Solucionar problemas de acesso a aplicações via SDK - Key Management Service: Central de Documentação do Alibaba Cloud

Lista de problemas

The "no such host" or "not known" error occurs when you access a KMS instance
The "Forbidden.NoPermission" error occurs when you access a KMS instance through an application access point
The "This operation for key-xxxxxx is forbidden by permission system" error occurs when you retrieve a secret value
The "Forbidden.KeyNotFound" error occurs when you access or use a key
The "UnsupportedOperation" error occurs when you call a KMS API operation
The "unable to find valid certification path to requested target" error occurs when you access a KMS instance
The domain name of a KMS instance cannot be resolved
An "Incorrect ClientKey password" error occurs when you access a KMS instance
An HTTP 413 status code is returned when an application accesses a KMS instance
Is the secret management feature of KMS supported on Android?
The KMS endpoint is inaccessible
An on-premises data center cannot access a KMS instance by its domain name
The "QPS Limit Exceeded" error occurs when ACK syncs KMS secrets by using ack-secret-manager
The "MissingParameter" error occurs when you use a dedicated gateway to call an OpenAPI operation for cryptographic operations
A third-party ISV encounters certificate validation issues when accessing KMS through a dedicated gateway

Erro 'no such host' ou 'not known'

Problema

Ao usar o SDK de instância KMS para Go, a aplicação retorna o seguinte erro: kst-xxx.cryptoservice.kms.aliyuncs.com: no such host.
Ao usar o SDK de instância KMS para Java, a aplicação retorna o seguinte erro: kst-xxx.cryptoservice.kms.aliyuncs.com: nodename nor servname provided, or not known.

Causa

Uma instância KMS é um service dedicado de gerenciamento de chaves e segredos, acessível exclusivamente por meio de uma Virtual Private Cloud (VPC) associada.

Solução

Se a VPC onde sua aplicação está em execução e a instância KMS estiverem na mesma região, associe a VPC à instância KMS. Para mais informações, consulte Access a KMS instance from multiple VPCs in the same region.

Para verificar quais VPCs estão associadas à sua instância KMS, visualize View KMS instance details.
Caso a VPC da aplicação e a instância KMS estejam em regiões diferentes, estabeleça uma conexão de rede entre as duas VPCs.

Erro 'Forbidden.NoPermission' ao usar um AAP

Problema

Ao acessar uma instância KMS, a descrição do erro ou a mensagem de exceção do SDK contém o seguinte: Forbidden.NoPermission : This operation is forbidden by permission system.

Solução

Esse erro ocorre porque a política de permissões do ponto de acesso à aplicação (AAP) não concede as permissões necessárias de chave ou segredo em RBAC Permissions e Accessible Resources. Para mais informações, consulte Create an application access point.

Erro '...forbidden by permission system' ao recuperar um segredo

Problema

Ao recuperar o valor de um segredo, a descrição do erro ou a mensagem de exceção do SDK retornada pelo KMS contém o seguinte: This operation for key-xxxxxx is forbidden by permission system.

O código a seguir apresenta um exemplo de mensagem de exceção do SDK de instância KMS para Java:

Connected to the target VM, address: '127.0.xxx', transport: 'socket'
Exception in thread "main" com.aliyun.tea.TeaException Create breakpoint : This operation for key-hzz6xxx xxx is forbidden by permission system.
    at com.aliyun.dkms.gcs.openapi.Client.doRequest(Client.java:159)
    at com.aliyun.dkms.gcs.sdk.Client.getSecretValueWithOptions(Client.java:190)
    at com.aliyun.dkms.gcs.sdk.Client.getSecretValue(Client.java:213)
    at com.yqn.center.user.config.RdsSecretSampleCode.main(RdsSecretSampleCode.java:209)
Disconnected from the target VM, address: '127.0.xxx', transport: 'socket'
Process finished with exit code 1

Causa

Sua aplicação não tem permissão para usar a chave na descriptografia.

Ao criar um segredo, você seleciona uma chave dentro da mesma instância KMS para criptografia. Para recuperar o segredo, sua aplicação precisa ter permissão não apenas para acessar o segredo, mas também para usar a chave correspondente na descriptografia.

