Key Management Service:CreateSecret

O nome do segredo. O nome do segredo deve ser exclusivo na região atual. O nome pode ter até 192 caracteres e pode conter letras, dígitos, sublinhados (_), barras (/), sinais de mais (+), sinais de igual (=), pontos (.), hifens (-) e arrobas (@). Os requisitos de nomenclatura variam de acordo com o tipo de segredo:

• Quando SecretType é definido como Generic (segredo genérico), Rds (segredo do ApsaraDB RDS) ou Redis (segredo do Redis ou Tair), o nome não pode começar com acs/.

• Quando SecretType é definido como RAMCredentials (segredo do RAM), use o valor fixo $Auto. Nesse caso, o KMS gera automaticamente o nome do segredo, que começa com acs/ram/user/ e inclui o nome de exibição do usuário do Resource Access Management (RAM).

• Quando SecretType é definido como ECS (segredo do ECS), o nome deve começar com acs/ecs/.

O ID da versão inicial. O ID da versão deve ser exclusivo dentro do segredo. O ID da versão pode ter até 64 caracteres.

O ID da chave usada para criptografar o valor do segredo.

O valor do segredo. O valor pode ter até 30.720 bytes (30 KB) de comprimento. O KMS criptografa o valor usando a chave especificada e o armazena na versão inicial.

• Quando SecretType é definido como Generic (segredo genérico), você pode personalizar o valor do segredo.

• Quando SecretType é definido como Rds (segredo do ApsaraDB RDS), o valor do segredo deve estar no seguinte formato: {"Accounts":[{"AccountName":"","AccountPassword":""}]}. AccountName especifica o nome de usuário da instância do ApsaraDB RDS e AccountPassword especifica a senha da conta.

• Quando SecretType é definido como Redis (segredo do Redis), defina este parâmetro como $Auto.

• Quando SecretType é definido como RAMCredentials (segredo do RAM), o valor do segredo deve estar no seguinte formato: {"AccessKeys":[{"AccessKeyId":"","AccessKeySecret":""}]}. AccessKeyId especifica o ID da AccessKey e AccessKeySecret especifica o segredo da AccessKey. Você deve especificar todos os pares de AccessKey do usuário do Resource Access Management (RAM).

• Quando SecretType é definido como PolarDB, defina este parâmetro como $Auto.

• Quando SecretType é definido como ECS (segredo do ECS), o valor do segredo deve estar em um dos seguintes formatos:

  • Quando SecretSubType no parâmetro ExtendedConfig é definido como Password: {"UserName":"","Password": ""}. UserName especifica o nome de usuário usado para fazer login na instância ECS e Password especifica a senha de login.

  • Quando SecretSubType no parâmetro ExtendedConfig é definido como SSHKey: {"UserName":"","PublicKey": "", "PrivateKey": ""}. PublicKey especifica a chave pública SSH usada para fazer login na instância ECS e PrivateKey especifica a chave privada.

O tipo do valor do segredo. Valores válidos:

• text: texto. Este é o valor padrão.

• binary: dados binários.

A descrição do segredo.

As tags do segredo. Cada tag é um par chave-valor que consiste em uma chave de tag e um valor de tag.

A chave de tag e o valor de tag podem ter até 128 caracteres e podem conter letras maiúsculas e minúsculas, dígitos, barras (/), barras invertidas (), sublinhados (_), hifens (-), pontos (.), sinais de mais (+), sinais de igual (=), dois-pontos (:) e arrobas (@).

• Uma chave de tag não pode começar com aliyun ou acs:.

• Você pode adicionar até 20 tags a cada segredo.

O tipo do segredo. Valores válidos:

• Generic: segredo genérico. Este é o valor padrão.

• Rds: segredo do ApsaraDB RDS.

• Redis: segredo do Redis.

• RAMCredentials: segredo do RAM.

• ECS: segredo do ECS.

• PolarDB: segredo do PolarDB.

