Mengintegrasikan Alibaba Cloud SDK memungkinkan Anda memanggil OpenAPI untuk operasi manajemen seperti pembuatan instance dan kunci, serta melakukan operasi bisnis seperti enkripsi, dekripsi, dan pengambilan nilai rahasia. Dokumen ini membantu Anda menggunakan Key Management Service (KMS) dengan mengintegrasikan Alibaba Cloud SDK.
Ikhtisar Akses
Saat mengintegrasikan Alibaba Cloud SDK untuk KMS, perhatikan bahwa operasi manajemen hanya dapat diakses melalui gateway bersama, sedangkan operasi bisnis dapat diakses melalui gateway bersama maupun gateway khusus. Gambar berikut mengilustrasikan metode akses ini.
Perbedaan antara gateway bersama dan gateway khusus untuk mengakses KMS
Tabel berikut mencantumkan perbedaan utama antara mengakses gateway bersama dan gateway khusus saat menggunakan Alibaba Cloud SDK untuk mengakses KMS dalam operasi bisnis.
Item | Gateway bersama | Gateway khusus | |
Jaringan | Jaringan publik atau VPC. | Jaringan privat KMS. | |
Kinerja | KMS memiliki kuota yang membatasi jumlah permintaan API per detik. Sebagai contoh, QPS untuk enkripsi dan dekripsi tetap pada 1000. | Bukannya membatasi jumlah permintaan API, KMS memprosesnya dalam mode usaha terbaik. Sumber daya komputasi dan penyimpanan maksimum yang tersedia digunakan selama pemrosesan. Saat Anda membeli instance KMS, Anda dapat memilih QPS yang sesuai berdasarkan kebutuhan bisnis Anda. | |
API yang Didukung | Semua OpenAPI untuk operasi kriptografi dan mengambil nilai rahasia. | Semua OpenAPI untuk operasi kriptografi dan mengambil nilai rahasia, kecuali ReEncrypt. | |
Pengendalian akses jaringan | ID VPC (kunci kondisi: acs:SourceVpc) dan alamat IP dalam VPC (kunci kondisi: acs:VpcSourceIp) didukung untuk pengendalian akses jaringan. | ID VPC (kunci kondisi: acs:SourceVpc) dan alamat IP sumber dalam VPC (kunci kondisi: acs:VpcSourceIp) tidak didukung untuk pengendalian akses jaringan. Jika Anda memerlukan pengendalian akses jaringan, hubungi manajer akun Anda. | |
Otorisasi | Saat menggunakan autentikasi STS untuk mengambil rahasia, otorisasi diterapkan hanya pada operasi GetSecretValue, bukan pada operasi Decrypt. Metode autentikasi lainnya menerapkan otorisasi pada kedua operasi. |
Selama proses pengambilan rahasia, operasi GetSecretValue dan Decrypt diotorisasi. | |
Log Auditing | ActionTrail | Simple Log Service (SLS) | |
Konfigurasi SDK | Endpoint | Saat inisialisasi klien, endpoint gateway bersama harus dikonfigurasi dengan salah satu format berikut:
| Saat inisialisasi klien, endpoint gateway khusus harus dikonfigurasi mengikuti format: |
Sertifikat CA | Tidak diperlukan. |
| |
OpenAPI yang Didukung
Operasi manajemen hanya dapat diakses melalui gateway bersama, sedangkan operasi bisnis dapat diakses melalui gateway bersama dan gateway khusus.
Untuk melakukan operasi kriptografi melalui gateway bersama, Anda harus terlebih dahulu mengaktifkan akses publik.
menunjukkan dukungan, dan × menunjukkan tidak didukung.
Operasi API | Deskripsi | Gateway bersama | Gateway khusus |
Mengenkripsi teks biasa menggunakan kunci simetris. |
|
| |
Menghasilkan kunci data acak yang digunakan untuk mengenkripsi data lokal. |
|
| |
Menghasilkan kunci data acak, yang dapat digunakan untuk mengenkripsi data lokal. |
|
| |
Mengenkripsi kunci data menggunakan kunci publik tertentu, dan mengekspor kunci data tersebut. |
|
| |
Menghasilkan kunci data secara acak, dan menggunakan kunci KMS dan kunci publik untuk mengenkripsi kunci data tersebut. Operasi ini mengembalikan ciphertext dari kunci data yang dienkripsi menggunakan kunci data dan kunci publik. |
|
| |
Mendekripsi ciphertext. |
|
| |
Mengenkripsi ulang ciphertext. Saat Anda memanggil operasi ini, KMS menggunakan kunci berbeda untuk mengenkripsi ulang plaintext atau kunci data yang dihasilkan, lalu mengembalikan ciphertext baru. |
| × | |
Menghasilkan tanda tangan menggunakan kunci asimetris. |
|
| |
Memverifikasi tanda tangan menggunakan kunci asimetris. |
|
| |
Mendekripsi data menggunakan kunci asimetris. |
|
| |
Mengenkripsi data menggunakan kunci asimetris. |
|
| |
Mengambil kunci publik dari pasangan kunci asimetris. Anda dapat menggunakan kunci publik untuk mengenkripsi data lokal dan memverifikasi tanda tangan. |
|
|
menunjukkan dukungan, dan × menunjukkan tidak didukung.
