Key Management Service:Crie credenciais de acesso

1. Faça login no console do RAM. Na página Users, clique em no nome do usuário RAM desejado.

2. Na aba Secret Management, na seção AccessKey, clique em Create AccessKey.

3. Conceda ao usuário RAM permissões para acessar o KMS.

   • Método 1: Configure uma política baseada em identidade

     Na coluna Actions do usuário RAM, clique em Grant Permission para anexar uma política de sistema integrada do KMS ao usuário. Para obter mais informações sobre as políticas de sistema do KMS, consulte System policies for KMS.

     Nota

     Também é possível criar políticas personalizadas. Para saber mais, consulte Create a custom policy.

   • Método 2: Configure uma política baseada em recursos

     O KMS oferece suporte a políticas baseadas em recursos que concedem permissões de acesso para chaves e segredos individuais. Use essas políticas para controlar quais contas do Alibaba Cloud, usuários RAM e funções RAM podem gerenciar ou utilizar chaves e segredos do KMS. Para obter mais informações, consulte Key policies e Secret policies.

Uma função RAM de instância ECS permite obter uma credencial de acesso temporária (token STS) diretamente de uma instância ECS para chamar operações da API do KMS, sem configurar um par de AccessKey.

Para obter mais informações, consulte Instance RAM roles.

1. Acesse o console do RAM e crie uma função RAM para um service confiável do Alibaba Cloud.

   • Tipo de Entidade Confiável: Selecione Elastic Compute Service.

   • Entidade confiável: Selecione Elastic Compute Service (ECS).

2. Conceda à função RAM permissões para acessar o KMS.

   • Método 1: Configure uma política baseada em identidade

     Na coluna Actions da função RAM, clique em Grant Permission para anexar uma política de sistema integrada do KMS à função. Para obter mais informações sobre as políticas de sistema do KMS, consulte System policies for KMS.

     Nota

     Também é possível criar políticas personalizadas. Para saber mais, consulte Create a custom policy.

   • Método 2: Configure uma política baseada em recursos

     O KMS oferece suporte a políticas baseadas em recursos que concedem permissões de acesso para chaves e segredos individuais. Use essas políticas para controlar quais contas do Alibaba Cloud, usuários RAM e funções RAM podem gerenciar ou utilizar chaves e segredos do KMS. Para obter mais informações, consulte Key policies e Secret policies.

3. Faça login no console do ECS e anexe a função RAM a uma instância ECS.

O Security Token Service (STS) emite uma credencial de acesso temporária, chamada token STS, para um usuário RAM ou função RAM. Esse token permite o acesso ao KMS com permissões específicas durante um período de validade limitado. Após a expiração, o token torna-se automaticamente inválido.

1. Acesse o console do RAM para criar um usuário RAM ou uma função RAM. Para obter mais informações, consulte Create a RAM user e Create a RAM role.

2. Conceda a permissão AliyunSTSAssumeRoleAccess ao usuário RAM ou à função RAM. Para obter mais detalhes, consulte Gerencie permissões de usuário RAM e Grant permissions to a RAM role.

3. Conceda ao usuário RAM ou à função RAM permissões para acessar o KMS.

   • Método 1: Configure uma política baseada em identidade

     Na coluna Actions da função ou do usuário RAM, clique em Grant Permission para anexar uma política de sistema integrada do KMS. Para obter mais informações sobre as políticas de sistema do KMS, consulte System policies for KMS.

     Nota

     Também é possível criar políticas personalizadas. Para saber mais, consulte Create a custom policy.

   • Método 2: Configure uma política baseada em recursos

     O KMS oferece suporte a políticas baseadas em recursos que concedem permissões de acesso para chaves e segredos individuais. Use essas políticas para controlar quais contas do Alibaba Cloud, usuários RAM e funções RAM podem gerenciar ou utilizar chaves e segredos do KMS. Para obter mais informações, consulte Key policies e Secret policies.

4. Use o usuário RAM ou a função RAM para chamar a operação STS AssumeRole e obter uma credencial de acesso STS temporária. Para obter mais informações, consulte AssumeRole.

Usuários RAM ou services cloud podem assumir uma função para obter permissões temporárias (token STS) em vez de usar chaves de longo prazo, o que reduz o risco de vazamento de chaves. Por exemplo, em uma tarefa temporária de processamento de dados, um usuário RAM ou service cloud assume temporariamente uma função com um RamRoleArn específico. Após a conclusão da tarefa, as permissões da função são revogadas, minimizando o risco de exposição.

1. Crie um par de AccessKey de usuário

   1. Faça login no console do RAM. No painel de navegação à esquerda, escolha Identities > Users. Na página Users, clique em no nome do usuário RAM desejado.

   2. Anexe a política de sistema AliyunSTSAssumeRoleAccess ou uma política personalizada que inclua a ação sts:AssumeRole ao usuário RAM.

   3. Na aba Secret Management, na seção AccessKey, clique em Create AccessKey.

2. Crie e autorize uma função RAM:

   1. No painel de navegação à esquerda, escolha Identities > Roles. Na página Roles, clique em Create Role. Para obter mais informações, consulte Create a RAM role.

   2. Conceda à função RAM permissões para acessar o KMS.

      • Método 1: Configure uma política baseada em identidade

        Na coluna Actions da função RAM, clique em Grant Permission para anexar uma política de sistema integrada do KMS à função. Para obter mais informações sobre as políticas de sistema do KMS, consulte System policies for KMS.

        Nota

        Também é possível criar políticas personalizadas. Para saber mais, consulte Create a custom policy.

      • Método 2: Configure uma política baseada em recursos

        O KMS oferece suporte a políticas baseadas em recursos que concedem permissões de acesso para chaves e segredos individuais. Use essas políticas para controlar quais contas do Alibaba Cloud, usuários RAM e funções RAM podem gerenciar ou utilizar chaves e segredos do KMS. Para obter mais informações, consulte Key policies e Secret policies.

3. Obtenha o RamRoleArn da função RAM desejada. Para obter mais informações, consulte Visualize as informações sobre uma função RAM.

   1. No painel de navegação à esquerda, escolha Identities > Roles. Na página Roles, clique em no nome da função desejada.

   2. Na página de detalhes da função, localize o RamRoleArn na seção ARN.

      Nota

      O RamRoleArn é o Alibaba Cloud Resource Name (ARN) da função RAM a ser assumida. O formato é acs:ram::$accountID:role/$roleName, onde $accountID é o ID da conta do Alibaba Cloud e $roleName é o nome da função RAM.