Key Management Service:SDK の概要

1. RAM コンソールにログインします。ユーザー ページで、目的の RAM ユーザーの名前をクリックします。

2. 認証情報管理 タブの [AccessKey] セクションで、[AccessKey の作成] をクリックします。

3. RAM ユーザーに KMS へのアクセス権限を付与します。

   • 方法 1：ID ベースのポリシーを設定する

     RAM ユーザーの 操作 列で 権限の付与 をクリックして、KMS の組み込みシステム権限ポリシーを RAM ユーザーにアタッチします。KMS のシステム権限ポリシーの詳細については、「KMS のシステムポリシー」をご参照ください。

     説明

     カスタム権限ポリシーを作成することもできます。詳細については、「カスタムポリシーの作成」をご参照ください。

   • 方法 2：リソースベースのポリシーを設定する

     KMS は、個々のキーとシークレットに対するアクセス権限を付与するリソースベースのポリシーをサポートしています。これらのポリシーを使用して、どの Alibaba Cloud アカウント、RAM ユーザー、RAM ロールが KMS のキーとシークレットを管理または使用できるかを制御できます。詳細については、「キーポリシー」および「シークレットポリシー」をご参照ください。

ECS インスタンスの RAM ロールを使用すると、ECS インスタンス内から一時的なアクセス認証情報 (STS トークン) を取得して KMS API オペレーションを呼び出すことができ、AccessKey ペアを設定する必要がありません。

詳細については、「インスタンス RAM ロール」をご参照ください。

1. RAM コンソールにログインし、信頼できる Alibaba Cloud サービス用の RAM ロールを作成します。

   • 信頼できるエンティティタイプ：Elastic Compute Service を選択します。

   • 信頼できるエンティティ：[Elastic Compute Service (ECS)] を選択します。

2. RAM ロールに KMS へのアクセス権限を付与します。

   • 方法 1：ID ベースのポリシーを設定する

     RAM ロールの [操作] 列で 権限の付与 をクリックし、KMS の組み込みシステム権限ポリシーを RAM ロールにアタッチします。 KMS のシステム権限ポリシーの詳細については、「KMS のシステムポリシー」をご参照ください。

     説明

     カスタム権限ポリシーを作成することもできます。詳細については、「カスタムポリシーの作成」をご参照ください。

   • 方法 2：リソースベースのポリシーを設定する

     KMS は、個々のキーとシークレットに対するアクセス権限を付与するリソースベースのポリシーをサポートしています。これらのポリシーを使用して、どの Alibaba Cloud アカウント、RAM ユーザー、RAM ロールが KMS のキーとシークレットを管理または使用できるかを制御できます。詳細については、「キーポリシー」および「シークレットポリシー」をご参照ください。

3. ECS コンソールにログインし、RAM ロールを ECS インスタンスにアタッチします。

Security Token Service (STS) は、RAM ユーザーまたは RAM ロールに一時的なアクセス認証情報である STS トークンを発行します。このトークンにより、限られた有効期間内で特定の権限を持って KMS にアクセスできます。トークンの有効期限が切れると、自動的に無効になります。

1. RAM コンソールにログインして、RAM ユーザーまたは RAM ロールを作成します。詳細については、「RAM ユーザーの作成」および「RAM ロールの作成」をご参照ください。

2. RAM ユーザーまたは RAM ロールに AliyunSTSAssumeRoleAccess 権限を付与します。詳細については、「RAM ユーザーの権限管理」および「RAM ロールへの権限付与」をご参照ください。

3. RAM ユーザーまたは RAM ロールに KMS へのアクセス権限を付与します。

   • 方法 1：ID ベースのポリシーを設定する

     RAM ロールまたはユーザーの 操作 列で、権限の付与 をクリックして KMS の組み込みシステム権限ポリシーをアタッチします。KMS のシステム権限ポリシーの詳細については、「KMS のシステムポリシー」をご参照ください。

