Key Management Service:キーの概要

1. KMS コンソール にログインします。 上部のナビゲーションバーで、リージョンを選択します。 左側のナビゲーションウィンドウで、リソース > キー管理 を選択します。

2. [キー] ページで、デフォルトキー をクリックします。有効にする CMK タイプのデフォルトキーを見つけて、[アクション] 列の [有効化] をクリックします。 キー名を alias/main に設定します。

   

購入ページで ECS インスタンスを購入する際に、alias/main という名前のデフォルトキーを選択して、サーバ側暗号化を有効にします。

データが ECS に転送されると、ECS は KMS の API 操作を呼び出して、データを暗号化および復号します。 データを手動で処理する必要はありません。 ほとんどの場合、Alibaba Cloud サービスはエンベロープ暗号化を使用してデータを暗号化します。 詳細については、「エンベロープ暗号化を使用する」をご参照ください。

1. KMS コンソール にログインします。 上部のナビゲーションバーで、リージョンを選択します。 左側のナビゲーションウィンドウで、リソース > キー管理 を選択します。

2. [キー] タブで、[キーの作成] をクリックし、プロンプトに従って構成を完了します。

• KMS インスタンス：購入した KMS インスタンス を選択します

• キータイプ：[対称キー] を選択します。

• キー仕様：Aliyun_AES_256 を選択します。

1. 準備を行います。

   環境要件

   Java Development Kit (JDK) 8 以降がダウンロードおよびインストールされています。

   Java バージョン

   ターミナルで java -version コマンドを実行して、JDK バージョンを確認します。

2. Alibaba Cloud SDK をインストールします。

   次の Maven 依存関係をプロジェクトに追加します。 その後、Alibaba Cloud SDK の Java パッケージが Maven リポジトリから自動的にダウンロードされます。 Alibaba Cloud SDK V2.0 が使用されていることを確認してください。

   <dependency>
     <groupId>com.aliyun</groupId>
     <artifactId>kms20160120</artifactId>
     <version>1.2.3</version>
   </dependency>
   <dependency>
       <groupId>com.aliyun</groupId>
       <artifactId>tea</artifactId>
       <version>1.3.2</version>
   </dependency>
   <dependency>
       <groupId>com.aliyun</groupId>
       <artifactId>tea-openapi</artifactId>
       <version>0.3.6</version>
   </dependency>

Alibaba Cloud SDK は、複数の Resource Access Management (RAM) ベースの認証方式をサポートしています。 この例では、RAM ユーザーの AccessKey ペアが使用されます。 認証方式の詳細については、「アクセス認証情報を管理する」をご参照ください。

1. RAM コンソール で RAM ユーザーの AccessKey ペアを作成します。 詳細については、「AccessKey ペアを作成する」をご参照ください。

   RAM ユーザー用に AccessKey ペアが既に作成されている場合は、この手順をスキップします。

2. 必要な権限を RAM ユーザーに付与します。

   たとえば、RAM ユーザーが暗号操作を実行するための権限を必要とする場合は、システムポリシー AliyunKMSCryptoUserAccess を RAM ユーザーにアタッチできます。 詳細については、「RAM ユーザーに権限を付与する」をご参照ください。

   説明

   KMS は、次の権限構成方法を提供します。

   • ID ベースのポリシー：上記の例のポリシーは、ID ベースのポリシーです。 ID ベースのポリシーは、ID を対応する権限に関連付けて、アクセス制御を実装します。 詳細については、「RAM を使用してアクセス制御を実装する」をご参照ください。

   • リソースベースのポリシー：リソースベースのポリシーには、キーポリシーとシークレットポリシーが含まれます。 このようなポリシーはリソースに直接関連付けられており、特定のリソースへのアクセスルールを定義するために使用されます。 詳細については、「キーポリシー」および「シークレットポリシー」をご参照ください。

