Key Management Service:SDK の概要

1. RAM コンソールにログインします。ユーザー ページで、対象の RAM ユーザーの名前をクリックします。

2. 認証管理タブの[AccessKey] セクションで、[AccessKey の作成]をクリックし、画面の指示に従います。

3. RAM ユーザーに KMS へのアクセス権限を付与します。

   • 方法 1：ID ベースのポリシーを構成する

     RAM ユーザーの[操作]列で、権限の付与をクリックして、RAM ユーザーに KMS の組み込みシステム権限ポリシーをアタッチします。KMS のシステム権限ポリシーの詳細については、「KMS のシステムポリシー」をご参照ください。

     説明

     カスタム権限ポリシーを作成することもできます。詳細については、「カスタムポリシーの作成」をご参照ください。

   • 方法 2：リソースベースのポリシーを構成する

     KMS は、個々のキーとシークレットへのアクセス権限を付与するリソースベースのポリシーをサポートしています。これらのポリシーを使用して、どの Alibaba Cloud アカウント、RAM ユーザー、RAM ロールが KMS のキーとシークレットを管理または使用できるかを制御できます。詳細については、「キーポリシー」および「シークレットポリシー」をご参照ください。

ECS インスタンスの RAM ロールを使用すると、AccessKey ペアを構成することなく、ECS インスタンス内から一時的なアクセス認証情報 (STS トークン) を取得して KMS API オペレーションを呼び出すことができます。

詳細については、「インスタンス RAM ロール」をご参照ください。

1. RAM コンソールにログインし、信頼できる Alibaba Cloud サービス用の RAM ロールを作成します。

   • 信頼できるエンティティタイプ： Elastic Compute Service を選択します。

   • 信頼できるエンティティ：[Elastic Compute Service (ECS)] を選択します。

2. RAM ロールに KMS へのアクセス権限を付与します。

   • 方法 1：ID ベースのポリシーを構成する

     RAM ロールの [操作] 列で 権限の付与 をクリックして、KMS の組み込みシステム権限ポリシーを RAM ロールにアタッチします。詳細については、「KMS のシステムポリシー」をご参照ください。

     説明

     カスタム権限ポリシーを作成することもできます。詳細については、「カスタムポリシーの作成」をご参照ください。

   • 方法 2：リソースベースのポリシーを構成する

     KMS は、個々のキーとシークレットへのアクセス権限を付与するリソースベースのポリシーをサポートしています。これらのポリシーを使用して、どの Alibaba Cloud アカウント、RAM ユーザー、RAM ロールが KMS のキーとシークレットを管理または使用できるかを制御できます。詳細については、「キーポリシー」および「シークレットポリシー」をご参照ください。

3. ECS コンソールにログインし、RAM ロールを ECS インスタンスにアタッチします。

RAM ユーザーまたはクラウドサービスは、長期的なキーを使用する代わりにロールを偽装して一時的な権限 (STS トークン) を取得することで、キー漏洩のリスクを低減できます。たとえば、一時的なデータ処理タスクで、RAM ユーザーまたはクラウドサービスが特定の RamRoleArn を持つロールを一時的に偽装します。タスクが完了すると、ロールの権限は取り消され、漏洩のリスクが最小限に抑えられます。

1. ユーザー AccessKey ペアの作成

   1. RAM コンソールにログインします。 左側のナビゲーションウィンドウで、アイデンティティ > ユーザーを選択します。 [ユーザー] ページで、対象の RAM ユーザーの名前をクリックします。

   2. AliyunSTSAssumeRoleAccess システムポリシーまたは sts:AssumeRole 操作を含むカスタムポリシーを RAM ユーザーにアタッチします。

   3. 認証管理 タブの [AccessKey] セクションで、[AccessKey の作成] をクリックし、画面の指示に従います。

2. RAM ロールの作成と権限付与：

   1. 左側のナビゲーションウィンドウで、アイデンティティ > ロール を選択します。[ロール] ページで、ロールの作成 をクリックします。詳細については、「RAM ロールを作成する」をご参照ください。