A configuração estendida do segredo, que é usada para especificar a propriedade de um tipo de segredo específico. O valor pode ter até 1.024 caracteres.

• Quando SecretType é definido como Generic (segredo genérico), este parâmetro é ignorado.

• Quando SecretType é definido como Rds (segredo do ApsaraDB RDS), você deve especificar os seguintes parâmetros em ExtendedConfig:

  • SecretSubType (obrigatório): a subclasse do segredo. Valores válidos:

    • SingleUser: especifica que o Secrets Manager gerencia o segredo do ApsaraDB RDS no padrão de conta única. Durante a rotação do segredo, a senha da conta especificada é redefinida para uma nova senha aleatória.

    • DoubleUsers: especifica que o Secrets Manager gerencia o segredo do ApsaraDB RDS no padrão de conta dupla. ACSCurrent e ACSPrevious referenciam uma conta cada. Durante a rotação do segredo, a senha da conta referenciada por ACSPrevious é redefinida para uma nova senha aleatória e, em seguida, o Secrets Manager troca as contas referenciadas por ACSCurrent e ACSPrevious.

  • DBInstanceId (obrigatório): ID da instância do ApsaraDB RDS à qual a conta pertence.

  • CustomData (opcional): dados personalizados. O valor é um par chave-valor formatado em JSON. Você pode especificar até 10 pares chave-valor, separados por vírgulas (,). Exemplo: {"Key1": "v1", "fds":"fdsf"}. Valor padrão: {}.

• Quando SecretType é definido como Redis (segredo do Redis), você deve especificar os seguintes parâmetros em ExtendedConfig:

  • SecretSubType (obrigatório): a subclasse do segredo. Valores válidos:

    • DoubleUsers: especifica que o Secrets Manager gerencia o segredo do Redis no padrão de conta dupla. ACSCurrent e ACSPrevious referenciam uma conta cada. Durante a rotação do segredo, a senha da conta referenciada por ACSPrevious é redefinida para uma nova senha aleatória e, em seguida, o Secrets Manager troca as contas referenciadas por ACSCurrent e ACSPrevious.

  • AccountName (obrigatório): o nome de usuário do banco de dados.

  • CloneAccountName (obrigatório): o nome de usuário do banco de dados, que é o valor de AccountName acrescido do sufixo _clone.

  • AccountPrivilege (obrigatório): as permissões para acessar o banco de dados.

  • InstanceId (obrigatório): ID da instância do Redis.

  • RegionId (obrigatório): o ID da região da instância do Redis.

  • CustomData (opcional): dados personalizados. O valor é um par chave-valor formatado em JSON. Você pode especificar até 10 pares chave-valor, separados por vírgulas (,). Exemplo: {"Key1": "v1", "fds":"fdsf"}. Valor padrão: {}.

• Quando SecretType é definido como RAMCredentials (segredo do RAM), você deve especificar os seguintes parâmetros em ExtendedConfig:

  • SecretSubType (obrigatório): a subclasse do segredo. Valor válido: RamUserAccessKey.

  • UserName (obrigatório): o nome do usuário do Resource Access Management (RAM).

  • CustomData (opcional): dados personalizados. O valor é um par chave-valor formatado em JSON. Você pode especificar até 10 pares chave-valor, separados por vírgulas (,). Valor padrão: {}.

• Quando SecretType é definido como ECS (segredo do ECS), você deve especificar os seguintes parâmetros em ExtendedConfig:

  • SecretSubType (obrigatório): a subclasse do segredo. Valores válidos:

    • Password: senha do ECS.

    • SSHKey: chaves pública e privada SSH do ECS.

  • RegionId (obrigatório): o ID da região da instância ECS.

  • InstanceId (obrigatório): ID da instância ECS.

  • CustomData (opcional): dados personalizados. O valor é um par chave-valor formatado em JSON. Você pode especificar até 10 pares chave-valor, separados por vírgulas (,). Valor padrão: {}.

