Key Management Service:承認情報

ステップ 1: カスタムポリシーの作成

1. Alibaba Cloud アカウントを使用して RAM コンソールにログインします。

2. 左側のナビゲーションウィンドウで、[権限] > [ポリシー] を選択します。

3. [ポリシー] ページで、[ポリシーの作成] をクリックします。

4. 「ポリシーの作成」ページで、「JSON」タブをクリックします。

5. デフォルトポリシーコンテンツをカスタムポリシードキュメントに置き換えます。次の例では、特定のキーを使用して暗号化および復号する権限を RAM ユーザーに付与しますが、そのキーを管理または削除する権限は付与しません。

   {
     "Version": "1",
     "Statement": [
       {
         "Effect": "Allow",
         "Action": [
           "kms:Encrypt",                    // キーを使用してデータを暗号化する
           "kms:Decrypt",                    // キーを使用してデータを復号する
           "kms:GenerateDataKey"             // エンベロープ暗号化用のデータキーを生成する
         ],
         "Resource": "acs:kms:${region}:${account}:key/${key-id}"
       }
     ]
   }

   「${region}」、「${account}」、および「${key-id}」を実際の値に置き換えます。アカウント内のすべてのキーを対象とするには、acs:kms:*:${account}:key/* を使用します。

6. [最適化]をクリックして、ポリシードキュメントを検証し、フォーマットします。(任意)

7. [OK] をクリックします。

8. ポリシー名と説明を入力し、[OK] をクリックします。

ステップ 2: ポリシーを RAM ユーザーにアタッチする

1. 左側のナビゲーションウィンドウで、[アイデンティティ] > [ユーザー] を選択します。

2. [ユーザー] ページで、対象の RAM ユーザーを見つけ、[操作] 列の [権限の追加] をクリックします。

3. 「[権限の付与]」パネルで、以下のパラメーターを設定し、[権限を付与] をクリックします。

   パラメーター	説明
   リソーススコープ	[アカウント] を選択します。KMS はリソースグループ機能をサポートしていません。
   プリンシパル	権限を付与する RAM ユーザー。選択したユーザーがデフォルトで表示されます。必要に応じて変更します。
   ポリシー	ステップ 1 で作成したカスタムポリシーを選択します。

リソース

KMS は 6 つのリソースタイプを定義します。ターゲットリソースの ARN を使用して、RAM ポリシーの Resource 要素を設定します。

キーの ARN を見つけるには:

1. KMS コンソールにログインします。上部のナビゲーションバーで、リージョンを選択します。左側のナビゲーションウィンドウで、[リソース] > [キー] を選択します。

2. [キー] タブでキーを見つけ、[操作] 列の [詳細] をクリックします。 詳細ページに ARN が表示されます。

   

${region} と ${account} を、実際のリージョンと Alibaba Cloud アカウント ID に置き換えます。${region} は、アスタリスク (*) ワイルドカードをサポートし、サポートされているすべてのリージョンを対象に指定できます。

ワイルドカードの例

キーの場合:

• acs:kms:${region}:${account}:key/* — アカウント内の特定のリージョンにあるすべてのキー

• acs:kms:*:${account}:key/* — アカウント内のすべてのリージョンにあるすべてのキー

シークレットの場合:

• acs:kms:${region}:${account}:secret/* — アカウント内の特定のリージョンにあるすべてのシークレット

• acs:kms:${region}:${account}:secret/prefix* — 名前が prefix で始まるすべてのシークレット

アクション

KMS は、アクセス制御を必要とする各 API オペレーションに対してアクションを定義します。アクションは kms:<api-name> フォーマットに従います。

DescribeRegions オペレーションはアクセス制御を必要としません。RAM 認証に合格した後、任意の Alibaba Cloud アカウント、RAM ユーザー、または RAM ロールによって呼び出すことができます。

キー関連の API オペレーション

シークレット関連の API オペレーション

タグ関連の API オペレーション

条件

Condition 要素はオプションです。追加の制約を適用するために RAM ポリシーに条件キーを追加します。RAM 認証は、指定されたすべての条件が満たされた場合にのみ成功します。

2 種類の条件キーがサポートされています。

• acs:<condition-key> フォーマットの共通条件キー — たとえば、acs:CurrentTime を使用して、ポリシーを特定のタイムウィンドウに制限します。完全なリストについては、「ポリシー要素」をご参照ください。

• kms:<condition-key> フォーマットのKMS 固有の条件キー — 完全なリストについては、「条件キー」をご参照ください。

RAM ポリシーの構文および構造について詳しくは、「ポリシーの構造および構文」をご参照ください。