Operasi API | Deskripsi | Gateway bersama | Gateway khusus |
Mengambil nilai rahasia. |
|
|
Endpoint
<KMS_INSTANCE_ID>.cryptoservice.kms.aliyuncs.com
Ganti <KMS_INSTANCE_ID> dengan ID Instance KMS Anda yang sebenarnya.
Metode autentikasi
Saat mengakses OpenAPI melalui gateway bersama atau gateway khusus menggunakan Alibaba Cloud SDK, metode autentikasi tetap sama. Metode autentikasi berbasis RAM didukung, termasuk AccessKey (AK), STS Token, RamRoleArn, dan Peran RAM instance ECS. Untuk informasi lebih lanjut, lihat Kelola Kredensial Akses.
AccessKey
Secara default, akun Alibaba Cloud berfungsi sebagai administrator dengan otoritas penuh atas semua sumber daya terkait. Izin akun Alibaba Cloud tidak dapat diubah. Jika pasangan AccessKey disusupi, seluruh sumber daya akun berisiko. Untuk keamanan yang lebih baik, kami tidak menyarankan membuat pasangan AccessKey untuk akun Alibaba Cloud. Sebagai gantinya, buat pengguna RAM dengan mode akses API diaktifkan dan hasilkan pasangan AccessKey untuk pengguna tersebut. Dengan memberikan pengguna RAM izin minimal sesuai prinsip hak istimewa minimal, mereka dapat menjalankan operasi API untuk mengakses sumber daya Alibaba Cloud. Untuk informasi lebih lanjut, lihat Buat Pasangan AccessKey.
Masuk ke Konsol RAM menggunakan akun Alibaba Cloud, administrator RAM dengan kebijakan AliyunRAMFullAccess terlampir, atau pengguna RAM dengan izin untuk mengelola pasangan AccessKey.
Di panel navigasi sisi kiri, pilih Identities > Users, lalu klik pengguna RAM yang diinginkan.
Di tab Authentication, klik Create AccessKey dan ikuti petunjuk untuk menyelesaikan pembuatan.
Berikan akses pengguna RAM ke KMS. Anda memiliki dua metode untuk menyelesaikan pemberian akses:
Metode 1: Melalui kebijakan berbasis identitas
KMS menyediakan kebijakan izin sistem yang dapat dilampirkan ke pengguna RAM. Untuk informasi lebih lanjut, lihat Kebijakan Sistem untuk KMS. Anda juga dapat membuat kebijakan kustom.
Metode 2: Melalui kebijakan berbasis sumber daya
KMS mendukung kebijakan berbasis sumber daya, yang memungkinkan Anda mengatur izin akses untuk kunci dan rahasia. Ini memungkinkan Anda mengontrol akun Alibaba Cloud mana, pengguna RAM, dan peran RAM yang memiliki izin untuk mengelola atau menggunakan kunci dan rahasia KMS. Untuk informasi lebih lanjut, lihat Kebijakan Kunci dan Kebijakan Rahasia.
Token STS
Dengan menggunakan layanan STS, kredensial akses sementara dapat diterbitkan untuk pengguna RAM atau peran RAM, memungkinkan mereka mengakses KMS dengan izin tertentu untuk jangka waktu validitas terbatas. Setelah periode kedaluwarsa berakhir, kredensial tersebut akan otomatis menjadi tidak valid.
Masuk ke Konsol RAM menggunakan akun Alibaba Cloud atau pengguna RAM dengan hak administratif.
Berikan izin AliyunSTSAssumeRoleAccess kepada pengguna RAM atau Berikan izin AliyunSTSAssumeRoleAccess kepada peran RAM.
Berikan akses pengguna RAM ke KMS. Anda memiliki dua metode untuk menyelesaikan pemberian akses:
Metode 1: Melalui kebijakan berbasis identitas
KMS menyediakan kebijakan izin sistem yang dapat dilampirkan ke pengguna RAM. Untuk informasi lebih lanjut, lihat Kebijakan Sistem untuk KMS. Anda juga dapat membuat kebijakan kustom.
