すべてのプロダクト
Search

このプロダクト

    Key Management Service:GetSecretValue

    ドキュメントセンター

    Key Management Service:GetSecretValue

    最終更新日:Oct 03, 2026

    シークレット値を取得します。

    操作説明

    • この操作の呼び出しのために RAM ユーザーまたは RAM ロールに付与する必要があるアクセスポリシーの詳細については、「アクセスコントロール」を参照してください。

    • バージョン番号またはバージョンステータスを指定しない場合、KMS はデフォルトで ACSCurrent としてマークされたバージョンのシークレット値を返します。

    • シークレットがカスタムマスターキーを使用してシークレット値を保護している場合、呼び出し元は対応するマスターキーに対する kms:Decrypt 権限も持っている必要があります。

    この Topic では、secret001 という名前のシークレットのシークレット値を取得する例を示します。応答は、シークレット値 SecretData が testdata1 であることを示しています。

    今すぐお試しください

    この API を OpenAPI Explorer でお試しください。手作業による署名は必要ありません。呼び出しに成功すると、入力したパラメーターに基づき、資格情報が組み込まれた SDK コードが自動的に生成されます。このコードをダウンロードしてローカルで使用できます。

    テスト

    RAM 認証

    下表に、この API を呼び出すために必要な認証情報を示します。認証情報は、RAM (Resource Access Management) ポリシーを使用して定義できます。以下で各列名について説明します。

    • アクション：特定のリソースに対して実行可能な操作。ポリシー構文ではAction要素として指定します。

    • API：アクションを具体的に実行するための API。

    • アクセスレベル：各 API に対して事前定義されているアクセスの種類。有効な値：create、list、get、update、delete。

    • リソースタイプ：アクションが作用するリソースの種類。リソースレベルでの権限をサポートするかどうかを示すことができます。ポリシーの有効性を確保するため、アクションの対象として適切なリソースを指定してください。

      • リソースレベルの権限を持つ API の場合、必要なリソースタイプはアスタリスク (*) でマークされます。ポリシーのResource要素で対応する ARN を指定してください。

      • リソースレベルの権限を持たない API の場合、「すべてのリソース」と表示され、ポリシーのResource要素でアスタリスク (*) でマークされます。

    • 条件キー：サービスによって定義された条件のキー。このキーにより、きめ細やかなアクセス制御が可能になります。この制御は、アクション単体に適用することも、特定のリソースに対するアクションに適用することもできます。Alibaba Cloud は、サービス固有の条件キーに加えて、すべての RAM 統合サービスに適用可能な一連の共通条件キーを提供しています。

    • 依存アクション：ある特定のアクションを実行するために、前提として実行が必要となる他のアクション。依存アクションの権限も RAM ユーザーまたは RAM ロールに付与する必要があります。

    アクション

    アクセスレベル

    リソースタイプ

    条件キー

    依存アクション

    kms:GetSecretValue

    get

    *Secret。

    acs:kms:{#regionId}:{#accountId}:secret/{#SecretName}

    		 なし
    • kms:Decrypt

    リクエストパラメーター

    パラメーター

    型

    必須 / 任意

    説明

    例
    SecretName

    string

    必須

    シークレット名またはシークレットの Amazon リソースネーム (ARN)。

    説明

    別の Alibaba Cloud アカウントのシークレットにアクセスする場合は、シークレット ARN を入力する必要があります。シークレット ARN のフォーマットは acs:kms:${region}:${account}:secret/${secret-name} です (region はリージョンを表します)。

    secret001
    VersionStage

    string

    任意

    バージョンステータス。デフォルト値: ACSCurrent。

    このパラメーターを指定すると、指定されたバージョンステータスのシークレット値が返されます。このパラメーターを指定しない場合、ACSCurrent バージョンステータスのシークレット値が返されます。

    説明

    ApsaraDB RDS シークレット、PolarDB シークレット、Redis/Tair シークレット、動的 RAM シークレット、および動的 ECS シークレットの場合、ACSPrevious および ACSCurrent に対応するシークレット値のみを取得できます。

