à une utilisation active, et la seconde sert au renouvellement.
Dans la boîte de dialogue qui s'affiche, lisez les cas d'utilisation et les recommandations. Suivez les recommandations pour choisir une solution d'identification plus adaptée. Si vous devez impérativement créer une paire de clés AccessKey, sélectionnez un cas d'utilisation, cochez la case I confirm that it is necessary to create an AccessKey, puis cliquez sur Continue. Le cas d'utilisation que vous sélectionnez n'affecte pas la paire de clés AccessKey créée.
Effectuez la vérification de sécurité comme indiqué.
-
Dans la boîte de dialogue Create AccessKey, enregistrez l'AccessKey ID et l'AccessKey secret, puis cliquez sur OK.
(Facultatif) Configurer une stratégie ACL réseau pour la clé AccessKey : vous pouvez restreindre les adresses IP source des requêtes API utilisant cette paire de clés AccessKey. Cette mesure améliore la sécurité en garantissant que la paire de clés AccessKey n'est utilisée qu'à partir d'environnements réseau fiables. Nous vous recommandons de cliquer sur Configure network access policy pour définir les environnements réseau fiables associés à cette paire de clés AccessKey. Pour plus d'informations, consultez la rubrique Configurer une stratégie ACL réseau pour une clé AccessKey d'un utilisateur RAM.
Dans les recommandations de sécurité, vous pouvez également définir la durée maximale d'inactivité de la paire de clés AccessKey (recommandation : désactivation automatique après 90 jours d'inactivité). Cliquez sur Go to Settings pour configurer.
ImportantAfin de réduire les risques de fuite, l'AccessKey secret n'est affiché qu'une seule fois lors de sa création et ne peut pas être récupéré ultérieurement.
API
Appelez l'opération CreateAccessKey et spécifiez le paramètre suivant :
UserPrincipalName: nom de connexion de l'utilisateur RAM, par exemple test@example.onaliyun.com. Vous pouvez trouver ce nom de connexion dans la console RAM.
Afin de réduire les risques de fuite, l'AccessKey secret n'est renvoyé que dans la réponse de l'opération CreateAccessKey. Il ne peut pas être récupéré ultérieurement.