   2. RAM ロールに KMS へのアクセス権限を付与します。

      • 方法 1：ID ベースのポリシーを構成する

        RAM ロールの[操作]列で、権限の付与 をクリックして、KMS の組み込みシステム権限ポリシーを RAM ロールにアタッチします。KMS のシステム権限ポリシーの詳細については、「KMS のシステムポリシー」をご参照ください。

        説明

        カスタム権限ポリシーを作成することもできます。詳細については、「カスタムポリシーの作成」をご参照ください。

      • 方法 2：リソースベースのポリシーを構成する

        KMS は、個々のキーとシークレットへのアクセス権限を付与するリソースベースのポリシーをサポートしています。これらのポリシーを使用して、どの Alibaba Cloud アカウント、RAM ユーザー、RAM ロールが KMS のキーとシークレットを管理または使用できるかを制御できます。詳細については、「キーポリシー」および「シークレットポリシー」をご参照ください。

3. 対象の RAM ロールの RamRoleArn を取得します。詳細については、「RAM ロールに関する情報の表示」をご参照ください。

   1. 左側のナビゲーションウィンドウで、アイデンティティ > ロールを選択します。「ロール」ページで、対象のロールの名前をクリックします。

   2. ロールの詳細ページで、[ARN] セクションの RamRoleArn を見つけます。

      説明

      RamRoleArn は、偽装する RAM ロールの Alibaba Cloud リソースネーム (ARN) です。フォーマットは acs:ram::$accountID:role/$roleName で、$accountID は Alibaba Cloud アカウント ID、$roleName は RAM ロール名です。

Security Token Service (STS) は、RAM ユーザーまたは RAM ロールに一時的なアクセス認証情報である STS トークンを発行します。このトークンにより、限られた有効期間内で特定の権限を持って KMS にアクセスできます。トークンの有効期限が切れると、自動的に無効になります。

1. RAM コンソールにログインして、RAM ユーザーまたは RAM ロールを作成します。詳細については、「RAM ユーザーの作成」および「RAM ロールの作成」をご参照ください。

2. AliyunSTSAssumeRoleAccess 権限を RAM ユーザーまたは RAM ロールに付与します。詳細については、「RAM ユーザーへの権限付与」および「RAM ロールへの権限付与」をご参照ください。

3. RAM ユーザーまたは RAM ロールに KMS へのアクセス権限を付与します。

   • 方法 1：ID ベースのポリシーを構成する

     RAM ロールまたはユーザーの[操作]列で、権限の付与 をクリックして KMS の組み込みシステム権限ポリシーをアタッチします。 KMS のシステム権限ポリシーの詳細については、「KMS のシステムポリシー」をご参照ください。

     説明

     カスタム権限ポリシーを作成することもできます。詳細については、「カスタムポリシーの作成」をご参照ください。

   • 方法 2：リソースベースのポリシーを構成する

     KMS は、個々のキーとシークレットへのアクセス権限を付与するリソースベースのポリシーをサポートしています。これらのポリシーを使用して、どの Alibaba Cloud アカウント、RAM ユーザー、RAM ロールが KMS のキーとシークレットを管理または使用できるかを制御できます。詳細については、「キーポリシー」および「シークレットポリシー」をご参照ください。

