Key Management Service：Informasi otorisasi

Prosedur

1. Masuk ke Konsol RAM menggunakan akun Alibaba Cloud.

2. Buat kebijakan kustom.

   1. Di panel navigasi sebelah kiri, pilih Permissions > Policies.

   2. Di halaman Policies, klik Create Policy.

   3. Di halaman Create Policy, klik tab JSON.

      Catatan

      RAM menyediakan mode pengeditan visual dan pengeditan dokumen untuk membuat kebijakan. Saat membuat kebijakan kustom untuk sumber daya Key Management Service (KMS), Anda harus menggunakan mode pengeditan dokumen. Jika menggunakan mode pengeditan visual, Anda hanya dapat memilih semua sumber daya KMS dan semua operasi.

   4. Modifikasi isi kebijakan dan optimalkan dengan mengklik Optimize sesuai kebutuhan.

      Saat mengedit dokumen kebijakan KMS, Anda harus menentukan pernyataan otorisasi kustom. Pernyataan tersebut mencakup elemen-elemen berikut: Effect, Action, Resource, dan Condition (opsional). Untuk informasi lebih lanjut, lihat Lampiran: Sumber daya, tindakan, dan kondisi yang didukung.

      Catatan

      Untuk informasi lebih lanjut tentang sintaks dan struktur kebijakan RAM, lihat Struktur dan sintaks kebijakan.

   5. Klik OK.

   6. Tentukan nama kebijakan dan deskripsi.

   7. Klik OK.

3. Lampirkan kebijakan kustom ke pengguna RAM.

   1. Di panel navigasi sebelah kiri, pilih Identities > Users.

   2. Di halaman Users, temukan pengguna RAM yang ingin dilampirkan kebijakan kustom dan klik Add Permissions di kolom Actions.

   3. Di panel Grant Permission, konfigurasikan parameter dan klik Grant Permissions.

      Parameter	Deskripsi
      Resource Scope	Cakupan di mana Anda ingin izin tersebut berlaku. KMS tidak mendukung fitur grup sumber daya. Anda harus memilih Account.
      Principal	Pengguna RAM yang ingin Anda berikan izin. Parameter Principal secara otomatis disetel ke pengguna RAM tertentu. Anda dapat menentukan pengguna RAM yang berbeda.
      Policy	Pilih kebijakan kustom berdasarkan kebutuhan bisnis Anda.

Lampiran: Sumber daya, tindakan, dan kondisi yang didukung

Sumber daya

KMS mendefinisikan jenis sumber daya berikut: wadah kunci, wadah rahasia, wadah alias, kunci, rahasia, dan alias. Anda dapat mengonfigurasi elemen Resource dalam kebijakan RAM berdasarkan Nama Sumber Daya Alibaba Cloud (ARN) dari sumber daya Anda. Dalam contoh berikut, ARN sumber daya kunci di-query.

1. Masuk ke Konsol KMS. Di bilah navigasi atas, pilih wilayah. Di panel navigasi sebelah kiri, pilih Resource > Keys.

2. Di tab Customer Master Keys, temukan kunci yang ARN-nya ingin di-query dan klik Details di kolom Actions. Di halaman detail, Anda dapat melihat ARN kunci tersebut. Tabel berikut menjelaskan format ARN untuk berbagai jenis sumber daya.

   Catatan

   Ganti ${region} dan ${account} dengan wilayah dan akun Alibaba Cloud Anda yang sebenarnya. Anda juga dapat mempersempit cakupan sumber daya berdasarkan kebutuhan bisnis Anda. ${region} mendukung karakter wildcard asterisk (*), yang menentukan semua wilayah yang didukung.

   Jenis sumber daya	ARN
   Wadah kunci	acs:kms:${region}:${account}:key
   Wadah rahasia	acs:kms:${region}:${account}:secret
   Wadah alias	acs:kms:${region}:${account}:alias
   Kunci	acs:kms:${region}:${account}:key/${key-id} Catatan ARN sumber daya kunci mendukung karakter wildcard asterisk (*). Contoh: acs:kms:${region}:${account}:key/*: menentukan semua kunci di wilayah dalam akun. acs:kms:*:${account}:key/*: menentukan semua kunci di semua wilayah dalam akun.
   Rahasia	acs:kms:${region}:${account}:secret/${secret-name} Catatan ARN sumber daya rahasia mendukung karakter wildcard asterisk (*). acs:kms:${region}:${account}:secret/*: menentukan semua rahasia di wilayah dalam akun. acs:kms:${region}:${account}:secret/prefix*: menentukan semua rahasia yang dimulai dengan prefix di wilayah dalam akun.
   Alias	acs:kms:${region}:${account}:alias/${alias-name}

Tindakan

KMS mendefinisikan tindakan untuk setiap operasi API yang memerlukan kontrol akses. Dalam kebijakan RAM, tindakan berada dalam format kms:<api-name>.

Tabel berikut menjelaskan tindakan RAM dan jenis sumber daya yang sesuai dengan setiap operasi API.

Kondisi