KMS インスタンスの詳細ページで、インスタンス CA 証明書をダウンロードして取得します。

KMS インスタンスの詳細ページで、クライアントを初期化するときに使用するインスタンス VPC エンドポイントをコピーします。

1. Alibaba Cloud SDK を初期化します。

   重要

   Alibaba Cloud SDK V2.0 が使用されていることを確認してください。 config.endpoint パラメーターをインスタンスの VPC エンドポイントに設定し、インスタンスの CA 証明書を構成する必要があります。

       public static com.aliyun.kms20160120.Client createClient() throws Exception {
           // プロジェクトコードが漏洩した場合、AccessKey ペアが漏洩し、アカウント内のすべてのリソースのセキュリティが侵害される可能性があります。 次のサンプルコードは参照用です。
           // セキュリティトークンサービス (STS) トークンを使用してセキュリティを強化することをお勧めします。 認証方式の詳細については、https://www.alibabacloud.com/help/en/sdk/developer-reference/v2-manage-access-credentials?spm=a2c63.p38356.help-menu-262060.d_1_4_1_2.1ad47c23arIlrq を参照してください。
           com.aliyun.teaopenapi.models.Config config = new com.aliyun.teaopenapi.models.Config()
                   // 必須。 環境変数 ALIBABA_CLOUD_ACCESS_KEY_ID が構成されていることを確認してください。
                   .setAccessKeyId(System.getenv("ALIBABA_CLOUD_ACCESS_KEY_ID"))
                   // 必須。 環境変数 ALIBABA_CLOUD_ACCESS_KEY_SECRET が構成されていることを確認してください。
                   .setAccessKeySecret(System.getenv("ALIBABA_CLOUD_ACCESS_KEY_SECRET"));
           // インスタンスの VPC エンドポイントを入力します。 例：kst-hzz65f176a0ogplgq****.cryptoservice.kms.aliyuncs.com。
           config.endpoint = "<インスタンスの VPC エンドポイント>";
           // インスタンスの CA 証明書のコンテンツを入力します。
           config.ca = "<インスタンスの CA 証明書>";
           return new com.aliyun.kms20160120.Client(config);
       }

2. Encrypt 操作を呼び出してデータを暗号化します。

   package com.aliyun.sample;
   
   import com.aliyun.tea.*;
   
   public class Sample {
     public static com.aliyun.kms20160120.Client createClient() throws Exception {
           // プロジェクトコードが漏洩した場合、AccessKey ペアが漏洩し、アカウント内のすべてのリソースのセキュリティが侵害される可能性があります。 次のサンプルコードは参照用です。
           // セキュリティトークンサービス (STS) トークンを使用してセキュリティを強化することをお勧めします。 認証方式の詳細については、https://www.alibabacloud.com/help/en/sdk/developer-reference/v2-manage-access-credentials?spm=a2c63.p38356.help-menu-262060.d_1_4_1_2.1ad47c23arIlrq を参照してください。
           com.aliyun.teaopenapi.models.Config config = new com.aliyun.teaopenapi.models.Config()
                   // 必須。環境変数 ALIBABA_CLOUD_ACCESS_KEY_ID が構成されていることを確認してください。
                   .setAccessKeyId(System.getenv("ALIBABA_CLOUD_ACCESS_KEY_ID"))
                   // 必須。環境変数 ALIBABA_CLOUD_ACCESS_KEY_SECRET が構成されていることを確認してください。
                   .setAccessKeySecret(System.getenv("ALIBABA_CLOUD_ACCESS_KEY_SECRET"));
           // インスタンスの VPC エンドポイントを入力します。例： kst-hzz65f176a0ogplgq****.cryptoservice.kms.aliyuncs.com
           config.endpoint = "<インスタンスの VPC エンドポイント>";
           // インスタンスの CA 証明書のコンテンツを入力します。
           config.ca = "<インスタンスの CA 証明書>";
           return new com.aliyun.kms20160120.Client(config);
       }
   