4. RAM ユーザーまたは RAM ロールを使用して STS の AssumeRole 操作を呼び出し、一時的な STS アクセス認証情報を取得します。詳細については、「AssumeRole」をご参照ください。

1. OIDC プロバイダーの作成

   1. RAM 管理者として RAM コンソールにログインします。[SSO] ページで、[ロールベースの SSO] タブをクリックします。

   2. [OIDC] タブで、IdP の作成をクリックします。

   3. IdP の作成 ページで、プロバイダー情報を設定します。詳細については、「OIDC プロバイダーの管理」をご参照ください。

2. OIDC ID 情報 (ARN とクライアント ID) の取得と保存

   1. [SSO] ページに移動し、IdP タブで、対象の OIDC プロバイダーの名前をクリックします。

   2. IdP 詳細ページで、ARN と Client ID を確認できます。

3. OIDC プロバイダー用の RAM ロールの作成と権限付与

   1. RAM 管理者としてRAM コンソールにログオンし、アイデンティティ > ロール ページに移動します。

   2. ロールの作成 をクリックします。作成ページの右上隅で、[ポリシーエディターに切り替え] をクリックします。

   3. ポリシーエディターで、OIDC プロバイダーを指定します。ビジュアルエディタを選択し、以下のようにパラメーターを構成します。

      説明

      他のモードについては、「OIDC プロバイダー用の RAM ロールの作成」をご参照ください。

      1. [信頼できるエンティティの選択] セクションで、IdP を選択します。

      2. [信頼ポリシーの編集] セクションで、次のパラメーターを構成します。

         • IdP タイプ: OIDC を選択します。

         • IdP: 以前に作成した OIDC プロバイダーを選択します。

4. OIDC RAM ロールに KMS へのアクセス権限を付与

   • 方法 1：ID ベースのポリシーを構成する

     アイデンティティ > ロール 一覧ページに戻り、対象の OIDC ロールの[操作]列にある権限の付与をクリックして、KMS 組み込みシステム権限ポリシーを RAM ロールに直接アタッチします。 KMS 組み込みシステム権限ポリシーの詳細については、「Key Management Service システム権限ポリシーリファレンス」をご参照ください。

     説明

     カスタム権限ポリシーもサポートされています。詳細については、「カスタムポリシーの作成」をご参照ください。

   • 方法 2：リソースベースのポリシーを構成する

     KMS は、個々のキーとシークレットへのアクセス権限を付与するリソースベースのポリシーをサポートしています。これらのポリシーを使用して、どの Alibaba Cloud アカウント、RAM ユーザー、RAM ロールが KMS のキーとシークレットを管理または使用できるかを制御できます。詳細については、「キーポリシー」および「シークレットポリシー」をご参照ください。

5. 対象の OIDC Role ARN の取得

   1. アイデンティティ > ロール ページで、対象のロールの名前をクリックします。

   2. ロールの詳細ページで、[ARN] セクションの OIDC Role ARN を見つけます。

      説明

      Role ARN は、偽装される RAM ロールの ARN です。フォーマットは acs:ram::$accountID:role/$roleName で、$accountID は Alibaba Cloud アカウント ID、$roleName は RAM ロール名です。

6. OIDC トークンファイルの発行と保存

   Alibaba Cloud はコンソールからの直接の OIDC ログインをサポートしていませんが、プログラムで OIDC SSO プロセスを完了することができます。OIDC トークンの取得には OAuth フローが含まれ、一般的には OIDC ID プロバイダー (IdP) からの標準的な OAuth 2.0 プロセスを介して行われます。

   例：RRSA が有効になっている ACK クラスターでアプリケーションが実行されると、クラスターはアプリケーションポッドに対応するサービスアカウントの OIDC トークンファイルを自動的に作成してマウントします。

1. [Key Management Service コンソール]にログオンします。トップナビゲーションバーで、リージョンを選択します。左側のナビゲーションウィンドウで、アプリケーションアクセス > マルチクラウドアクセス (元のアクセスポイント)を選択します。

