GetSecretValue - Key Management Service: Central de Documentação do Alibaba Cloud

Obtém o valor do segredo.

Descrição da operação

Para obter detalhes sobre a política de acesso que deve ser concedida a um usuário do Resource Access Management (RAM) ou a uma função do RAM para chamar esta operação de API, consulte Controle de acesso.
Se você não especificar um número de versão ou estágio de versão, o KMS retornará o valor do segredo da versão marcada com ACSCurrent por padrão.
Se o segredo usar uma chave especificada pelo usuário para proteger o valor do segredo, o chamador também deverá ter a permissão kms:Decrypt na chave mestra correspondente.

Este tópico fornece um exemplo de obtenção do valor de um segredo chamado secret001. A resposta mostra que o valor de SecretData é testdata1.

Experimente agora

Experimente esta API no OpenAPI Explorer, sem necessidade de assinatura manual. Chamadas bem-sucedidas geram automaticamente código SDK correspondente aos seus parâmetros. Faça o download com segurança de credenciais integrada para uso local.

Testar

Autorização RAM

A tabela abaixo descreve a autorização necessária para chamar esta API. Você pode defini-la em uma política do Resource Access Management (RAM). As colunas da tabela estão detalhadas abaixo:

Ação: As ações que podem ser usadas no elemento Action das instruções de política de permissão do RAM para conceder permissões para executar a operação.
API: A API que você pode chamar para executar a ação.
Nível de acesso: O nível de acesso predefinido concedido para cada API. Valores válidos: create, list, get, update e delete.
Tipo de recurso: O tipo de recurso que suporta autorização para executar a ação. Indica se a ação suporta permissão em nível de recurso. O recurso especificado deve ser compatível com a ação. Caso contrário, a política será ineficaz.
- Para APIs com permissões em nível de recurso, os tipos de recursos obrigatórios são marcados com um asterisco (*). Especifique o Nome de Recurso Alibaba Cloud (ARN) correspondente no elemento Resource da política.
- Para APIs sem permissões em nível de recurso, é exibido como Todos os Recursos. Use um asterisco (*) no elemento Resource da política.
Chave de condição: As chaves de condição definidas pelo serviço. A chave permite controle granular, aplicando-se somente a ações ou a ações associadas a recursos específicos. Além das chaves de condição específicas do serviço, o Alibaba Cloud fornece um conjunto de chaves de condição comuns aplicáveis a todos os serviços compatíveis com RAM.
Ação dependente: As ações dependentes necessárias para executar a ação. Para concluir a ação, o usuário RAM ou a função RAM deve ter permissões para executar todas as ações dependentes.

Ação

Nível de acesso

Tipo de recurso

Chave de condição

Ação dependente

kms:GetSecretValue

get

*Segredo.

acs:kms:{#regionId}:{#accountId}:secret/{#SecretName}

Nenhuma

kms:Decrypt

Parâmetros da solicitação

Parâmetro	Tipo	Obrigatório	Descrição	Exemplo
SecretName	string	Sim	O nome ou o Alibaba Cloud Resource Name (ARN) do segredo. Nota Para acessar um segredo que pertence a outra conta da Alibaba Cloud, você deve especificar o ARN do segredo. O ARN de um segredo está no formato `acs:kms:${region}:${account}:secret/${secret-name}`.	secret001
VersionStage	string	Não	O estágio da versão. Valor padrão: ACSCurrent. Se você especificar este parâmetro, o valor do segredo do estágio de versão especificado será retornado. Se você não especificar este parâmetro, o valor do segredo do estágio de versão ACSCurrent será retornado. Nota Para segredos do ApsaraDB RDS, segredos do PolarDB, segredos do Redis/Tair, segredos do RAM e segredos do ECS, você só pode obter os valores dos segredos das versões marcadas com ACSPrevious e ACSCurrent.	ACSCurrent
VersionId	string	Não	O ID da versão. Nota Os segredos do ApsaraDB RDS, segredos do PolarDB, segredos do Redis/Tair, segredos do RAM e segredos do ECS não suportam o parâmetro VersionId. Se você especificar este parâmetro, ele será ignorado.	v1
FetchExtendedConfig	boolean	Não	Especifica se deve obter a configuração estendida do segredo. Valores válidos: true: Obtém a configuração estendida. false: Não obtém a configuração estendida. Este é o valor padrão. Nota Segredos genéricos não suportam configurações estendidas. Se você especificar este parâmetro para um segredo genérico, ele será ignorado.	true
DryRun	string	Não	Especifica se o modo dry run deve ser ativado. Valores válidos: true: Ativa o modo dry run. false: Desativa o modo dry run. Este é o valor padrão. O modo dry run é usado para testar chamadas de API, verificar se você tem as permissões necessárias nos recursos e verificar se os parâmetros da solicitação estão configurados corretamente. Depois que o modo dry run é ativado, o KMS sempre retorna uma falha e fornece a causa da falha. As causas incluem: DryRunOperationError: A solicitação seria bem-sucedida se o parâmetro DryRun não estivesse configurado. ValidationError: Os parâmetros especificados na solicitação são inválidos. AccessDeniedError: Você não tem as permissões para realizar a operação no recurso do KMS.	false
Recipient	string	Não	A atestação remota.	{ "AttestationDocument":"base64-encoded-attestion-document", "KeyEncryptionAlgorithm":"RSAES_OAEP_SHA_256" }

Para obter mais informações sobre os parâmetros de solicitação comuns, consulte Parâmetros comuns.

