Key Management Service:ECS インスタンスにアタッチされたインスタンス RAM ロールを使用して KMS に安全にアクセスする

Alibaba Cloud SDK V1.0

package com.aliyuncs.kms.examples;

import com.aliyuncs.DefaultAcsClient;
import com.aliyuncs.IAcsClient;
import com.aliyuncs.auth.AlibabaCloudCredentialsProvider;
import com.aliyuncs.auth.InstanceProfileCredentialsProvider;
import com.aliyuncs.exceptions.ClientException;
import com.aliyuncs.exceptions.ServerException;
import com.aliyuncs.kms.model.v20160120.*;
import com.aliyuncs.profile.DefaultProfile;

public class RamRoleTest {
    public static void main(final String[] args) throws Exception {
        String regionId = "<region-id>"; // リージョン ID
        DefaultProfile profile = DefaultProfile.getProfile(regionId);

        // インスタンス RAM ロールを指定します。この例では、EcsRamRoleTest を使用します。
        String roleName = "EcsRamRoleTest"; 

        // インスタンス RAM ロールのクレデンシャルプロバイダーを構成します。
        AlibabaCloudCredentialsProvider provider = new InstanceProfileCredentialsProvider(roleName);

        IAcsClient client = new DefaultAcsClient(profile, provider);

        ListKeysRequest request = new ListKeysRequest();
      
        try {
            ListKeysResponse response = client.getAcsResponse(request);
            System.out.println(new Gson().toJson(response));
        } catch (ServerException e) {
            e.printStackTrace();
        } catch (ClientException e) {
            System.out.println("ErrCode:" + e.getErrCode());
            System.out.println("ErrMsg:" + e.getErrMsg());
            System.out.println("RequestId:" + e.getRequestId());
        }

    }
}

Alibaba Cloud SDK V2.0

package com.aliyun.sample;

import com.aliyun.tea.*;

public class Sample {

    public static com.aliyun.kms20160120.Client createClient() throws Exception {
        com.aliyun.credentials.models.Config credentialConfig = new com.aliyun.credentials.models.Config();
        // クレデンシャルのタイプ。
        credentialConfig.type = "ecs_ram_role";
        // オプション。ECS インスタンスのインスタンス RAM ロールの名前。このパラメーターを設定しない場合、ロール名は自動的に取得されます。ただし、リクエスト数を減らすためにロール名を入力することをお勧めします。
        credentialConfig.roleName = "<your-ecsRamRoleName>";
        com.aliyun.credentials.Client credentialClient = new com.aliyun.credentials.Client(credentialConfig);

        com.aliyun.teaopenapi.models.Config kmsClientConfig = new com.aliyun.teaopenapi.models.Config()
        // KMS のエンドポイントを設定します。例: kms.cn-hangzhou.aliyuncs.com。
        .setEndpoint( "kms.cn-hangzhou.aliyuncs.com").
                setCredential(credentialClient);
        return new com.aliyun.kms20160120.Client(kmsClientConfig);

    }

    public static void main(String[] args_) throws Exception {
        java.util.List<String> args = java.util.Arrays.asList(args_);
        com.aliyun.kms20160120.Client client = Sample.createClient();
        com.aliyun.kms20160120.models.ListKeysRequest listKeysRequest = new com.aliyun.kms20160120.models.ListKeysRequest();
        com.aliyun.teautil.models.RuntimeOptions runtime = new com.aliyun.teautil.models.RuntimeOptions();
        try {
            client.listKeysWithOptions(listKeysRequest, runtime);
        } catch (TeaException error) {
            System.out.println(error.getMessage());
            com.aliyun.teautil.Common.assertAsString(error.message);
        } catch (Exception _error) {
            _error.printStackTrace();
        }        
    }
}

Secrets Manager Client

詳細については、「Secret クライアント」をご参照ください。

1. システム環境変数または構成ファイル secretsmanager.properties で次のパラメーターを構成します。

   パラメーター	値
   credentials_type	値を ecs_ram_role に設定します。
   credentials_role_session_name	RAM ロールの名前。
   cache_client_region_id	[{"regionId":"<your region id>"}].format のリージョン ID。<your region id> を実際のリージョン ID に置き換えます。

2. Secrets Manager Client を構築して、シークレット値を取得します。

   import com.aliyuncs.kms.secretsmanager.client.SecretCacheClient;
   import com.aliyuncs.kms.secretsmanager.client.SecretCacheClientBuilder;
   import com.aliyuncs.kms.secretsmanager.client.exception.CacheSecretException;
   import com.aliyuncs.kms.secretsmanager.client.model.SecretInfo;
   
   public class CacheClientEnvironmentSample {
   
       public static void main(String[] args) {
           try {
               // Secrets Manager Client を構築します。
               SecretCacheClient client = SecretCacheClientBuilder.newClient();
               // Secrets Manager Client を使用してシークレット情報を取得します。
               SecretInfo secretInfo = client.getSecretInfo("#secretName#");
               System.out.println(secretInfo);
           } catch (CacheSecretException e) {
               e.printStackTrace();
           }
       }
   }

