シークレット SDK は、Key Management Service (KMS) API および KMS インスタンス API のカスタムカプセル化のためのツールであり、アプリケーションでシークレットをキャッシュおよびリフレッシュする機能をカプセル化します。 シークレット SDK は、開発者にとって高いサービス安定性とサービスアプリケーションとの容易な統合を特長としています。 このトピックでは、シークレット SDK を統合する方法について説明します。
統合の概要
シークレット SDK は、サービス関連の操作中にシークレットの取得のみをサポートします。 共有ゲートウェイと専用ゲートウェイの両方を使用してアクセスできます。
共有ゲートウェイと専用ゲートウェイの違い
シークレット SDK を使用すると、共有ゲートウェイと専用ゲートウェイを介して KMS API および KMS インスタンス API を呼び出して、シークレットを取得できます。 共有ゲートウェイは KMS ネットワーク全体を対象としており、インターネットおよび仮想プライベートクラウド（VPC）を介したアクセスをサポートしています。 専用ゲートウェイは特定の KMS インスタンスのネットワークを対象としており、プライベートネットワークを介したアクセスのみをサポートしています。
違い | 共有ゲートウェイ | 専用ゲートウェイ |
推奨されるシナリオ |
|
|
ネットワーク | インターネットまたは VPC | KMS プライベートネットワーク |
パフォーマンス | データの暗号化および復号のパフォーマンスの場合、共有ゲートウェイを使用して KMS にアクセスするときのクエリ/秒（QPS）は 1,000 です。 データの暗号化と復号のパフォーマンスについては、共有ゲートウェイを使用して KMS にアクセスする場合、クエリ/秒（QPS）は 1,000 です。 | パフォーマンスは、KMS インスタンスのコンピューティングパフォーマンスによって異なります。 たとえば、コンピューティングパフォーマンスは 1,000 または 2,000 QPS にすることができます。 |
クライアント初期化の構成 |
|
|
API | KMS API の GetSecretValue | KMS インスタンス API の GetSecretValue |
身元認証 |
| AAP 認証：クライアントキー（専用ゲートウェイ構成）。 |
シークレット SDK の種類
次の種類のシークレット SDK が利用可能です：Secret Client、Secret Java Database Connectivity (JDBC) Client、および RAM Secret Plug-in。 KMS API または KMS インスタンス API の GetSecretValue 操作を呼び出して、共有ゲートウェイまたは専用ゲートウェイを介して KMS シークレット値をクエリできます。 KMS インスタンス API の GetSecretValue 操作は推奨されません。 前述の種類のシークレット SDK は、異なる認証方式と API をサポートしています。 次の表に違いを示します。
SDK の種類 | 使用方法 | ゲートウェイと認証方式 |
| 共有ゲートウェイ：
専用ゲートウェイ（非推奨）：
| |
| 共有ゲートウェイ：
専用ゲートウェイ（非推奨）： AAP 認証：クライアントキー（専用ゲートウェイ構成）。 | |
| 共有ゲートウェイ：
専用ゲートウェイ（非推奨）： AAP 認証：クライアントキー（専用ゲートウェイ構成）。 |
サポートされている API
API | 説明 | 共有ゲートウェイ | 専用ゲートウェイ |
GetSecretValue (KMS API) | シークレット値をクエリします。 |
|
|
GetSecretValue (KMS インスタンス API) | シークレット値をクエリします。 |
|
|
エンドポイント
身元認証と承認
シークレット SDK は、RAM 認証と AAP 認証をサポートしています。 AAP 認証は推奨されません。 RAM 認証方式には、RAM ロール、ECS インスタンスの RAM ロール、STS トークン、および AccessKey ペアが含まれます。 AAP 認証の場合、異なるゲートウェイに対して専用ゲートウェイ構成と共有ゲートウェイ構成の 2 つの認証モードが提供されます。
RAM 認証は共有ゲートウェイのみをサポートします。
専用ゲートウェイは、専用ゲートウェイ構成モードの AAP 認証のみをサポートします。
認証方式 | アクセス認証情報の種類 | ゲートウェイの種類 |
RAM 認証 | RAM ロールの ARN、ECS インスタンスの RAM ロール、STS トークン、および AccessKey ペア 説明 RAM Secret Plug-in は、ECS インスタンスの RAM ロールのみをサポートします。 | 共有ゲートウェイ |
AAP 認証（非推奨） | 共有ゲートウェイ構成のクライアントキーと専用ゲートウェイ構成のクライアントキー | 共有ゲートウェイと専用ゲートウェイ |
AccessKey
デフォルトでは、Alibaba Cloud アカウントは、関連付けられているすべての Alibaba Cloud リソースを管理する権限を持つ管理者として機能します。 Alibaba Cloud アカウントに関連付けられている権限は変更できません。 Alibaba Cloud アカウントに関連付けられている AccessKey ペアが侵害された場合、アカウントのリソースが危険にさらされます。 セキュリティを強化するために、Alibaba Cloud アカウントの AccessKey ペアを作成することはお勧めしません。 代わりに、API アクセスモードが有効になっている RAM ユーザーを作成し、このユーザーの AccessKey ペアを生成します。 最小権限の原則に従って RAM ユーザーに必要な権限のみを付与することにより、API 操作を実行して Alibaba Cloud リソースにアクセスできます。 詳細については、「AccessKey ペアを作成する」をご参照ください。