     説明

     カスタム権限ポリシーを作成することもできます。詳細については、「カスタムポリシーの作成」をご参照ください。

   • 方法 2：リソースベースのポリシーを設定する

     KMS は、個々のキーとシークレットに対するアクセス権限を付与するリソースベースのポリシーをサポートしています。これらのポリシーを使用して、どの Alibaba Cloud アカウント、RAM ユーザー、RAM ロールが KMS のキーとシークレットを管理または使用できるかを制御できます。詳細については、「キーポリシー」および「シークレットポリシー」をご参照ください。

4. RAM ユーザーまたは RAM ロールを使用して STS の AssumeRole 操作を呼び出し、一時的な STS アクセス認証情報を取得します。詳細については、「AssumeRole」をご参照ください。

RAM ユーザーやクラウドサービスは、長期的なキーを使用する代わりにロールを引き受けて一時的な権限 (STS トークン) を取得することで、キー漏洩のリスクを低減します。例えば、一時的なデータ処理タスクでは、RAM ユーザーやクラウドサービスが特定の RamRoleArn を持つロールを一時的に引き受けます。タスクが完了すると、ロールの権限は取り消され、露出のリスクが最小限に抑えられます。

1. ユーザー AccessKey ペアの作成

   1. [RAM コンソール]にログインします。 左側のナビゲーションウィンドウで、アイデンティティ > ユーザーを選択します。 [ユーザー] ページで、対象の RAM ユーザーの名前をクリックします。

   2. RAM ユーザーに AliyunSTSAssumeRoleAccess システムポリシーまたは sts:AssumeRole アクションを含むカスタムポリシーをアタッチします。

   3. 認証情報管理 タブの AccessKey セクションで、[AccessKey を作成] をクリックします。

2. RAM ロールの作成と権限付与：

   1. 左側のナビゲーションウィンドウで、アイデンティティ > ロール を選択します。[ロール] ページで、ロールの作成 をクリックします。詳細については、「RAM ロールを作成する」をご参照ください。

   2. RAM ロールに KMS へのアクセス権限を付与します。

      • 方法 1：ID ベースのポリシーを設定する

        RAM ロールの[操作]列で、権限の付与をクリックして、KMS の組み込みシステム権限ポリシーを RAM ロールにアタッチします。 KMS のシステム権限ポリシーの詳細については、「KMS のシステムポリシー」をご参照ください。

        説明

        カスタム権限ポリシーを作成することもできます。詳細については、「カスタムポリシーの作成」をご参照ください。

      • 方法 2：リソースベースのポリシーを設定する

        KMS は、個々のキーとシークレットに対するアクセス権限を付与するリソースベースのポリシーをサポートしています。これらのポリシーを使用して、どの Alibaba Cloud アカウント、RAM ユーザー、RAM ロールが KMS のキーとシークレットを管理または使用できるかを制御できます。詳細については、「キーポリシー」および「シークレットポリシー」をご参照ください。

3. 対象の RAM ロールの RamRoleArn を取得します。詳細については、「RAM ロールの情報の表示」をご参照ください。

   1. 左側のナビゲーションウィンドウで、アイデンティティ > ロール を選択します。[ロール] ページで、対象のロールの名前をクリックします。

   2. ロールの詳細ページで、[ARN] セクションにある RamRoleArn を見つけます。

      説明

      RamRoleArn は、引き受ける RAM ロールの Alibaba Cloud リソースネーム (ARN) です。フォーマットは acs:ram::$accountID:role/$roleName で、$accountID は Alibaba Cloud アカウント ID、$roleName は RAM ロール名です。