Metode 2: Melalui kebijakan berbasis sumber daya
KMS mendukung kebijakan berbasis sumber daya, yang memungkinkan Anda mengatur izin akses untuk kunci dan rahasia. Ini memungkinkan Anda mengontrol akun Alibaba Cloud mana, pengguna RAM, dan peran RAM yang memiliki izin untuk mengelola atau menggunakan kunci dan rahasia KMS. Untuk informasi lebih lanjut, lihat Kebijakan Kunci dan Kebijakan Rahasia.
Gunakan pengguna RAM atau peran RAM untuk memanggil antarmuka AssumeRole layanan STS guna mendapatkan kredensial akses sementara.
RamRoleArn
Pengguna RAM atau layanan cloud dapat memperoleh izin sementara dengan mengasumsikan peran alih-alih langsung menggunakan kunci akses jangka panjang, sehingga mengurangi risiko kebocoran kunci. Misalnya, dalam tugas pemrosesan data sementara, pengguna RAM atau layanan cloud dapat sementara mengasumsikan peran dengan RamRoleArn tertentu. RamRoleArn adalah informasi ARN dari peran RAM. Setelah tugas selesai, izin peran dicabut, lebih lanjut mengurangi risiko paparan.
Masuk ke Konsol RAM menggunakan akun Alibaba Cloud atau peran RAM dengan hak administratif.
Berikan akses peran RAM ke KMS. Anda memiliki dua metode untuk menyelesaikan pemberian akses:
Metode 1: Melalui kebijakan berbasis identitas
KMS menyediakan kebijakan izin sistem yang dapat dilampirkan ke pengguna RAM. Untuk informasi lebih lanjut, lihat Kebijakan Sistem untuk KMS. Anda juga dapat membuat kebijakan kustom.
Metode 2: Melalui kebijakan berbasis sumber daya
KMS mendukung kebijakan berbasis sumber daya, yang memungkinkan Anda mengatur izin akses untuk kunci dan rahasia. Ini memungkinkan Anda mengontrol akun Alibaba Cloud mana dan peran RAM yang memiliki izin untuk mengelola atau menggunakan kunci dan rahasia KMS. Untuk informasi lebih lanjut, lihat Kebijakan Kunci dan Kebijakan Rahasia.
Lihat RamRoleArn tentang peran RAM.
RamRoleArn mengikuti format
acs:ram::$accountID:role/$roleName, di mana$accountIDadalah akun Alibaba Cloud dan$roleNameadalah nama peran RAM.
Peran RAM instance ECS
Peran RAM instance ECS adalah peran layanan reguler yang dilampirkan ke instance ECS, dan entitas tepercaya dari peran RAM instance adalah ECS. Anda dapat menggunakan peran RAM instance untuk mendapatkan token Security Token Service (STS) sebagai kredensial akses sementara dari dalam instance ECS tanpa perlu memberikan pasangan AccessKey. Kemudian, Anda dapat menggunakan kredensial akses sementara untuk memanggil operasi OpenAPI KMS.
Masuk ke Konsol RAM, dan buat peran RAM instance dengan Principal Type-nya sebagai layanan Alibaba Cloud.
Tipe Principal: Pilih Cloud Service.
Nama Principal: Pilih Elastic Compute Service / ECS.
Berikan akses pengguna RAM ke KMS. Anda memiliki dua metode untuk menyelesaikan pemberian akses:
Metode 1: Melalui kebijakan berbasis identitas
KMS menyediakan kebijakan izin sistem yang dapat dilampirkan ke pengguna RAM. Untuk informasi lebih lanjut, lihat Kebijakan Sistem untuk KMS. Anda juga dapat membuat kebijakan kustom.
Metode 2: Melalui kebijakan berbasis sumber daya
KMS mendukung kebijakan berbasis sumber daya, yang memungkinkan Anda mengatur izin akses untuk kunci dan rahasia. Ini memungkinkan Anda mengontrol akun Alibaba Cloud mana, pengguna RAM, dan peran RAM yang memiliki izin untuk mengelola atau menggunakan kunci dan rahasia KMS. Untuk informasi lebih lanjut, lihat Kebijakan Kunci dan Kebijakan Rahasia.
Masuk ke Konsol ECS, dan lampirkan peran RAM instance ke instance ECS.
Bahasa pemrograman yang didukung
Tabel berikut mencantumkan bahasa pemrograman yang didukung beserta tautan unduhan SDK dan dokumentasi referensi mereka.