Elementos de resposta

Elemento	Tipo	Descrição	Exemplo
	object
SecretDataType	string	O tipo do valor do segredo. Valores válidos: text binary	binary
CreateTime	string	A hora em que o segredo foi criado.	2024-02-21T15:39:26Z
VersionId	string	O ID da versão do segredo.	v1
NextRotationDate	string	A hora da próxima rotação. Nota Este parâmetro é retornado apenas quando a rotação automática está ativada.	2024-07-06T18:22:03Z
SecretData	string	O valor do segredo. O KMS descriptografa o valor do segredo em texto cifrado armazenado e retorna este parâmetro. Para um segredo genérico, o valor do segredo especificado é retornado. Para um segredo do ApsaraDB RDS ou um segredo do Redis/Tair, o valor do segredo é retornado no seguinte formato: `{"AccountName":"","AccountPassword":""}`. Para um segredo do RAM, o valor do segredo é retornado no seguinte formato: `{"AccessKeyId":"Adfdsfd","AccessKeySecret":"fdsfdsf","GenerateTimestamp": "2023-03-25T10:42:40Z"}`. Para um segredo do ECS, o valor do segredo é retornado em um dos seguintes formatos: Segredo de senha: `{"UserName":"ecs-user","Password":"H5asdasdsads**"}`. Segredo de chave pública e privada (a chave privada está no formato PEM): `{"UserName":"ecs-user","PublicKey":"ssh-rsa mKwnVix9YTFY9Rs= imported-openssh-key","PrivateKey": "d6bee1cb-2e14-4277-ba6b-73786b21**"}`. Para um segredo do PolarDB, o valor do segredo é retornado no seguinte formato: `{"AccountName":"","AccountPassword":""}`.	testdata1
RotationInterval	string	O intervalo de rotação automática do segredo. O valor está no formato `integer[unit]`, onde `integer` indica a duração do tempo e `unit` indica a unidade de tempo. Valores válidos de `unit`: s (segundos). Por exemplo, um intervalo de rotação de 7 dias é 604800s. Nota Este parâmetro é retornado apenas quando a rotação automática está ativada.	604800s
ExtendedConfig	string	A configuração estendida do segredo. Nota Este parâmetro é retornado apenas para segredos do ApsaraDB RDS, segredos do PolarDB, segredos do Redis/Tair, segredos do RAM ou segredos do ECS quando FetchExtendedConfig é definido como true.	{\"SecretSubType\":\"SingleUser\", \"DBInstanceId\":\"rm-uf667446pc955****\", \"CustomData\":{} }
LastRotationDate	string	A hora da última rotação. Nota Este parâmetro é retornado apenas quando o segredo foi rotacionado.	2023-07-05T08:22:03Z
RequestId	string	O ID da solicitação, que é um identificador exclusivo gerado pela Alibaba Cloud para a solicitação e pode ser usado para solução de problemas.	6a3e9c36-1150-4881-84d3-eb8672fcafad
SecretName	string	O nome do segredo.	secret001
AutomaticRotation	string	Especifica se a rotação automática está ativada. Valores válidos: Enabled: A rotação automática está ativada. Disabled: A rotação automática está desativada. Invalid: O status de rotação está anormal e o KMS não pode rotacionar o segredo automaticamente. Nota Este parâmetro é retornado apenas para segredos do ApsaraDB RDS, segredos do PolarDB, segredos do Redis/Tair, segredos do RAM ou segredos do ECS.	Enabled
SecretType	string	O tipo do segredo. Valores válidos: Generic: segredo genérico. Rds: segredo do ApsaraDB RDS. Redis: segredo do Redis/Tair. RAMCredentials: segredo do RAM. ECS: segredo do ECS. PolarDB: segredo do PolarDB.	Generic
VersionStages	object
VersionStage	array	O rótulo do estágio da versão do segredo.
	string	O rótulo do estágio da versão do segredo.	{ "VersionStage": [ "ACSCurrent" ] }
CiphertextForRecipient	string	O texto cifrado criptografado pela chave de atestação remota.	*CipherForRecipient*

Exemplos

Resposta de sucesso

JSON formato

{
  "SecretDataType": "binary",
  "CreateTime": "2024-02-21T15:39:26Z",
  "VersionId": "v1",
  "NextRotationDate": "2024-07-06T18:22:03Z",
  "SecretData": "testdata1",
  "RotationInterval": "604800s",
  "ExtendedConfig": "{\\\"SecretSubType\\\":\\\"SingleUser\\\", \\\"DBInstanceId\\\":\\\"rm-uf667446pc955****\\\",  \\\"CustomData\\\":{} }",
  "LastRotationDate": "2023-07-05T08:22:03Z",
  "RequestId": "6a3e9c36-1150-4881-84d3-eb8672fcafad",
  "SecretName": "secret001",
  "AutomaticRotation": "Enabled",
  "SecretType": "Generic",
  "VersionStages": {
    "VersionStage": [
      "{ \"VersionStage\": [ \t\"ACSCurrent\" \t] }"
    ]
  },
  "CiphertextForRecipient": "***CipherForRecipient***"
}

Códigos de erro

Código de status HTTP	Código de erro	Mensagem de erro
403	Forbidden.DKMSInstanceStateInvalid	The DKMS instance state is invalid.
403	Forbidden.DKMSInstanceNotFound	The specified DKMS Instance is not found.
404	Forbidden.KeyNotFound	The specified Key is not found.
404	Forbidden.ResourceNotFound	Resource not found.

Consulte Códigos de Erro para uma lista completa.

Notas de versão

Consulte Notas de Versão para uma lista completa.