Key Management Service:KMS エージェントの概要

仕組み

エージェントはメモリを使用してシークレット値をキャッシュし、設定した Time To Live (TTL) に基づいてキャッシュされたシークレット値を定期的に更新します。 アプリケーションが HTTP リクエストを介してエージェントからシークレット値をリクエストすると、エージェントは Server-Side Request Forgery (SSRF) トークンファイルを使用してリクエストの正当性を検証します。 キャッシュに有効なシークレット値が存在する場合、それらが返されます。 それ以外の場合は、リクエストは KMS サービスに転送されます。 サービスがエージェントの ID を検証した後、KMS サービスからシークレットを復号化して返します。 エージェントはキャッシュを更新し、HTTP メッセージを介してアプリケーションにシークレット値を返します。 プロセスは次の図に示されています。

• キャッシュヒットプロセス

• キャッシュミス（キャッシュなしまたは期限切れのキャッシュ）プロセス

ローカルの物理サーバー、仮想マシン (ECS など)、コンテナー (Kubernetes ポッドなど) など、さまざまな環境でアプリケーションと一緒にエージェントをデプロイします。 コードリポジトリについては、alibabacloud-kms-agent にアクセスしてください。

アーキテクチャコンポーネント

エージェントは、HTTP サーバー、キャッシュ、KMS クライアント、ログの 4 つのコンポーネントで構成されています。

以下で説明するように、構成ファイルを使用してこれら 4 つのコンポーネントを構成できます。 ソースコードについては、alibabacloud-kms-agent をご参照ください。

# すべての設定項目
[Server]
# オプション、デフォルト値は 2025、エージェントのデフォルトのリスニングアドレスは 127.0.0.1:2025
HttpPort = 2025
# オプション、デフォルト値は ["X-KMS-Token", "X-Vault-Token"]。
# エージェントへのアクセスには SSRF ヘッダーが必要です。そうでない場合はアクセスが禁止されます。
SSRFHeaders = ["X-KMS-Token"]
# オプション、デフォルト値は ["KMS_TOKEN", "KMS_SESSION_TOKEN", "KMS_CONTAINER_AUTHORIZATION_TOKEN"]、変数値は特定の値、または file:///var/run/awssmatoken などのファイルパスにすることができます。
# エージェントは Env から SSRF トークンを取得し、アプリケーションアクセスヘッダーに含まれるトークンと比較します。一致する場合にのみアクセスが許可されます。
SSRFEnvVariables = ["KMS_TOKEN"]
# オプション、デフォルト値は "/v1/"。
# パスベースのアクセスの URI プレフィックス
PathPrefix = "/v1/"
# オプション、デフォルト値は 800
# 同時リクエストの最大数
MaxConn = 800
# オプション、デフォルト値は 0
# 0: シークレットコンテンツは KMS GetSecretvalue API レスポンス形式で返されます。 1: シークレットコンテンツは AWS SeceretManager GetSecretvalue API レスポンス形式で返されます。 2: HashiCorp KV 構造で返されます。
ResponseType = 0
# オプション、デフォルト値 true
# IgnoreTransientErrors が true の場合、キャッシュが無効でリモート KMS へのアクセスに失敗した場合、レスポンスはメモリ内の期限切れのシークレットを返します。
IgnoreTransientErrors = true

[Kms]
# オプション、デフォルト値は cn-hangzhou
# KMS が配置されているリージョン
Region = "cn-hangzhou"
# オプション、デフォルト値は kms.cn-hangzhou.aliyuncs.com
# エンドポイントは、共有ゲートウェイエンドポイントまたは専用ゲートウェイエンドポイントにすることができます
Endpoint = "kms.cn-hangzhou.aliyuncs.com"

[Cache]
# オプション、デフォルトは InMemory、現在サポートされているのはメモリキャッシュのみです
CacheType = "InMemory"
# オプション、デフォルトのキャッシュサイズは 1000 シークレット、CacheSize=0 の場合、キャッシュは使用されず、各リクエストはリモート KMS にアクセスします。
CacheSize = 1000
# オプション、キャッシュの時間有効性、デフォルト値は 300 秒。
TtlSeconds = 300
# オプション、キャッシュエビクションポリシー、デフォルトは入力されていない場合は false です。
# キャッシュシークレットが CacheSize 制限に達した場合、false はキャッシュ時間に基づいて最も古いキャッシュシークレットを削除することを意味し、true は使用頻度に基づいて最近使用されていないシークレットをエビクトすることを意味します。
EnableLRU = false