1. OIDC プロバイダーの作成

   1. RAM 管理者として RAM コンソールにログインします。[SSO] ページで、[ロールベースの SSO] タブをクリックします。

   2. [OIDC] タブで、IdP の作成 をクリックします。

   3. IdP の作成 ページで、プロバイダー情報を設定します。詳細については、「OIDC プロバイダーの管理」をご参照ください。

2. OIDC ID 情報 (ARN とクライアント ID) の取得と保存

   1. SSO ページに移動し、IdP タブで、対象の OIDC プロバイダーの名前をクリックします。

   2. IdP 詳細ページで、ARN と Client ID を確認できます。

3. OIDC プロバイダー用の RAM ロールの作成と権限付与

   1. RAM 管理者としてRAM コンソールにログインし、アイデンティティ > ロール ページに移動します。

   2. ロールの作成 をクリックします。 作成ページの右上隅で、[ポリシーエディターに切り替え] をクリックします。

   3. ポリシーエディターで、OIDC プロバイダーを指定します。ビジュアルエディタを選択し、以下のようにパラメーターを設定します。

      説明

      他のモードについては、「OIDC ID プロバイダー用の RAM ロールの作成」をご参照ください。

      1. [信頼できるエンティティの選択] セクションで、IdP を選択します。

      2. [信頼ポリシーの編集] セクションで、次のパラメーターを設定します。

         • IdP タイプ：OIDC を選択します。

         • IdP: 事前に作成した OIDC プロバイダーを選択します。

4. OIDC RAM ロールに KMS へのアクセス権限を付与する

   • 方法 1：ID ベースのポリシーを設定する

     アイデンティティ > ロール リストページに戻り、ターゲット OIDC ロールの[操作]列にある権限の付与をクリックして、KMS 組み込みシステム権限ポリシーを RAM ロールに直接アタッチします。 KMS 組み込みシステム権限ポリシーの詳細については、「Key Management Service システム権限ポリシーリファレンス」をご参照ください。

     説明

     カスタム権限ポリシーもサポートされています。詳細については、「カスタムポリシーの作成」をご参照ください。

   • 方法 2：リソースベースのポリシーを設定する

     KMS は、個々のキーとシークレットに対するアクセス権限を付与するリソースベースのポリシーをサポートしています。これらのポリシーを使用して、どの Alibaba Cloud アカウント、RAM ユーザー、RAM ロールが KMS のキーとシークレットを管理または使用できるかを制御できます。詳細については、「キーポリシー」および「シークレットポリシー」をご参照ください。

5. 対象の OIDC ロール ARN の取得

   1. アイデンティティ > ロール ページで、対象のロールの名前をクリックします。

   2. ロールの詳細ページで、[ARN] セクションにある OIDC ロール ARN を見つけます。

      説明

      ロール ARN は、引き受ける RAM ロールの ARN です。フォーマットは acs:ram::$accountID:role/$roleName で、$accountID は Alibaba Cloud アカウント ID、$roleName は RAM ロール名です。

6. OIDC トークンファイルの発行と保存

   Alibaba Cloud はコンソールからの直接の OIDC ログインをサポートしていませんが、プログラムで OIDC SSO プロセスを完了することができます。OIDC トークンの取得には OAuth フローが関与し、通常は OIDC ID プロバイダー (IdP) からの標準的な OAuth 2.0 プロセスを介して行われます。

   例：RRSA が有効になっている ACK クラスターでアプリケーションが実行されると、クラスターはアプリケーションポッドに対応するサービスアカウントの OIDC トークンファイルを自動的に作成してマウントします。

1. Key Management Service コンソールにログインします。上部ナビゲーションバーで、リージョンを選択します。左側のナビゲーションウィンドウで、アプリケーションアクセス > マルチクラウドアクセス (旧アクセスポイント) を選択します。