        public static void main(String[] args_) throws Exception {
           java.util.List<String> args = java.util.Arrays.asList(args_);
           com.aliyun.kms20160120.Client client = Sample.createClient();
           com.aliyun.kms20160120.models.EncryptRequest encryptRequest = new com.aliyun.kms20160120.models.EncryptRequest()
                   .setKeyId("<キー ID>") // キーIDを指定
                   .setPlaintext("<プレーンテキスト>"); // 暗号化するプレーンテキストを指定
           com.aliyun.teautil.models.RuntimeOptions runtime = new com.aliyun.teautil.models.RuntimeOptions();
           try {
               // サンプルコードを実行して、API 操作の戻り値を取得します。
               client.encryptWithOptions(encryptRequest, runtime);
           } catch (TeaException error) {
               // 実際のビジネスシナリオでは、例外を慎重に処理し、プロジェクトの例外を無視しないでください。 この例では、例外は参照用にのみ提供されています。
               // エラーメッセージ。
               System.out.println(error.getMessage());
               // トラブルシューティング用の URL。
               System.out.println(error.getData().get("Recommend"));
               com.aliyun.teautil.Common.assertAsString(error.message);
           } catch (Exception _error) {
               TeaException error = new TeaException(_error.getMessage(), _error);
               // 実際のビジネスシナリオでは、例外を慎重に処理し、プロジェクトの例外を無視しないでください。 この例では、例外は参照用にのみ提供されています。
               // エラーメッセージ。
               System.out.println(error.getMessage());
               // トラブルシューティング用の URL。
               System.out.println(error.getData().get("Recommend"));
               com.aliyun.teautil.Common.assertAsString(error.message);
           }        
       }
   }

3. Decrypt 操作を呼び出してデータを復号します。

   package com.aliyun.sample;
   
   import com.aliyun.tea.*;
   
   public class Sample {
   
       public static com.aliyun.kms20160120.Client createClient() throws Exception {
           // プロジェクトコードが漏洩した場合、AccessKey ペアが漏洩し、アカウント内のすべてのリソースのセキュリティが侵害される可能性があります。 次のサンプルコードは参照用です。
           // セキュリティトークンサービス (STS) トークンを使用してセキュリティを強化することをお勧めします。 認証方式の詳細については、https://www.alibabacloud.com/help/en/sdk/developer-reference/v2-manage-access-credentials?spm=a2c63.p38356.help-menu-262060.d_1_4_1_2.1ad47c23arIlrq を参照してください。
           com.aliyun.teaopenapi.models.Config config = new com.aliyun.teaopenapi.models.Config()
                   // 必須。環境変数 ALIBABA_CLOUD_ACCESS_KEY_ID が構成されていることを確認してください。
                   .setAccessKeyId(System.getenv("ALIBABA_CLOUD_ACCESS_KEY_ID"))
                   // 必須。環境変数 ALIBABA_CLOUD_ACCESS_KEY_SECRET が構成されていることを確認してください。
                   .setAccessKeySecret(System.getenv("ALIBABA_CLOUD_ACCESS_KEY_SECRET"));
           // インスタンスの VPC エンドポイントを入力します。例： kst-hzz65f176a0ogplgq****.cryptoservice.kms.aliyuncs.com
           config.endpoint = "<インスタンスの VPC エンドポイント>";
           // インスタンスの CA 証明書のコンテンツを入力します。
           config.ca = "<インスタンスの CA 証明書>";
           return new com.aliyun.kms20160120.Client(config);
       }
   
       public static void main(String[] args_) throws Exception {
           java.util.List<String> args = java.util.Arrays.asList(args_);
           com.aliyun.kms20160120.Client client = Sample.createClient();
           com.aliyun.kms20160120.models.DecryptRequest decryptRequest = new com.aliyun.kms20160120.models.DecryptRequest()
                   .setCiphertextBlob("<CiphertextBlob>"); // 復号化する暗号文を指定
           com.aliyun.teautil.models.RuntimeOptions runtime = new com.aliyun.teautil.models.RuntimeOptions();
           try {
               // サンプルコードを実行して、API 操作の戻り値を取得します。
               client.decryptWithOptions(decryptRequest, runtime);
           } catch (TeaException error) {
               // 実際のビジネスシナリオでは、例外を慎重に処理し、プロジェクトの例外を無視しないでください。 この例では、例外は参照用にのみ提供されています。
               // エラーメッセージ。
               System.out.println(error.getMessage());
               // トラブルシューティング用の URL。
               System.out.println(error.getData().get("Recommend"));
               com.aliyun.teautil.Common.assertAsString(error.message);
           } catch (Exception _error) {
               TeaException error = new TeaException(_error.getMessage(), _error);
               // 実際のビジネスシナリオでは、例外を慎重に処理し、プロジェクトの例外を無視しないでください。 この例では、例外は参照用にのみ提供されています。
               // エラーメッセージ。
               System.out.println(error.getMessage());
               // トラブルシューティング用の URL。
               System.out.println(error.getData().get("Recommend"));
               com.aliyun.teautil.Common.assertAsString(error.message);
           }        
       }
   }