[Log]
# オプション、デフォルトのログレベル Debug
LogLevel = "Debug"
# オプション、アプリケーション起動ディレクトリの ./logs/ にデフォルトのログストレージ
LogPath = "./logs/"
# オプション、デフォルトの単一ログサイズ 100M
MaxSize = 100
# オプション、デフォルトで 2 つのログファイルを保持
MaxBackups = 2

セキュリティ

安定性

エージェントは、自己チェック、再試行メカニズム、その他の対策を通じて、複雑なネットワーク環境や突然の障害シナリオにおけるサービスの継続性を保証します。

• 起動時の自己チェックメカニズム。

  エージェントが起動すると、KMS への接続を確認します。 検証に失敗した場合、起動は終了します。

• エラー再試行メカニズム。

  エージェントは Alibaba Cloud SDK (V2) に依存して KMS と通信します。 ネットワーク例外が発生した場合、Alibaba Cloud SDK (V2) の組み込みエラー再試行ロジックを使用してリクエストを自動的に再送信します。 サーバー側のスロットリング (HTTP 429) または内部サーバーエラー (HTTP 500) が発生した場合、間隔時間に指数バックオフ方式を使用して 3 回再試行します。

• 障害発生時の期限切れキャッシュの使用。

  エージェント構成ファイルで IgnoreTransientErrors パラメーターを設定することにより、ネットワークまたはサーバー側の障害が発生した場合、古いキャッシュデータをチェックして返し、短期間の障害のためにアプリケーションがシークレットの取得に失敗しないようにします。 IgnoreTransientErrors パラメーターはデフォルトで有効になっています。

• systemd またはサイドカーコンテナーに基づく高可用性保証。

  • Linux (systemd): Linux では systemd によって管理され、エージェントプロセスがクラッシュした場合に自動的に再起動します。

  • サイドカーコンテナー: init コンテナーとしてデプロイされます。エージェントが失敗するとコンテナーの再起動がトリガーされ、アプリケーションの安定性が保証されます。

メリット

• パフォーマンスと信頼性

  エージェントはシークレット値をメモリにキャッシュし、高頻度アクセスシナリオで KMS サービスへの頻繁なリクエストを削減し、高頻度アクセスによって発生する可能性のあるスロットリングを回避することで、パフォーマンスとビジネスの可用性を向上させます。

• 互換性

  エージェントは標準化された HTTP インターフェースに基づいてサービスを提供し、あらゆるプログラミング言語のアプリケーションからの呼び出しをサポートします。 アプリケーションで異なる言語を使用する場合、エージェントは統合の難しさを軽減します。

• 簡素化された統合

  エージェントを介して、アプリケーションを KMS から分離できます。 これにより、アプリケーションが KMS サービスと対話するために必要な複雑さが軽減されます。 アプリケーションは、KMS サービスにアクセスするときに、認証、API 呼び出しなどの側面を処理することなく、エージェントと通信するだけで済みます。

• 一元管理とスケーラビリティ

  エンタープライズレベルのマルチアプリケーションシナリオでは、エージェントはアクセス権限の管理と制御を統合し、各クライアントでの権限の構成を削減し、さまざまなアプリケーションの統合プロセスにおける均一性を確保します。 ビジネスを拡大する必要がある場合、エージェントは新しいアプリケーションの統合を促進し、SDK の使用によって発生する可能性のある権限構成とコード変更を削減します。

KMS エージェントとシークレットクライアント

KMS エージェントは中間層として機能し、アプリケーションはエージェントを介して KMS サービスに間接的にアクセスします。 シークレットクライアントを使用するには、アプリケーションが SDK を介して KMS サービスの API を呼び出す必要があります。 2 つの違いを次の表に示します。