Alibaba Cloud アカウント、AliyunRAMFullAccess ポリシーがアタッチされた RAM 管理者、または AccessKey ペアを管理する権限が付与された RAM ユーザーを使用して、RAM コンソール にログインします。
左側のナビゲーションウィンドウで、[ID] > [ユーザー] を選択し、目的の RAM ユーザーをクリックします。
[認証] タブで、[accesskey の作成] をクリックし、指示に従って作成を完了します。
RAM ユーザーに KMS へのアクセス権を付与します。 付与を完了するには、2 つの方法があります。
方法 1：ID ベースのポリシーによる
KMS は、RAM ユーザーにアタッチできるシステム定義の権限ポリシーを提供します。 詳細については、「KMS のシステムポリシー」をご参照ください。 また、カスタムポリシーを作成することもできます。
方法 2：リソースベースのポリシーによる
KMS はリソースベースのポリシーをサポートしており、キーとシークレットのアクセス権限を設定できます。 これにより、KMS キーとシークレットの管理または使用を許可する Alibaba Cloud アカウント、RAM ユーザー、および RAM ロールを制御できます。 詳細については、「キープリシー」および「シークレットポリシー」をご参照ください。
STS トークン
STS サービスを使用することにより、一時的なアクセス認証情報を RAM ユーザーまたは RAM ロールに発行して、限られた有効期間 ポリシーで指定された権限で KMS にアクセスできるようにすることができます。 有効期限が過ぎると、認証情報は自動的に無効になります。
Alibaba Cloud アカウントまたは管理権限を持つ RAM ユーザーを使用して、RAM コンソール にログインします。
RAM ユーザーに AliyunSTSAssumeRoleAccess 権限を付与するか、RAM ロールに AliyunSTSAssumeRoleAccess 権限を付与する。
RAM ユーザーに KMS へのアクセス権を付与します。 付与を完了するには、2 つの方法があります。
方法 1：ID ベースのポリシーによる
KMS は、RAM ユーザーにアタッチできるシステム定義の権限ポリシーを提供します。 詳細については、「KMS のシステムポリシー」をご参照ください。 また、カスタムポリシーを作成することもできます。
方法 2：リソースベースのポリシーによる
KMS はリソースベースのポリシーをサポートしており、キーとシークレットのアクセス権限を設定できます。 これにより、KMS キーとシークレットの管理または使用を許可する Alibaba Cloud アカウント、RAM ユーザー、および RAM ロールを制御できます。 詳細については、「キープリシー」および「シークレットポリシー」をご参照ください。
RAM ユーザーまたは RAM ロールを使用して、STS サービスの AssumeRole インターフェースを呼び出して、一時的なアクセス認証情報を取得します。
RamRoleArn
RAM ユーザーまたはクラウドサービスは、長期アクセスキーを直接使用する代わりにロールをアタッチすることにより、一時的な権限を取得できるため、キー漏洩のリスクを軽減できます。 たとえば、一時的なデータ処理タスクでは、RAM ユーザーまたはクラウドサービスは、特定の RamRoleArn を持つロールを一時的にアタッチできます。 RamRoleArn は、RAM ロールの ARN 情報です。 タスクが完了すると、ロールの権限が取り消され、公開のリスクがさらに軽減されます。
Alibaba Cloud アカウントまたは管理権限を持つ RAM ユーザーを使用して、RAM コンソール にログインします。
RAM ユーザーに KMS へのアクセス権を付与します。 付与を完了するには、2 つの方法があります。
方法 1：ID ベースのポリシーによる
KMS は、RAM ユーザーにアタッチできるシステム定義の権限ポリシーを提供します。 詳細については、「KMS のシステムポリシー」をご参照ください。 また、カスタムポリシーを作成することもできます。
方法 2：リソースベースのポリシーによる
KMS はリソースベースのポリシーをサポートしており、キーとシークレットのアクセス権限を設定できます。 これにより、KMS キーとシークレットの管理または使用を許可する Alibaba Cloud アカウント、RAM ユーザー、および RAM ロールを制御できます。 詳細については、「キープリシー」および「シークレットポリシー」をご参照ください。
RamRoleArn は acs:ram::$accountID:role/$roleName の形式に従います。ここで、$accountID は Alibaba Cloud アカウント、$roleName は RAM ロールの名前です。
ECS インスタンス RAM ロールRAM ロール
ECS インスタンス RAM ロールは、ECS インスタンスにアタッチされる通常のサービスロールであり、インスタンス RAM ロールの信頼できるエンティティは ECS です。 インスタンス RAM ロールを使用して、AccessKey ペアを提供することなく、ECS インスタンス内から Security Token Service (STS) トークンを一時的なアクセス認証情報として取得できます。 その後、一時的なアクセス認証情報を使用して、KMS の OpenAPI 操作を呼び出すことができます。
RAM コンソール にログインし、プリンシパルタイプが Alibaba Cloud サービスであるインスタンス RAM ロールを作成します。