    ACSCurrent
    VersionId

    string

    任意

    バージョン番号。

    説明

    ApsaraDB RDS シークレット、PolarDB シークレット、Redis/Tair シークレット、動的 RAM シークレット、または動的 ECS シークレットでは、VersionId の指定はサポートされていません。このパラメーターを設定しても無視されます。

    v1
    FetchExtendedConfig

    boolean

    任意

    シークレットの拡張構成を取得するかどうかを指定します。有効な値:

    • true: 拡張構成を取得します。

    • false (デフォルト): 拡張構成を取得しません。

    説明

    汎用シークレットは拡張構成をサポートしていません。このパラメーターを設定しても無視されます。

    true
    DryRun

    string

    任意

    DryRun モードを有効にするかどうかを指定します。有効な値:

    • true: DryRun モードを有効にします。

    • false (デフォルト): DryRun モードを無効にします。

    DryRun モードは、API 呼び出しをテストし、指定されたリソースに対する必須の権限があるかどうかを確認し、リクエストパラメーターが正しく構成されているかどうかをチェックするために使用されます。DryRun モードが有効な場合、KMS は常に失敗の理由とともに失敗を返します。考えられる失敗の理由は次のとおりです。

    • DryRunOperationError: DryRun パラメーターが構成されていなければ、リクエストは成功します。

    • ValidationError: リクエストで指定されたパラメーターが無効です。

    • AccessDeniedError: KMS リソースに対してこの操作を実行する権限がありません。

    false
    Recipient

    string

    任意

    { "AttestationDocument":"base64-encoded-attestion-document", "KeyEncryptionAlgorithm":"RSAES_OAEP_SHA_256" }

    共通リクエストパラメーターの詳細については、「共通パラメーター」を参照してください。

    レスポンスフィールド

    フィールド

    型

    説明

    例

    object

    SecretDataType

    string

    シークレット値のタイプ。有効な値:

    • text

    • binary (バイナリ)

    binary
    CreateTime

    string

    シークレットが作成された時間。

    2024-02-21T15:39:26Z
    VersionId

    string

    シークレットのバージョン番号。

    v1
    NextRotationDate

    string

    次回のローテーションの時間。

    説明

    このパラメーターは、自動回転が有効な場合に返されます。

    2024-07-06T18:22:03Z
    SecretData

    string

    シークレット値。KMS は保存されている暗号文のシークレット値を復号し、このパラメーターを返します。

    • 汎用シークレットの場合、指定したシークレット値が返されます。

    • ApsaraDB RDS シークレットおよび Redis/Tair シークレットの場合、シークレット値は次のフォーマットで返されます: {"AccountName":"","AccountPassword":""}。

    • 動的 RAM シークレットの場合、シークレット値は次のフォーマットで返されます: {"AccessKeyId":"Adfdsfd","AccessKeySecret":"fdsfdsf","GenerateTimestamp": "2023-03-25T10:42:40Z"}。

    • 動的 ECS シークレットの場合、シークレット値は次のいずれかのフォーマットで返されます:

      • パスワードタイプのシークレット: {"UserName":"ecs-user","Password":"H5asdasdsads****"}。

      • 公開キー/非公開キータイプのシークレット (PEM フォーマットの秘密鍵): {"UserName":"ecs-user","PublicKey":"ssh-rsa ****mKwnVix9YTFY9Rs= imported-openssh-key","PrivateKey": "d6bee1cb-2e14-4277-ba6b-73786b21****"}。

    • PolarDB シークレットの場合、シークレット値は次のフォーマットで返されます: {"AccountName":"","AccountPassword":""}。

    testdata1
    RotationInterval

    string

    自動的なシークレットのローテーションの間隔。

    フォーマットは integer[unit] で、integer は持続時間を示し、unit は時間の単位を示します。unit の有効な値: s (秒)。たとえば、7 日のローテーション間隔は 604800s と表現されます。

