Key Management Service:Ikhtisar kebijakan kunci

Hubungan antara kebijakan kunci dan kebijakan RAM

Catatan penggunaan

• Kebijakan kunci hanya berlaku untuk kunci dalam instans KMS. Anda dapat mengonfigurasi kebijakan kunci saat membuat kunci atau mengubahnya setelahnya. Untuk informasi selengkapnya, lihat Buat kunci dan Konfigurasikan kebijakan kunci.

• Mengotorisasi pengguna RAM atau peran dari akun Alibaba Cloud lain akan mengonsumsi kuota Accounts in Use pada instans KMS, yang dihitung berdasarkan jumlah akun Alibaba Cloud. Jika Anda mencabut otorisasi cross-account dan instans tersebut tidak lagi berbagi resource dengan akun tersebut, tunggu sekitar 5 menit sebelum memeriksa kuota. Kuota tersebut akan dikembalikan.

• Kebijakan kunci hanya berlaku untuk kontrol akses saat Anda mengakses kunci melalui titik akhir layanan KMS. Jika Anda mengakses kunci melalui titik akhir instans KMS, akses bergantung pada kebijakan izin yang dikonfigurasi di Application Access Point (AAP).

• Kebijakan kunci harus dalam format JSON dan panjangnya tidak boleh melebihi 32.768 byte.

Struktur kebijakan kunci

Kebijakan kunci lengkap berisi elemen-elemen berikut:

• Version: Versi kebijakan kunci. Saat ini, hanya versi 1 yang didukung.

• Statement: Pernyataan-pernyataan dalam kebijakan kunci. Setiap kebijakan kunci berisi satu atau beberapa pernyataan. Setiap pernyataan berisi parameter-parameter berikut.

  • Sid

    Opsional. Pengidentifikasi pernyataan kustom. Pengidentifikasi dapat memiliki panjang hingga 128 karakter dan dapat berisi huruf kapital (A–Z), huruf kecil (a–z), angka (0–9), serta karakter khusus berikut: _ / + = . @ -

  • Effect

    Wajib. Menentukan apakah aksi dalam pernyataan diizinkan atau ditolak. Nilai yang valid: Allow atau Deny.

  • Principal

    Wajib. Identitas yang menjadi sasaran kebijakan. Anda dapat menentukan salah satu dari berikut:

    • Akun Alibaba Cloud saat ini, yaitu akun yang memiliki kunci tersebut.

    • Pengguna RAM atau peran RAM di bawah akun Alibaba Cloud saat ini.

    • Pengguna RAM atau peran RAM di bawah akun Alibaba Cloud yang berbeda.

      Penting

      Setelah Anda mengotorisasi pengguna RAM atau peran dari akun Alibaba Cloud lain, Anda juga harus menggunakan akun Alibaba Cloud yang mengelola identitas RAM tersebut untuk memberikan izin kepada mereka agar dapat menggunakan kunci tersebut di RAM. Jika tidak, identitas RAM tersebut tidak dapat menggunakan kunci tersebut.

      Untuk informasi selengkapnya, lihat Kebijakan kustom, Kelola izin pengguna RAM, dan Kelola izin untuk peran RAM.

  • Action

    Wajib. Operasi API yang diizinkan atau ditolak. Nilainya harus diawali dengan "kms:". Hanya operasi-operasi berikut yang valid. Operasi di luar daftar ini tidak akan berlaku.

    Daftar izin

     "Action": [
                    "kms:List*",
                    "kms:Describe*",
                    "kms:Create*",
                    "kms:Enable*",
                    "kms:Disable*",
                    "kms:Get*",
                    "kms:Set*",
                    "kms:Update*",
                    "kms:Delete*",
                    "kms:Cancel*",
                    "kms:TagResource",
                    "kms:UntagResource",
                    "kms:ImportKeyMaterial",
                    "kms:ScheduleKeyDeletion"
                    "kms:Encrypt",
                    "kms:Decrypt",
                    "kms:GenerateDataKey",
                    "kms:GenerateAndExportDataKey",
                    "kms:AsymmetricEncrypt",
                    "kms:AsymmetricDecrypt",
                    "kms:DescribeKey",
                    "kms:DescribeKeyVersion",
                    "kms:ListKeyVersions",
                    "kms:ListAliasesByKeyId",
                    "kms:TagResource"
                ]

  • Resource

    Wajib. Resource target yang menjadi sasaran kebijakan. Nilai Resource hanya dapat berupa *, yang menunjukkan kunci KMS saat ini.

  • Condition

    Opsional. Kondisi yang harus dipenuhi agar kebijakan berlaku. Elemen kondisi, juga disebut blok kondisi, terdiri dari satu atau beberapa klausa kondisi. Setiap klausa berisi operator kondisi, kunci kondisi, dan nilai kondisi. Untuk informasi selengkapnya, lihat Elemen kebijakan izin.

    Formatnya adalah "Condition": {"condition operator": {"condition key": "condition value"}}.

    • condition operator: Untuk informasi selengkapnya, lihat Jenis operator kondisi.

    • condition key dan condition value: Untuk kunci kondisi dan nilai valid yang didukung oleh kebijakan kunci, lihat Kunci kondisi kebijakan.

FAQ

Bagaimana cara melihat pembuat kunci?

• Konsol: Masuk ke Konsol KMS. Di halaman Keys, buka halaman detail kunci dan lihat bagian Created By.

• API: Panggil operasi DescribeKey. Bidang Creator dalam respons menunjukkan pembuat kunci tersebut.