Key Management Service:Ikhtisar Agen KMS

Cara kerjanya

Agen menggunakan memori untuk menyimpan nilai rahasia secara cache dan memperbarui nilai rahasia yang disimpan dalam cache secara berkala berdasarkan Time To Live (TTL) yang Anda atur. Saat aplikasi meminta nilai rahasia dari agen melalui permintaan HTTP, agen memverifikasi legitimasi permintaan melalui file token Server-Side Request Forgery (SSRF). Jika nilai rahasia yang valid ada di cache, mereka dikembalikan. Jika tidak, permintaan diteruskan ke layanan KMS. Setelah layanan memverifikasi identitas agen, rahasia didekripsi dari layanan KMS dan dikembalikan. Agen memperbarui cache dan mengembalikan nilai rahasia ke aplikasi melalui pesan HTTP. Proses ini ditunjukkan pada gambar berikut:

• Proses cache hit

• Proses cache miss (tidak ada cache atau cache kedaluwarsa)

Terapkan agen bersama aplikasi Anda di berbagai lingkungan, termasuk server fisik lokal, mesin virtual (seperti ECS), dan kontainer (seperti Kubernetes pods). Kunjungi alibabacloud-kms-agent untuk repositori kode.

Komponen arsitektur

Agen terdiri dari empat komponen: server HTTP, cache, klien KMS, dan log.

Anda dapat mengonfigurasi keempat komponen ini dengan file konfigurasi seperti yang dijelaskan di bawah ini. Lihat alibabacloud-kms-agent untuk kode sumber.

# Semua item konfigurasi
[Server]
# Opsional, nilai default adalah 2025, Alamat listening default Agen 127.0.0.1:2025
HttpPort = 2025
# Opsional, nilai default adalah ["X-KMS-Token", "X-Vault-Token"].
# Akses ke Agen harus membawa Header SSRF, jika tidak akses dilarang.
SSRFHeaders = ["X-KMS-Token"]
# Opsional, nilai default adalah ["KMS_TOKEN", "KMS_SESSION_TOKEN", "KMS_CONTAINER_AUTHORIZATION_TOKEN"], nilai variabel bisa berupa nilai spesifik, atau path file seperti file:///var/run/awssmatoken.
# Agen mendapatkan Token SSRF dari Env, membandingkannya dengan Token yang dibawa dalam Header akses aplikasi, akses hanya diizinkan jika cocok.
SSRFEnvVariables = ["KMS_TOKEN"]
# Opsional, nilai default adalah "/v1/".
# Prefiks URI untuk akses berbasis path
PathPrefix = "/v1/"
# Opsional, nilai default adalah 800
# Jumlah maksimum permintaan bersamaan
MaxConn = 800
# Opsional, nilai default adalah 0
# 0: konten rahasia dikembalikan dalam format Respons API GetSecretvalue KMS; 1: konten rahasia dikembalikan dalam format Respons API GetSecretvalue AWS SeceretManager; 2: Dikembalikan dalam struktur KV HashiCorp.
ResponseType = 0
# Opsional, nilai default true
# Saat IgnoreTransientErrors bernilai true, saat cache tidak valid dan mengakses KMS remote mengalami kegagalan, Response akan mengembalikan rahasia yang kedaluwarsa di memori.
IgnoreTransientErrors = true

[Kms]
# Opsional, nilai default adalah cn-hangzhou
# Wilayah tempat KMS berada
Region = "cn-hangzhou"
# Opsional, nilai default adalah kms.cn-hangzhou.aliyuncs.com
# Endpoint bisa berupa Endpoint gateway shared atau Endpoint gateway khusus
Endpoint = "kms.cn-hangzhou.aliyuncs.com"

[Cache]
# Opsional, default adalah InMemory, saat ini hanya mendukung cache memori
CacheType = "InMemory"
# Opsional, ukuran cache default adalah 1000 rahasia, saat CacheSize=0, cache tidak digunakan, setiap permintaan mengakses KMS remote.
CacheSize = 1000
# Opsional, efektivitas waktu cache, nilai default adalah 300s.
TtlSeconds = 300
# Opsional, kebijakan eviksi cache, default adalah false jika tidak diisi.
# Saat rahasia dalam cache mencapai batas CacheSize, false berarti menghapus rahasia yang paling awal disimpan berdasarkan waktu cache, true berarti mengevakuasi rahasia yang paling jarang digunakan berdasarkan frekuensi penggunaan.
EnableLRU = false

