Resource Access Management:Mengelola kredensial layanan (Kunci API)

Fitur utama

• Isolasi tingkat layanan: Setiap Kunci API terikat pada satu layanan cloud (ditentukan oleh ServiceName-nya) saat pembuatan. Kunci ini hanya dapat digunakan untuk memanggil API layanan tersebut dan tidak dapat digunakan untuk panggilan lintas layanan. Anda tidak dapat memperluas cakupannya melalui kebijakan izin.

• Cakupan izin yang diminimalkan: Izin efektif dari Kunci API merupakan irisan antara izin Pengguna RAM yang terkait dan cakupan layanan cloud yang terikat. Meskipun Pengguna RAM memiliki izin untuk beberapa layanan, Kunci API tetap dibatasi hanya pada layanan yang ditentukan.

• Dibatasi hanya untuk Pengguna RAM: Hanya Pengguna RAM yang dapat membuat Kunci API. Akun Alibaba Cloud (akun root) tidak dapat membuatnya. Praktik ini membantu mengurangi potensi dampak kebocoran kredensial.

• Konvensi penamaan: ServiceCredential adalah istilah yang digunakan dalam OpenAPI dan SDK, sedangkan konsol menggunakan istilah yang lebih ramah pengguna, yaitu API Key. Kedua istilah tersebut merujuk pada resource yang sama.

Kunci API vs. AccessKey

Baik Kunci API maupun AccessKey merupakan kredensial jangka panjang untuk Pengguna RAM. Namun, keduanya berbeda dalam cakupan layanan, metode penerbitan, dan kasus penggunaan.

Status siklus hidup

Kunci API dapat berada dalam salah satu dari tiga status berikut selama siklus hidupnya:

• Active: Kredensial dapat digunakan untuk memanggil OpenAPI layanan cloud yang terikat. Ini adalah status default saat pembuatan.

• Inactive: Kredensial dinonaktifkan sementara. Anda dapat mengaktifkannya kembali ke status Active. Kunci harus berada dalam status inactive sebelum Anda dapat menghapusnya.

• Expired: Sistem secara otomatis mengubah status kunci menjadi Expired saat waktu kedaluwarsanya tercapai. Kredensial menjadi tidak valid secara permanen dan tidak dapat dipulihkan. Anda harus membuat kunci baru.

Kuota dan kedaluwarsa

• Kuota: Setiap Pengguna RAM dapat membuat maksimal dua Kunci API per layanan cloud, termasuk kunci Active dan Inactive. Kuota ini bersifat tetap. Kunci yang kedaluwarsa tetap dihitung dalam kuota ini; kunci yang dihapus tidak dihitung.

• Unit periode kedaluwarsa: Hari.

• Rentang nilai: Konsol menyediakan opsi preset untuk 1, 7, 30, dan 90 hari, atau Anda dapat mengatur kunci agar tidak pernah kedaluwarsa. Nilai kustom juga didukung.

• Default OpenAPI: Jika Anda menghilangkan parameter CredentialAgeDays saat memanggil operasi CreateServiceCredential, kunci akan diatur agar tidak pernah kedaluwarsa.

• Kedaluwarsa bersifat final: Saat kunci kedaluwarsa, statusnya berubah menjadi Expired, dan kredensial menjadi tidak valid secara permanen. Kunci tersebut tidak dapat diaktifkan kembali. Anda harus menghapus kunci yang kedaluwarsa dan membuat kunci baru.

Layanan cloud yang didukung

Di Konsol RAM, buka halaman User Details > tab Credential Management > bagian API Keys, lalu klik Create API Key. Daftar drop-down Cloud Service menampilkan layanan yang tersedia untuk akun Anda. Lihat dokumentasi layanan tertentu untuk daftar API yang didukung.

Pengelolaan mandiri untuk Pengguna RAM

Akun Alibaba Cloud atau administrator RAM dengan izin yang cukup dapat menggunakan pengaturan AllowUserToManageServiceCredential dalam pengaturan keamanan RAM untuk mengontrol apakah Pengguna RAM dapat mengelola Kunci API mereka sendiri. Pengaturan ini memiliki dua status berikut:

• Izinkan pengelolaan mandiri: Pengguna RAM dapat login ke konsol atau memanggil OpenAPI untuk membuat, memperbarui, atau menghapus Kunci API mereka sendiri, asalkan tindakan tersebut tidak secara eksplisit dilarang oleh administrator melalui kebijakan izin (yaitu, tidak ada kebijakan Deny yang eksplisit).

• Pengelolaan mandiri tidak diizinkan: Pengguna RAM tidak dapat mengelola Kunci API mereka sendiri. Kunci tersebut harus dibuat dan dikelola oleh administrator yang memiliki izin seperti ram:CreateServiceCredential.

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "ram:CreateServiceCredential",
        "ram:ListServiceCredentials"
      ],
      "Resource": "acs:ram:*:ACCOUNT_ID:user/USER_NAME"
    }
  ]
}

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "ram:CreateServiceCredential",
        "ram:ListServiceCredentials",
        "ram:GetServiceCredential",
        "ram:UpdateServiceCredential",
        "ram:DeleteServiceCredential"
      ],
      "Resource": "acs:ram:*:ACCOUNT_ID:user/USER_NAME"
    }
  ]
}

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "ram:CreateServiceCredential",
        "ram:ListServiceCredentials",
        "ram:GetServiceCredential",
        "ram:UpdateServiceCredential",
        "ram:DeleteServiceCredential"
      ],
      "Resource": "acs:ram:*:ACCOUNT_ID:user/USER_NAME",
      "Condition": {
        "StringEquals": {
          "ram:ServiceCredentialServiceName": "ak.aliyuncs.com"
        }
      }
    }
  ]
}

Struktur data Kunci API

Setiap Kunci API terdiri dari bidang-bidang inti berikut. Nama bidang yang dikembalikan oleh OpenAPI diawali dengan ServiceCredential, sedangkan nama bidang di konsol lebih ramah pengguna.

Rekomendasi keamanan

• Tetapkan periode kedaluwarsa untuk Kunci API. Hindari mengatur kunci uji jangka pendek agar tidak pernah kedaluwarsa. Untuk kasus penggunaan lain, tetapkan periode kedaluwarsa yang sesuai, seperti 30 atau 90 hari, berdasarkan siklus penggunaan layanan, dan rotasi kunci sebelum masa berlakunya habis.

• Segera salin rahasia Kunci API atau unduh file CSV setelah membuat kunci. Setelah Anda menutup jendela pop-up, Anda tidak dapat mengambil kembali rahasianya. Jika Anda kehilangan rahasia tersebut, Anda harus menghapus kunci dan membuat kunci baru.

• Perlakukan Kunci API sebagai kredensial yang sangat sensitif. Jangan menyimpannya dalam teks biasa di repositori kode, file konfigurasi, atau log. Kami merekomendasikan penggunaan layanan manajemen rahasia atau mengenkripsinya dengan KMS sebelum penyimpanan.