2. (オプション) ネットワークルールを作成します。

   説明

   ソース IP アドレスによるアクセスを制限するためのネットワークルールの設定はオプションです。ただし、セキュリティ向上のために設定することを推奨します。

   1. Network Access Rules タブをクリックし、Create Network Access Rule をクリックします。

   2. Create Network Access Rule パネルで、Network Type を [パブリック] に設定し、Allowed Source IP Addresses を入力して、[OK] をクリックします。

3. 権限ポリシーを作成します。

   1. 権限ポリシー タブをクリックし、権限ポリシーの作成 をクリックします。

   2. 権限ポリシーの作成 パネルで、以下のように共有ゲートウェイのパラメーターを設定し、[OK] をクリックします。

      1. スコープ: Shared KMS Gateway

      2. アクセス可能のリソース: アクセスするシークレットを選択します。

      3. (任意) Network Access Rules：前のステップで作成したネットワークルールを選択します。

4. アプリケーションアクセスポイント (AAP) を作成します。

   1. アプリケーションアクセス タブをクリックし、次に Create AAP をクリックします。

   2. Create AAP パネルで、Mode を Standard Creation に設定し、以下のようにパラメーターを設定します。

      パラメーター	説明
      Authentication Method	ClientKey を選択します。
      Encryption Password	数字、文字、および特殊文字 ~!@#$%^&*?_- を含む 8〜64 文字の文字列を入力します。
      Validity Period	重要 ClientKey 漏洩のリスクを低減するため、有効期間を 1 年に設定することを推奨します。サービス中断を避けるため、有効期限が切れる前に ClientKey をローテーションしてください。詳細については、「ClientKey のローテーション」をご参照ください。
      権限ポリシー	前のステップで作成した権限ポリシーを選択します。

   3. 確認 をクリックします。ブラウザが自動的に ClientKey をダウンロードします。ClientKey には、次のファイルが含まれています。

      • アプリケーション認証情報の内容 (ClientKeyContent): デフォルトのファイル名は clientKey_****.json です。

      • 認証情報パスワード (ClientKeyPassword): デフォルトのファイル名は clientKey_****_Password.txt です。

ClientKey は、クイック作成または標準作成モードのいずれかを使用して作成できます。ClientKey の詳細については、「アプリケーションアクセスポイント」および「アプリケーションアクセスポイントの作成」をご参照ください。

• 方法 1：クイック作成

  この方法は便利で効率的であり、迅速なテストと開発に適しています。この方法で作成されたアクセス認証情報は、KMS インスタンス内のすべてのリソースへの完全なアクセス権を持ちます。

  1. Key Management Service コンソールにログオンします。上部のナビゲーションバーで、リージョンを選択します。左側のナビゲーションウィンドウで、アプリケーションアクセス > マルチクラウドアクセス (旧アクセスポイント)を選択します。

  2. アプリケーションアクセス タブで、Create AAP をクリックします。Create AAP パネルで、パラメーターを設定します。

     パラメーター	説明
     Mode	Quick Creation を選択します。
     Scope (KMS Instance)	アプリケーションがアクセスする必要のある KMS インスタンスを選択します。
     Application Access Point Name	アプリケーションアクセスポイントの名前を入力します。
     Authentication Method	これは ClientKey に設定されており、変更できません。
     認証情報暗号化アルゴリズム	ClientKey を暗号化するために使用される暗号化アルゴリズムを選択します。有効な値：TripleDES-CBC および RC2-CBC (デフォルト)。
     Default Permission Policy	値は key/* secret/* であり、変更できません。これは、アプリケーションが指定された KMS インスタンス内のすべてのキーとシークレットにアクセスできることを意味します。

  3. 確認 をクリックします。ブラウザが自動的に ClientKey をダウンロードします。ClientKey には、以下のファイルが含まれています。

     • アプリケーション認証情報の内容 (ClientKeyContent): デフォルトのファイル名は clientKey_****.json です。

     • 認証情報パスワード (ClientKeyPassword): デフォルトのファイル名は clientKey_****_Password.txt です。

• 方法 2：標準作成

  リソースに対して詳細なアクセス権限を設定する必要がある場合は、標準作成方法を使用することを推奨します。

  1. 「アプリケーションアクセスポイントの作成」の標準作成手順に従って、専用ゲートウェイにアクセスするための ClientKey を作成します。主要なパラメーターは以下の通りです：

     1. ネットワークルールを設定する際、ネットワークタイプに [プライベート] を選択します。

     2. 権限ルールのスコープを設定する際、対応する KMS インスタンス ID を選択します。

  2. 作成後、ブラウザが自動的に ClientKey をダウンロードします。これには以下が含まれます：

     • アプリケーション認証情報の内容 (ClientKeyContent): ファイル名は、デフォルトで clientKey_****.json です。

     • 認証情報パスワード (ClientKeyPassword): デフォルトではファイル名は clientKey_****_Password.txt です。