[Log]
# Opsional, level log default Debug
LogLevel = "Debug"
# Opsional, penyimpanan log default di ./logs/ direktori startup aplikasi
LogPath = "./logs/"
# Opsional, ukuran log tunggal default 100M
MaxSize = 100
# Opsional, retensi default 2 file log
MaxBackups = 2

Keamanan

Stabilitas

Agen memastikan kontinuitas layanan dalam lingkungan jaringan yang kompleks, dan skenario kegagalan mendadak melalui mekanisme pemeriksaan diri, mekanisme ulang coba, dan langkah-langkah lainnya.

• Mekanisme pemeriksaan diri saat startup.

  Saat agen mulai, ia memverifikasi konektivitas ke KMS. Jika verifikasi gagal, startup dihentikan.

• Mekanisme ulang coba kesalahan.

  Agen bergantung pada Alibaba Cloud SDK (V2) untuk berkomunikasi dengan KMS. Saat terjadi pengecualian jaringan, ia secara otomatis mengirim ulang permintaan menggunakan logika ulang coba kesalahan bawaan Alibaba Cloud SDK (V2). Saat menghadapi throttling sisi server (HTTP 429) atau kesalahan server internal (HTTP 500), ia akan mencoba ulang 3 kali menggunakan metode backoff eksponensial untuk interval waktu.

• Penggunaan cache yang kedaluwarsa selama kegagalan.

  Dengan mengatur parameter IgnoreTransientErrors dalam file konfigurasi agen, saat terjadi kegagalan jaringan atau sisi server, ia akan memeriksa dan mengembalikan data cache lama, memastikan bahwa aplikasi tidak gagal mengambil rahasia karena kegagalan jangka pendek. Parameter IgnoreTransientErrors diaktifkan secara default.

• Jaminan ketersediaan tinggi berdasarkan systemd atau kontainer Sidecar.

  • Linux (systemd): Dikelola oleh systemd di Linux, memastikan restart otomatis jika proses agen crash.

  • Kontainer Sidecar: Diterapkan sebagai init container, kegagalan agen akan memicu restart kontainer, menjamin stabilitas aplikasi.

Manfaat

• Kinerja dan keandalan

  Agen menyimpan nilai rahasia dalam memori, mengurangi permintaan sering ke layanan KMS dalam skenario akses frekuensi tinggi, menghindari throttling yang mungkin disebabkan oleh akses frekuensi tinggi, sehingga meningkatkan kinerja dan ketersediaan bisnis.

• Kompatibilitas

  Agen menyediakan layanan berdasarkan antarmuka HTTP standar, mendukung panggilan dari aplikasi dalam bahasa pemrograman apa pun. Saat aplikasi menggunakan bahasa berbeda, agen mengurangi kesulitan integrasi.

• Integrasi yang disederhanakan

  Melalui agen, aplikasi dapat dipisahkan dari KMS. Ini mengurangi kompleksitas yang diperlukan untuk aplikasi berinteraksi dengan layanan KMS. Aplikasi hanya perlu berkomunikasi dengan agen tanpa menangani otentikasi, panggilan API, dan aspek lainnya saat mengakses layanan KMS.

• Manajemen terpusat dan skalabilitas

  Untuk skenario multi-aplikasi tingkat perusahaan, agen menyatukan manajemen dan kontrol akses, mengurangi konfigurasi izin pada setiap klien, memastikan keseragaman dalam proses integrasi berbagai aplikasi. Saat kebutuhan bisnis berkembang, agen memfasilitasi integrasi aplikasi baru, mengurangi konfigurasi izin dan modifikasi kode yang mungkin disebabkan oleh penggunaan SDK.

KMS Agent vs. Secret Client

KMS Agent berfungsi sebagai lapisan tengah, dengan aplikasi mengakses layanan KMS secara tidak langsung melalui agen. Menggunakan klien rahasia memerlukan aplikasi untuk memanggil API layanan KMS melalui SDK. Perbedaan antara keduanya ditunjukkan dalam tabel berikut.