Solução

Cenário 1: Acesso ao KMS por meio de um ponto de acesso à aplicação (AAP) usando uma ClientKey

Edite a política de permissões do AAP para conceder à aplicação a permissão de uso da chave para descriptografia.
1. Acesse o console do Key Management Service. Na barra de navegação superior, selecione uma região. No painel de navegação à esquerda, escolha Application Access > Multi-Cloud Access (formerly AAP).
2. Clique em no nome do AAP desejado para acessar a página Details.
3. Na coluna Actions da política de permissões, clique em Modify. Configure os parâmetros a seguir e clique em Update.
  - RBAC Permissions: Selecione CryptoServiceKeyUser.
  - Accessible Resources: Na seção Available Resources, selecione a chave e clique em no ícone . Alternativamente, clique em no ícone ao lado de Selected Resources para adicionar uma chave no formato key/key_id. Exemplo: key/key-hzz6xxxxxx.
Cenário 2: Acesso ao KMS usando o par AccessKey de um usuário RAM ou assumindo uma função RAM

Edite a política de permissões RAM para conceder à aplicação a permissão de uso da chave para descriptografia.
1. Acesse o console do RAM.
2. No painel de navegação à esquerda, escolha Permissions > Policies.
3. Localize a política de permissões anexada ao seu usuário RAM ou função RAM e clique em no nome da política.
4. Na aba Policy Document, clique em Modify Policy Document. Adicione o script a seguir à seção Statement e clique em Continue to edit basic information.
```
        {
            "Effect": "Allow",
            "Action": "kms:Decrypt",
            "Resource": "acs:kms:${region}:${account}:key/keyId-example"
        }
```
  Para mais informações sobre políticas de permissões, consulte Custom permission policies for Key Management Service.

Erro 'Forbidden.KeyNotFound'

Causa: Na maioria dos casos, a região, o ID da chave ou o alias especificados na solicitação não correspondem aos usados para criptografia.

Solução: Certifique-se de que a região, o ID da chave ou o alias usados para descriptografia correspondam aos utilizados na criptografia.

Erro 'UnsupportedOperation'

Configuração de acesso à rede incorreta
- Causa: Sua aplicação está usando um SDK padrão do Alibaba Cloud, e não um SDK específico do KMS, para executar operações criptográficas em uma chave de uma instância KMS.
- Solução:
  1. Acesse o console do Key Management Service. Na barra de navegação superior, selecione uma região. No painel de navegação à esquerda, escolha Resources > Instances.
  2. Na lista de instâncias, clique em no ID da instância desejada. Na página de detalhes, ative a opção Public Network Access na seção RD Multi-Account.
    
    Nota
    Se uma instância KMS for compartilhada entre várias contas Alibaba Cloud, você poderá definir permissões de acesso à rede pública para cada conta.
  3. Na aba Basic Information da página de detalhes da instância, localize o Public Endpoint. O endpoint é exibido após a ativação do acesso à rede pública e possui um formato semelhante a kms.cn-hangzhou.aliyuncs.com.
Tipo de chave incorreto
- Causa: Sua aplicação usa uma chave de service ao chamar uma operação de API criptográfica, como Encrypt, Decrypt ou GenerateDataKey, por meio de um SDK.
- Solução: Para operações criptográficas, utilize diretamente uma chave mestra do cliente (CMK), e não uma chave de service gerenciada por outro service de cloud.
Incompatibilidade entre algoritmo de chave e API
- Cenário 1: Criptografia, descriptografia e geração de chave de dados
  - Ao chamar a operação GenerateDataKey, o algoritmo da chave mestra do cliente (CMK) é um algoritmo assimétrico, como RSA, ECC .
  - Solução: Verifique se o algoritmo da CMK é simétrico, como AES , e se o uso da chave está definido como ENCRYPT/DECRYPT.
- Cenário 2: Assinatura e verificação
  - Ao chamar a operação Sign ou Verify, o algoritmo da chave mestra do cliente (CMK) é um algoritmo criptográfico simétrico, como AES .
  - Solução: Verifique se o algoritmo da CMK é assimétrico, como RSA, ECC , e se o uso da chave está definido como SIGN/VERIFY.

Key Management Service:Perguntas frequentes: Acesso à aplicação

Lista de problemas

Erro 'no such host' ou 'not known'

Erro 'Forbidden.NoPermission' ao usar um AAP

Erro '...forbidden by permission system' ao recuperar um segredo

Erro 'Forbidden.KeyNotFound'

Erro 'UnsupportedOperation'

Erro 'Unable to find valid certification path'

Impossível resolver o nome de domínio da instância KMS

Erro 'Incorrect ClientKey password'

Código de status HTTP 413

Erro 'UnknownHostException'

O gerenciamento de segredos do KMS é suportado no Android?

O endpoint do KMS está inacessível

Data center on-premises não consegue acessar a instância KMS

Erro 'QPS Limit Exceeded' quando o ACK sincroniza segredos

Erro 'MissingParameter' no gateway dedicado

Problemas de validação de certificado de ISV terceirizado