Todos os produtos
Search

Este produto

    Key Management Service:Conceder permissões

    Central de documentação

    Key Management Service:Conceder permissões

    Última atualização: Sep 18, 2026

    Este tópico descreve como conceder permissões a um usuário do RAM.

    Procedimento

    1. Faça login no RAM console com sua conta Alibaba Cloud.

    2. Crie uma política personalizada.

      1. No painel de navegação à esquerda, escolha Permissions > Policies.

      2. Na página Policies, clique em Create Policy.

      3. Na página Create Policy, clique na aba JSON.

        Nota

        O RAM oferece dois métodos para criar uma política: edição visual e edição de script. Para criar uma política personalizada para recursos do KMS, use a edição de script. O método de edição visual permite selecionar apenas todos os recursos do KMS e todas as operações.

      4. Edite o script da política e clique em Continue to Edit Basic Information.

        Ao escrever um script de política do KMS, defina uma instrução (statement). A instrução inclui os elementos Effect, Action, Resource e o elemento opcional Condition. Para mais informações, consulte Appendix: Supported resource, action, and condition elements for KMS.

        Nota

        Para mais detalhes sobre a sintaxe e a estrutura de uma política, consulte Policy structure and syntax.

      5. Insira um nome e uma descrição para a política. Em seguida, revise e otimize o conteúdo conforme solicitado.

      6. Clique em OK.

    3. Conceda a política personalizada a um usuário do RAM.

      1. No painel de navegação à esquerda, escolha Identities > Users.

      2. Na página Users, localize o usuário do RAM desejado e clique em Add Permissions na coluna Actions.

      3. No painel Add Permissions, configure as opções a seguir e clique em OK.

        Parâmetro

        Descrição

        Resource Scope

        Selecione se as permissões se aplicam a toda a conta Alibaba Cloud ou a um grupo de recursos específico. O KMS não oferece suporte a grupos de recursos. Selecione Account.

        Principal

        Usuário do RAM que receberá as permissões. O sistema adiciona automaticamente o usuário do RAM selecionado. Também é possível adicionar outros usuários do RAM.

        Policy

        Escolha a política personalizada de acordo com seu caso de uso.

    Apêndice: Elementos de recurso, ação e condição suportados pelo KMS

    Recurso

    Os tipos de recurso definidos pelo KMS incluem contêineres abstratos de chaves, contêineres abstratos de segredos, contêineres abstratos de aliases, chaves, segredos e aliases. Obtenha o Alibaba Cloud Resource Name (ARN) desses recursos para usar no elemento Resource de uma política do RAM. Por exemplo, para visualizar o ARN de uma chave:

    1. Faça login no Key Management Service console. Na barra de navegação superior, selecione uma região. No painel de navegação à esquerda, escolha Resources > Keys.

    2. Na aba Customer Master Keys, localize a chave desejada e clique em Details na coluna Actions. A página de detalhes da chave exibe o ARN. O formato do ARN varia conforme o tipo de recurso, como mostra a tabela a seguir.

      Nota

      Substitua ${region} e ${account} pela sua região e conta Alibaba Cloud reais. Também é possível restringir o escopo do recurso conforme necessário. O parâmetro ${region} aceita o caractere curinga *, que representa todas as regiões suportadas.

      Tipo de recurso

      ARN

      Contêiner abstrato de chaves

      acs:kms:${region}:${account}:key

      Contêiner abstrato de segredos

      acs:kms:${region}:${account}:secret

      Contêiner abstrato de aliases

      acs:kms:${region}:${account}:alias

      chave

      acs:kms:${region}:${account}:key/${key-id}

      Nota

      O ARN de um recurso de chave aceita o caractere curinga (*). Exemplos:

      • acs:kms:${region}:${account}:key/*: Indica todas as chaves na região especificada para a conta especificada.

      • acs:kms::${account}:key/: Representa todas as chaves em todas as regiões para a conta especificada.

      segredo

      acs:kms:${region}:${account}:secret/${secret-name}

      Nota

      O ARN de um recurso de segredo aceita os dois padrões de curinga a seguir:

      • acs:kms:${region}:${account}:secret/*: Representa todos os segredos na região e conta especificadas.

      • acs:kms:${region}:${account}:secret/prefix*: Especifica todos os segredos com o prefixo de nome prefix na região e conta especificadas.

      alias

      acs:kms:${region}:${account}:alias/${alias-name}

    Ação

    Para cada API que exige controle de acesso, o KMS define uma Action para políticas do RAM, geralmente no formato kms:<api-name>.

    Nota

    A operação DescribeRegions não requer controle de acesso. Após a autenticação, uma conta Alibaba Cloud, um usuário do RAM ou uma função do RAM pode chamar essa operação.

    As tabelas a seguir listam as operações da API do KMS, as ações correspondentes para políticas do RAM e os tipos de recurso acessados.

    Nota

    Substitua ${region} e ${account} pela sua região e conta Alibaba Cloud reais. Também é possível restringir o escopo do recurso conforme necessário. O parâmetro ${region} aceita o caractere curinga *, que representa todas as regiões suportadas.