Secret JDBC クライアント

次の例では、JDBC を使用して MySQL データベースに接続する方法について説明します。詳細については、「Secret JDBC クライアント」をご参照ください。

1. 構成ファイル secretsmanager.properties をプロジェクトのコードに追加します。

   ## アクセスクレデンシャルのタイプ。
   credentials_type=ecs_ram_role
   ## ECS インスタンスにアタッチされているインスタンス RAM ロールの名前。
   credentials_role_name=#credentials_role_name#
   ## KMS インスタンスのリージョン。
   cache_client_region_id=[{"regionId":"#regionId#"}]
   ## カスタムローテーション間隔。デフォルト値: 21600000。最小値: 300000。単位: ミリ秒。デフォルト値は 6 時間に相当し、最小値は 5 分に相当します。
   refresh_secret_ttl=21600000

2. JDBC を使用して MySQL データベースに接続します。

   import java.sql.Connection;
   import java.sql.DriverManager;
   import java.sql.SQLException;
   
   public class SecretManagerJDBCSample {
       public static void main(String[] args) throws Exception {
           // Secret JDBC クライアント (SDK 名: com.aliyun.kms.secretsmanager.MysqlSecretsManagerSimpleDriver) をロードします。
           Class.forName("com.aliyun.kms.secretsmanager.MysqlSecretsManagerSimpleDriver");
           Connection connect = null;
           try {
               connect = DriverManager.getConnection("secrets-manager:mysql://<YOUR-MYSQL-IP>:<YOUR-MYSQL-PORT>/<YOUR-DATABASE-NAME>", "#your-mysql-secret-name#","");
           } catch(SQLException e) {
               e.printStackTrace();
           }
       }
   }

RAM Secret プラグイン

詳細については、「RAM Secret プラグイン」をご参照ください。

1. 構成ファイル managed_credentials_providers.properties をアプリケーションの作業ディレクトリに追加します。

   credentials_type=ecs_ram_role
   ## ECS インスタンスにアタッチされているインスタンス RAM ロールの名前。
   credentials_role_name=#credentials_role_name#
   ## KMS インスタンスのリージョン。
   cache_client_region_id=[{"regionId":"#regionId#"}]

2. Alibaba Cloud SDK for Java のクライアントを作成し、クラウドサービスを呼び出します。

   次のサンプルコードは、ECS の DescribeInstanceStatus 操作を呼び出す方法の例を示しています。

   次のサンプルコードを実行するときは、ECS の aliyun-java-sdk-ecs 依存関係を pom.xml ファイルに追加します。

   import com.aliyuncs.IAcsClient;
   import com.aliyuncs.ecs.model.v20140526.DescribeInstanceStatusRequest;
   import com.aliyuncs.ecs.model.v20140526.DescribeInstanceStatusResponse;
   import com.aliyun.kms.secretsmanager.plugin.sdkcore.ProxyAcsClient;
   import com.aliyuncs.exceptions.ClientException;
   import com.aliyuncs.exceptions.ServerException;
   
   public class AliyunSdkProviderSample {
       public static void main(String[]args) {
           String secretName="******";
           /*
             アプリケーションがクラスパスと実行可能な JAR パッケージからデフォルトの構成ファイル (managed_credentials_providers.properties) を読み取るように設定できない場合、
             またはカスタムファイル名を指定する場合、次のコードを使用してカスタムファイルを構成できます。
             1. your-config-name が絶対パス + ファイル名形式の値に設定されている場合、システムは絶対パスにある構成ファイルを読み取ります。
             2. your-config-name がファイル名に設定されている場合、システムは最初にクラスパスにアクセスして構成ファイルを読み取り、次に実行可能な JAR パッケージにアクセスして構成ファイルを読み取ります。
           */
           //ConfigLoader.setConfigName("your-config-name");
           
           // 1. クライアントを作成します (SDK 名: aliyun-java-sdk-managed-credentials-provider)。
           IAcsClient client = null;
           try {
               client = new ProxyAcsClient("<ECS の regionId>", secretName); // ECS のリージョン ID
           } catch (ClientException e) {
                e.printStackTrace();
            }
           // 2. ECS の API 操作を呼び出して、ビジネス機能を実装します。
           DescribeInstanceStatusRequest request = new DescribeInstanceStatusRequest();
           DescribeInstanceStatusResponse response;
           try {
                response = client.getAcsResponse(request);
           } catch (ServerException e) {
                e.printStackTrace();
            } catch (ClientException e) {
                e.printStackTrace();
            }
           // 3. クライアントをシャットダウンして、プラグイン関連のリソースを解放します。
           client.shutdown();
       }
   }