• Quando SecretType é definido como PolarDB, você deve especificar os seguintes parâmetros em ExtendedConfig:

  • SecretSubType (obrigatório): DoubleUsers (valor fixo).

  • RegionId (obrigatório): o ID da região.

  • DBClusterId (obrigatório): ID da instância do cluster PolarDB.

  • DBType (obrigatório): MySQL ou PostgreSQL.

  • AccountName (obrigatório): o nome da conta.

  • CloneAccountName: o valor de AccountName acrescido de _clone.

  • AccountType: o tipo de conta. Apenas Normal é suportado.

  • AccountPrivilege: as permissões da conta. Este parâmetro está disponível apenas para MySQL.

  • DBName: o nome do banco de dados. Este parâmetro está disponível apenas para MySQL.

  • CustomData (opcional): dados personalizados. O valor é um par chave-valor formatado em JSON. Você pode especificar até 10 pares chave-valor, separados por vírgulas (,). Exemplo: {"Key1": "v1", "fds":"fdsf"}. Valor padrão: {}.

Especifica se a rotação automática deve ser ativada. Valores válidos:

• true: ativa a rotação automática.

• false: desativa a rotação automática. Este é o valor padrão.

O intervalo para rotação automática. Valores válidos: de 6 horas a 8.760 horas (365 dias).
O valor deve estar no formato integer[unit]. integer especifica a duração do tempo e unit especifica a unidade de tempo.
Valores válidos para unit: d (dias), h (horas), m (minutos) e s (segundos). Por exemplo, tanto 7d quanto 604.800s indicam um intervalo de 7 dias.

O ID da instância do KMS.

O conteúdo da política de acesso no formato JSON. O comprimento máximo é de 32.768 bytes.

Para obter mais informações sobre as políticas de segredo, consulte Visão geral das políticas de segredo. Se você não especificar este parâmetro, a política de acesso padrão será usada.

A política de acesso inclui os seguintes campos:

• Version: a versão da política de acesso. Atualmente, apenas a versão 1 é suportada.

• Statement: as instruções na política de acesso. Cada política de acesso contém uma ou mais instruções.

A política de acesso usa o seguinte formato:

{
    "Version": "1",
    "Statement": [
        {
            "Sid": "Enable RAM User Permissions",
            "Effect": "Allow",
            "Principal": {
              "RAM": ["acs:ram::12345678****:*"]
            },
            "Action": [
                "kms:*"
            ],
            "Resource": [
                "*"
            ]
        }
    ]
}

Detalhes da instrução:

• Sid: opcional. O identificador de instrução personalizado. O valor pode ter até 128 caracteres e pode conter letras maiúsculas (A-Z), letras minúsculas (a-z), dígitos (0-9) e caracteres especiais (_/+=.@-).

• Effect: obrigatório. Especifica se deve permitir ou negar as permissões na instrução da política. Valores válidos: Allow e Deny.

• Principal: obrigatório. A entidade à qual a política está anexada. Você pode definir este campo como a conta atual do Alibaba Cloud (a conta à qual o segredo pertence), um usuário do RAM ou uma função do RAM na conta atual do Alibaba Cloud, ou um usuário do RAM ou uma função do RAM em outra conta do Alibaba Cloud.

• Action: obrigatório. As operações de API a serem permitidas ou negadas. O valor deve começar com "kms:". Para obter a lista de operações disponíveis, consulte Visão geral das políticas de segredo. Se você especificar uma operação que não esteja na lista, a configuração não entrará em vigor.

• Resource: obrigatório. O valor só pode ser *, que indica o segredo atual do KMS.

• Condition: opcional. As condições que devem ser atendidas para que a autorização entre em vigor. Você pode usar condições para avaliar o contexto de uma solicitação de API e determinar se a instrução da política se aplica. O formato é "Condition": {"condition operator": {"condition key": "condition value"}}. Para obter mais informações, consulte Visão geral das políticas de segredo.