Une paire de clés AccessKey est un identifiant de sécurité permettant d'accéder aux ressources Alibaba Cloud via des opérations API. Utilisez-la pour signer les requêtes API afin de vous authentifier.
Qu'est-ce qu'une paire de clés AccessKey ?
Une paire de clés AccessKey se compose d'un ID de clé AccessKey et d'un secret de clé AccessKey, utilisés conjointement pour authentifier les requêtes programmatiques adressées à Alibaba Cloud.
ID de clé AccessKey : identifiant public et unique associé à votre paire de clés AccessKey.
Secret de clé AccessKey : clé privée utilisée pour signer les requêtes API. La signature permet de vérifier l'authenticité et l'intégrité de la requête. Vous devez garder votre secret de clé AccessKey strictement confidentiel.
Afin de réduire les risques de fuite, le secret de clé AccessKey n'est affiché qu'une seule fois lors de sa création et ne peut pas être récupéré ultérieurement.
Utilisation d'une paire de clés AccessKey
Utilisez une paire de clés AccessKey pour appeler les API Alibaba Cloud via la CLI, les SDK ou Terraform.
Alibaba Cloud propose également des alternatives plus sécurisées reposant sur des identifiants de sécurité temporaires (jetons STS). Pour en savoir plus, consultez la rubrique Scénarios de développement d'applications.
Si vous devez absolument utiliser une paire de clés AccessKey, appliquez la bonne pratique suivante : Stockage et utilisation appropriés des paires de clés AccessKey inévitables.
Fonctionnement d'une paire de clés AccessKey
Resource Access Management (RAM) génère l'ID de clé AccessKey et le secret de clé AccessKey de manière algorithmique. Alibaba Cloud les chiffre aussi bien lors du stockage que pendant leur transmission.
Lorsqu'une application envoie une requête, elle inclut l'ID de clé AccessKey ainsi qu'une signature dérivée du secret de clé AccessKey. Alibaba Cloud utilise ces éléments pour authentifier l'expéditeur et vérifier l'intégrité de la requête. Pour plus d'informations sur le mécanisme de signature utilisé par Alibaba Cloud, consultez la rubrique Corps de la requête et mécanisme de signature pour V3.
Créer une clé AccessKey pour un utilisateur RAM
Suivez les étapes ci-dessous en tant qu'administrateur RAM (utilisateur disposant de la stratégie AliyunRAMFullAccess). Si votre compte ne contient aucun utilisateur RAM, consultez la rubrique Créer un utilisateur RAM.
La procédure permettant à un utilisateur RAM de créer sa propre paire de clés AccessKey est identique à celle décrite dans la rubrique Création d'une paire de clés AccessKey pour un compte Alibaba Cloud. Avant qu'un utilisateur RAM puisse créer sa propre paire de clés AccessKey, le propriétaire du compte Alibaba Cloud doit activer l'option Allow users to manage AccessKey. Sans cette activation, l'utilisateur RAM ne verra pas l'option de création de clé. Pour en savoir plus, consultez la rubrique Gérer les paramètres de sécurité des utilisateurs RAM.
Console
Connectez-vous à la console RAM. Dans le volet de navigation de gauche, choisissez .
Dans la liste des utilisateurs, repérez l'RAM User concerné et cliquez sur son nom d'utilisateur.
-
Sous l'onglet Credential , dans la section AccessKey, cliquez sur Create AccessKey.
RemarqueChaque utilisateur RAM peut disposer d'au maximum deux paires de clés AccessKey. L'une est destinée à une utilisation active, tandis que la seconde sert au renouvellement.
Dans la boîte de dialogue qui s'affiche, prenez connaissance des cas d'utilisation et des recommandations. Suivez les conseils proposés pour choisir la solution d'identification la plus adaptée. Si vous devez impérativement créer une paire de clés AccessKey, sélectionnez un cas d'utilisation, cochez la case I confirm that it is necessary to create an AccessKey , puis cliquez sur Continue. Le cas d'utilisation sélectionné n'a aucune incidence sur la paire de clés AccessKey créée.
Effectuez la vérification de sécurité comme indiqué.
-
Dans la boîte de dialogue Create AccessKey , enregistrez l'ID de clé AccessKey et le secret de clé AccessKey, puis cliquez sur OK.
(Facultatif) Configurer une stratégie de liste de contrôle d'accès (ACL) réseau pour la clé AccessKey : vous pouvez restreindre les adresses IP source des requêtes API utilisant cette paire de clés AccessKey. Cette mesure améliore la sécurité en garantissant que la paire de clés n'est utilisée qu'à partir d'environnements réseau de confiance. Nous vous recommandons de cliquer sur Configure network access policy pour définir les environnements réseau de confiance associés à cette paire de clés AccessKey. Pour en savoir plus, consultez la rubrique Configurer une stratégie de liste de contrôle d'accès (ACL) réseau pour une clé AccessKey d'un utilisateur RAM.
Dans les recommandations de sécurité, vous pouvez également définir la durée maximale d'inactivité de la paire de clés AccessKey (il est recommandé de la désactiver automatiquement après 90 jours d'inactivité). Cliquez sur Go to Settings pour configurer ce paramètre.
ImportantAfin de réduire les risques de fuite, le secret de clé AccessKey n'est affiché qu'une seule fois lors de sa création et ne peut pas être récupéré ultérieurement.
API
Appelez l'opération CreateAccessKey et spécifiez le paramètre suivant :
UserPrincipalName: nom de connexion de l'utilisateur RAM, par exemple test@example.onaliyun.com. Vous pouvez trouver ce nom de connexion dans la console RAM.
Afin de réduire les risques de fuite, le secret de clé AccessKey n'est renvoyé que dans la réponse de l'opération CreateAccessKey . Il ne peut pas être récupéré ultérieurement.