このトピックでは、シークレットの使用に関する一般的な質問に回答します。
質問
KMS におけるシークレットのセキュリティ
シークレットを作成する際、シークレットを暗号化するために、同じインスタンス内の対称キーを指定する必要があります。Key Management Service (KMS) はこのキーを使用してシークレット値に対してエンベロープ暗号化を実行し、暗号化された結果を専用のストレージスペースに保存します。
KMS は、シークレット名、バージョン番号、バージョンステージングラベルなどのメタデータを暗号化しません。
認証と権限付与の後、KMS はシークレットを復号し、TLS 1.2 を介してご利用のアプリケーションに安全に送信します。
シークレットの暗号化方法
KMS はエンベロープ暗号化を使用してシークレット値を暗号化します。暗号化キーは、シークレットを作成する際に指定したものです。エンベロープ暗号化の詳細については、「KMS キーを使用したエンベロープ暗号化」をご参照ください。
「Your secret is being rotated, please try again later」というメッセージ
|
タイプ |
考えられる原因 |
|
RAM シークレット |
RAM シークレットがローテーション中です。 RAM シークレットのローテーションには、ローテーションウィンドウと呼ばれる一定の期間が必要です。定期的な自動ローテーションの場合、ローテーションウィンドウは約 48 時間です。即時ローテーションの場合、ウィンドウは設定した持続時間です。 ローテーションウィンドウ内にローテーションが完了しない場合は、Resource Access Management (RAM) で RAM ユーザーがまだ存在するかどうかを確認してください。 |
|
ApsaraDB for RDS シークレット |
通常、ApsaraDB for RDS シークレットのローテーションはすぐに完了します。ローテーションに 2 分以上かかる場合は、ApsaraDB for RDS インスタンスと関連アカウントのステータスを確認してください。 |
|
ECS シークレット |
通常、ECS シークレットのローテーションはすぐに完了します。ローテーションに 2 分以上かかる場合は、ECS インスタンスと関連アカウントのステータスを確認してください。 |
利用不可ステータスまたは「Rejected.Unavailable」エラー
シークレットを含む KMS インスタンスの有効期限が切れています。
KMS インスタンスは有効期限が切れてから 15 日以内に更新する必要があります。そうしないと、インスタンスはリリースされます。詳細については、「更新ポリシー」をご参照ください。
当面 KMS インスタンスを使用する予定はないが、将来的にそのキーやシークレットが必要になる可能性がある場合は、バックアップすることをお勧めします。詳細については、「バックアップ管理」をご参照ください。
新しいコンソールでシークレットが見つからない
新しいコンソールには、KMS インスタンスで管理されているシークレットのみが表示されます。
以前は、古いバージョンの KMS を使用しているユーザーは、KMS インスタンスなしでシークレットを作成できました。これらのシークレットはサポートされておらず、新しいコンソールでは表示できません。これらのシークレットを表示するには、古いコンソールに移動してください。
RDS シークレットのアカウント検証の失敗
これは通常、ApsaraDB for RDS シークレットに関連付けられているデータベースアカウントまたはインスタンスが削除されたために発生します。ApsaraDB for RDS でアカウントとインスタンスがまだ存在することを確認してください。
RAM シークレット作成時の「権限がありません」エラー
このエラーは、現在の RAM ユーザーまたはロールに、クラウドリソースを管理するために必要な権限がないために発生します。リソース管理権限を持つ RAM ユーザーや Alibaba Cloud アカウント (root ユーザー) などの RAM 管理者に権限付与リンクを送信して、権限を付与してもらいます。管理者が権限を付与した後、RAM シークレットの作成ページに戻り、[更新] をクリックするか、ページを再読み込みします。詳細については、「ステップ 1: RAM ユーザーの AccessKey ペアを管理する権限を KMS に付与する」をご参照ください。
シークレット値を取得するために必要な権限
シークレットは KMS に暗号化されて保存されているため、復号のためにキーを使用する権限 (Decrypt) も必要です。以下のポリシーは、API 呼び出しによってシークレット値を取得するために必要な最小限の権限を付与しますが、コンソールからの取得は許可しません。以下は権限ポリシーのサンプルです：
{
"Version": "1",
"Statement": [{
"Effect": "Allow",
"Action": [
"kms:GetSecretValue",
"kms:Decrypt"
],
"Resource": [
"acs:kms:${region}:${account}:secret/example-secret",
"acs:kms:${region}:${account}:key/keyId-example"
]
}]
}権限ポリシーのその他のサンプルについては、「カスタム権限ポリシーの例」をご参照ください。RAM ユーザーまたは RAM ロールに権限を付与する方法については、「RAM ユーザーへの権限付与」および「RAM ロールへの権限付与」をご参照ください。