    説明

    このパラメーターは、自動回転が有効な場合に返されます。

    604800s
    ExtendedConfig

    string

    シークレットの拡張構成。

    説明

    このパラメーターは、FetchExtendedConfig が true に設定されている場合に、ApsaraDB RDS シークレット、PolarDB シークレット、Redis/Tair シークレット、動的 RAM シークレット、または動的 ECS シークレットに対してのみ返されます。

    {\"SecretSubType\":\"SingleUser\", \"DBInstanceId\":\"rm-uf667446pc955****\", \"CustomData\":{} }
    LastRotationDate

    string

    直近のローテーションの時間。

    説明

    このパラメーターは、シークレットが少なくとも 1 回回転されている場合に返されます。

    2023-07-05T08:22:03Z
    RequestId

    string

    リクエストの ID。Alibaba Cloud によってリクエスト用に生成される一意の識別子です。この ID を使用して、問題のトラブルシューティングと特定ができます。

    6a3e9c36-1150-4881-84d3-eb8672fcafad
    SecretName

    string

    シークレット名。

    secret001
    AutomaticRotation

    string

    自動回転が有効かどうかを示します。有効な値:

    • Enabled: 自動回転が有効です。

    • Disabled: 自動回転が無効です。

    • Invalid: ローテーションステータスが異常であり、KMS はシークレットを自動回転できません。

    説明

    このパラメーターは、ApsaraDB RDS シークレット、PolarDB シークレット、Redis/Tair シークレット、動的 RAM シークレット、または動的 ECS シークレットに対してのみ返されます。

    Enabled
    SecretType

    string

    シークレットタイプ。有効な値:

    • Generic: 汎用シークレット。

    • Rds: ApsaraDB RDS シークレット。

    • Redis: Redis/Tair シークレット。

    • RAMCredentials: 動的 RAM シークレット。

    • ECS: 動的 ECS シークレット。

    • PolarDB: PolarDB シークレット。

    Generic
    VersionStages

    object

    VersionStage

    array

    シークレットバージョンのステータスラベル。

    string

    シークレットバージョンのステータスラベル。

    { "VersionStage": [ "ACSCurrent" ] }
    CiphertextForRecipient

    string

    ***CipherForRecipient***

    例

    成功レスポンス

    JSONJSON

    {
  "SecretDataType": "バイナリ",
  "CreateTime": "2024-02-21T15:39:26Z",
  "VersionId": "v1",
  "NextRotationDate": "2024-07-06T18:22:03Z",
  "SecretData": "testdata1",
  "RotationInterval": "604800s",
  "ExtendedConfig": "{\\\"SecretSubType\\\":\\\"SingleUser\\\", \\\"DBInstanceId\\\":\\\"rm-uf667446pc955****\\\",  \\\"CustomData\\\":{} }",
  "LastRotationDate": "2023-07-05T08:22:03Z",
  "RequestId": "6a3e9c36-1150-4881-84d3-eb8672fcafad",
  "SecretName": "シークレット001",
  "AutomaticRotation": "Enabled",
  "SecretType": "Generic",
  "VersionStages": {
    "VersionStage": [
      "{ \"VersionStage\": [ \t\"ACSCurrent\" \t] }"
    ]
  },
  "CiphertextForRecipient": "***CipherForRecipient***"
}

    エラーコード

    HTTP ステータスコード

    エラーコード

    エラーメッセージ

    説明
    403 Forbidden.DKMSInstanceStateInvalid The DKMS instance state is invalid.
    403 Forbidden.DKMSInstanceNotFound The specified DKMS Instance is not found.
    404 Forbidden.KeyNotFound The specified Key is not found.
    404 Forbidden.ResourceNotFound Resource not found.

    完全なリストについては、「エラーコード」をご参照ください。

    変更履歴

    完全なリストについては、「変更履歴」をご参照ください。