プリンシパルタイプ：[クラウドサービス] を選択します。
プリンシパル名：[elastic Compute Service / ECS] を選択します。
RAM ユーザーに KMS へのアクセス権を付与します。 付与を完了するには、2 つの方法があります。
方法 1：ID ベースのポリシーによる
KMS は、RAM ユーザーにアタッチできるシステム定義の権限ポリシーを提供します。 詳細については、「KMS のシステムポリシー」をご参照ください。 また、カスタムポリシーを作成することもできます。
方法 2：リソースベースのポリシーによる
KMS はリソースベースのポリシーをサポートしており、キーとシークレットのアクセス権限を設定できます。 これにより、KMS キーとシークレットの管理または使用を許可する Alibaba Cloud アカウント、RAM ユーザー、および RAM ロールを制御できます。 詳細については、「キープリシー」および「シークレットポリシー」をご参照ください。
ECS コンソール にログインし、インスタンス RAM ロールを ECS インスタンスにアタッチします。
共有ゲートウェイ構成
KMS コンソール にログインします。 上部のナビゲーションバーで、リージョンを選択します。 左側のナビゲーションウィンドウで、 を選択します。
オプション。 ネットワークアクセスルールを作成します。
説明送信元 IP アドレスに基づいてアクセスを制御する必要がない場合は、ネットワークアクセスルールを構成する必要はありません。 セキュリティのために、ネットワークアクセスルールを構成することをお勧めします。
Network Access Rules タブをクリックします。 タブで、Create Network Access Rule をクリックします。
Create Network Access Rule パネルで、Network Type を [パブリック] に設定し、Allowed Source IP Addresses パラメーターを構成して、[OK] をクリックします。
ポリシーを作成します。
権限ポリシー タブで、権限ポリシーの作成 をクリックします。
[権限ポリシーの作成] パネルで、パラメーターを構成し、[OK] をクリックします。 次のリストでパラメーターについて説明します。
スコープ：Shared KMS Gateway を選択します。
アクセス可能のリソース：アクセスするシークレットを選択します。
Network Access Rules（オプション）：手順 2 で作成したネットワークアクセスルールを選択します。
AAP を作成します。
アプリケーションアクセス タブで、Create AAP をクリックします。
Create AAP パネルで、Mode を Standard Creation に設定し、その他のパラメーターを構成します。次の表は、パラメーターについて説明しています。
パラメータ
説明
Authentication Method
クライアントキー を選択します。
Encryption Password
パスワードを設定します。パスワードは 8 ～ 64 文字で、大文字、小文字、数字、および次の特殊文字の少なくとも 1 つを含める必要があります:
~!@#$%^&*?_-.Validity Period
重要クライアントキーの漏洩のリスクを軽減するために、1 年の有効期間を設定することをお勧めします。 KMS ログインの失敗を防ぐために、クライアントキーが有効期限切れになる前に置き換えていることを確認してください。詳細については、「クライアントキーを変更する」をご参照ください。
権限ポリシー
手順 3 で作成したポリシーを選択します。
[OK] をクリックします。 ブラウザは、作成されたクライアントキーを自動的にダウンロードします。
クライアントキーには、[アプリケーションアクセスシークレット（clientkeycontent）] と [パスワード] が含まれています。 デフォルトでは、[アプリケーションアクセスシークレット（clientkeycontent）] は、
clientKey_****.json形式の名前のファイルに保存されます。 デフォルトでは、[パスワード] は、clientKey_****_Password.txt形式の名前のファイルに保存されます。
専用ゲートウェイ構成
KMS コンソール にログインします。 上部のナビゲーションバーで、リージョンを選択します。 左側のナビゲーションウィンドウで、 を選択します。
アプリケーションアクセス タブで、Create AAP をクリックします。
Create AAP パネルで、[モード] を Quick Creation に設定し、Scope (KMS Instance) パラメーターでアプリケーションがアクセスする必要がある KMS インスタンスを選択します。
[OK] をクリックします。 ブラウザは、作成されたクライアントキーを自動的にダウンロードします。
クライアントキーには、[アプリケーションアクセスシークレット（clientkeycontent）] と [パスワード] が含まれています。 デフォルトでは、[アプリケーションアクセスシークレット（clientkeycontent）] は、
clientKey_****.json形式の名前のファイルに保存されます。 デフォルトでは、[パスワード] は、clientKey_****_Password.txt形式の名前のファイルに保存されます。
AAP 認証の詳細については、「AAP を作成する」をご参照ください。
サポートされているプログラミング言語
次の表に、サポートされているプログラミング言語を示します。
シークレット SDK | サポートされているプログラミング言語 |
Java (Java 8 以降)、Python、および Go | |
Java (Java 8 以降) | |
Java (Java 8 以降)、Python、および Go |