    Operações da API de Chaves

    API do KMS

    Ação

    Tipo de recurso

    Formato do ARN

    ListKeys

    kms:ListKeys

    Contêiner abstrato de chaves

    acs:kms:${region}:${account}:key

    CreateKey

    kms:CreateKey

    DescribeKey

    kms:DescribeKey

    chave

    acs:kms:${region}:${account}:key/${key-id}

    UpdateKeyDescription

    kms:UpdateKeyDescription

    EnableKey

    kms:EnableKey

    DisableKey

    kms:DisableKey

    ScheduleKeyDeletion

    kms:ScheduleKeyDeletion

    CancelKeyDeletion

    kms:CancelKeyDeletion

    GetParametersForImport

    kms:GetParametersForImport

    ImportKeyMaterial

    kms:ImportKeyMaterial

    DeleteKeyMaterial

    kms:DeleteKeyMaterial

    ListAliasesByKeyId

    kms:ListAliasesByKeyId

    CreateKeyVersion

    kms:CreateKeyVersion

    DescribeKeyVersion

    kms:DescribeKeyVersion

    ListKeyVersions

    kms:ListKeyVersions

    UpdateRotationPolicy

    kms:UpdateRotationPolicy

    Encrypt

    kms:Encrypt

    Decrypt

    kms:Decrypt

    ReEncrypt

    • kms:ReEncryptFrom

      Nota

      É necessária a permissão kms:ReEncryptFrom na chave de origem.

    • kms:ReEncryptTo

      Nota

      É necessária a permissão kms:ReEncryptTo na chave de destino.

    GenerateDataKey

    kms:GenerateDataKey

    GenerateDataKeyWithoutPlaintext

    kms:GenerateDataKeyWithoutPlaintext

    ExportDataKey

    kms:ExportDataKey

    GenerateAndExportDataKey

    kms:GenerateAndExportDataKey

    AsymmetricSign

    kms:AsymmetricSign

    AsymmetricVerify

    kms:AsymmetricVerify

    AsymmetricEncrypt

    kms:AsymmetricEncrypt

    AsymmetricDecrypt

    kms:AsymmetricDecrypt

    GetPublicKey

    kms:GetPublicKey

    ListAliases

    kms:ListAliases

    Contêiner abstrato de aliases

    acs:kms:${region}:${account}:alias

    CreateAlias

    kms:CreateAlias

    alias e chave

    • Alias: acs:kms:${region}:${account}:alias/${alias-name}

    • Chave: acs:kms:${region}:${account}:key/${key-id}

    UpdateAlias

    kms:UpdateAlias

    DeleteAlias

    kms:DeleteAlias

    Operações da API de Segredos

    API do KMS

    Ação

    Tipo de recurso

    ARN

    CreateSecret

    kms:CreateSecret

    Contêiner abstrato de segredos

    acs:kms:${region}:${account}:secret

    ListSecrets

    kms:ListSecrets

    DescribeSecret

    kms:DescribeSecret

    segredo

    acs:kms:${region}:${account}:secret/${secret-name}

    DeleteSecret

    kms:DeleteSecret

    UpdateSecret

    kms:UpdateSecret

    RestoreSecret

    kms:RestoreSecret

    GetSecretValue

    • kms:GetSecretValue

    • kms:Decrypt

    Nota

    A permissão kms:Decrypt é necessária apenas se o segredo estiver criptografado com uma chave mestra do cliente (CMK) criada por você.

    PutSecretValue

    • kms:PutSecretValue

    • kms:GenerateDataKey

    Nota

    A permissão kms:GenerateDataKey é necessária apenas se o segredo estiver criptografado com uma CMK criada por você.

    ListSecretVersionIds

    kms:ListSecretVersionIds

    UpdateSecretVersionStage

    kms:UpdateSecretVersionStage

    GetRandomPassword

    kms:GetRandomPassword

    N/A

    N/A

    Operações da API de Tags

    API do KMS

    Ação

    Tipo de recurso

    ARN

    ListResourceTags

    kms:ListResourceTags

    chave

    • Chave: acs:kms:${region}:${account}:key/${key-id}

    • Segredo: acs:kms:${region}:${account}:secret/${secret-name}

    UntagResource

    kms:UntagResource

    chave ou segredo

    TagResource

    kms:TagResource

    Condição

    O elemento opcional Condition especifica as condições necessárias para que uma política entre em vigor. Use chaves de condição em uma política do RAM para controlar o acesso ao KMS. A autenticação só é bem-sucedida se as condições especificadas forem atendidas.

    • As chaves de condição comuns da Alibaba Cloud usam o seguinte formato de nomenclatura: acs:<condition-key>. Por exemplo, use a condição acs:CurrentTime para restringir o período de vigência de uma política.

      Para mais informações, consulte Elements of a RAM policy.

    • As chaves de condição no nível do product usam o formato kms:<condition-key>. Para obter uma lista das chaves de condição no nível do product suportadas pelo KMS, consulte Policy Condition Keys.