2. (オプション) ネットワークルールの作成

   説明

   ソース IP アドレスによるアクセスを制限するためのネットワークルールの構成はオプションです。ただし、セキュリティを向上させるために構成することを推奨します。

   1. Network Access Rules タブをクリックし、次に Create Network Access Rule をクリックします。

   2. Create Network Access Rule パネルで、Network Type を Public に設定し、Allowed Source IP Addresses を入力して、[OK] をクリックします。

3. 権限ポリシーの作成

   1. 権限ポリシー タブをクリックし、次に 権限ポリシーの作成 をクリックします。

   2. 権限ポリシーの作成 パネルで、以下に従って共有ゲートウェイのパラメーターを設定し、[OK] をクリックします。

      1. スコープ： Shared KMS Gateway

      2. アクセス可能のリソース: アクセスしたいシークレットを選択します。

      3. (任意) Network Access Rules: 前のステップで作成したネットワークルールを選択します。

4. アプリケーションアクセスポイント (AAP) の作成

   1. アプリケーションアクセス タブをクリックし、次に Create AAP をクリックします。

   2. Create AAP パネルで、Mode を Standard Creation に設定し、下記の説明に従ってパラメーターを設定します。

      パラメーター	説明
      Authentication Method	ClientKey を選択します。
      Encryption Password	数字、文字、および特殊文字 ~!@#$%^&*?_- を含む 8〜64 文字の文字列を入力します。
      Validity Period	重要 ClientKey 漏洩のリスクを低減するため、有効期間を 1 年に設定することを推奨します。サービスの中断を避けるため、有効期限が切れる前に ClientKey をローテーションしてください。詳細については、「ClientKey のローテーション」をご参照ください。
      権限ポリシー	前のステップで作成した権限ポリシーを選択します。

   3. OK をクリックします。ブラウザが自動的に ClientKey をダウンロードします。ClientKey には、以下のファイルが含まれています。

      • Credential (ClientKeyContent): デフォルトのファイル名は clientKey_****.json です。

      • 認証情報パスワード (ClientKeyPassword): デフォルトのファイル名は clientKey_****_Password.txt です。

クイック作成または標準作成モードのいずれかを使用して ClientKey を作成できます。ClientKey の詳細については、「アプリケーションアクセスポイント」および「アプリケーションアクセスポイントの作成」をご参照ください。

• 方法 1：クイック作成

  この方法は便利で効率的であり、迅速なテストや開発に適しています。この方法で作成されたアクセス認証情報は、KMS インスタンス内のすべてのリソースに完全にアクセスできます。

  1. Key Management Service コンソールにログオンします。上部のナビゲーションバーで、リージョンを選択します。左側のナビゲーションウィンドウで、アプリケーションアクセス > マルチクラウドアクセス (元のアクセスポイント)を選択します。

  2. アプリケーションアクセス タブで、Create AAP をクリックします。Create AAP パネルで、パラメーターを設定します。

     パラメーター	説明
     Mode	Quick Creation を選択します。
     Scope (KMS Instance)	アプリケーションがアクセスする必要のある KMS インスタンスを選択します。
     Application Access Point Name	アプリケーションアクセスポイントの名前を入力します。
     Authentication Method	これは ClientKey に設定されており、変更できません。
     Default Permission Policy	値は key/* secret/* であり、変更できません。これは、アプリケーションが指定された KMS インスタンス内のすべてのキーとシークレットにアクセスできることを意味します。

  3. OK をクリックします。ブラウザによって ClientKey が自動的にダウンロードされます。ClientKey には、次のファイルが含まれています。

     • Credential (ClientKeyContent)：デフォルトのファイル名は clientKey_****.json です。

     • 認証情報パスワード (ClientKeyPassword): デフォルトのファイル名は clientKey_****_Password.txt です。

• 方法 2：標準作成

  リソースに対してきめ細かなアクセス権限を構成する必要がある場合は、標準作成方法を使用することを推奨します。

  1. 「アプリケーションアクセスポイントの作成」の標準作成の手順に従って、専用ゲートウェイにアクセスするための ClientKey を作成します。主要なパラメーターは以下の通りです：

     1. ネットワークルールを構成する際、ネットワークタイプに [プライベート] を選択します。

     2. 権限ルールの範囲を構成する際、対応する KMS インスタンス ID を選択します。

  2. 作成後、ブラウザが自動的に ClientKey をダウンロードします。これには以下が含まれます：

     • Credential (ClientKeyContent): ファイル名はデフォルトで clientKey_****.json です。

     • 認証情報パスワード (ClientKeyPassword): ファイル名はデフォルトで clientKey_****_Password.txt です。