Key Management Service:Configure uma política de segredo

Configure no console

1. Faça logon no Key Management Service console. Na barra de navegação superior, selecione uma região. No painel de navegação à esquerda, escolha Resources > Secrets.

2. Na aba Secrets, localize o segredo desejado e clique em ID do segredo ou em Details na coluna Actions.

3. Na área Secret Policy, na parte inferior da página de detalhes, clique em Configure Secret Policy, conclua a configuração e clique em OK.

   1. Visual Editor: Neste modo, selecione Principal (usuário ou função do RAM) com base nas Default policy permissions (Action).

      • Administrator: Permite executar operações de gerenciamento no segredo, mas não recuperar seu valor. Apenas usuários e funções do RAM na conta atual podem ser selecionados.

      • User: Permite apenas recuperar o valor do segredo. Somente usuários e funções do RAM na conta atual são elegíveis para seleção.

      • Cross-account User:

        Importante

        • A autorização de usuários ou funções do RAM de outras contas da Alibaba Cloud consome a Access Management Quota da instância do KMS. A cota é calculada pelo número de contas da Alibaba Cloud. Após revogar a autorização, a cota é devolvida em aproximadamente 5 minutos.

        • Configure também as permissões correspondentes de uso do segredo para o usuário ou função no console do RAM. Para mais informações, consulte Custom policies, Gerencie permissões de usuário do RAM e Gerencie permissões para uma função do RAM.

        • Podem ser usuários ou funções do RAM de outras contas da Alibaba Cloud. Suporta apenas a recuperação do valor do segredo.

        • Clique em Add ARN of Cross-account User e insira o ARN do principal. Encontre o ARN fazendo logon no RAM console e visualizando a página de detalhes do usuário ou da função.

          • Usuário do RAM: O formato é acs:ram::<other Alibaba Cloud account userId>:user/<ramuser>, por exemplo, acs:ram::119285303511****:user/testpolicyuser.

          • Função do RAM: O formato é acs:ram::<other Alibaba Cloud account userId>:role/<ramrole>, por exemplo, acs:ram::119285303511****:role/testpolicyrole.

   2. Syntax Editor: Modifique ou adicione políticas de permissão diretamente no editor de sintaxe. Veja abaixo um exemplo de configuração.

      • Cenário: Configure uma política de segredo para um segredo na conta da Alibaba Cloud (119285303511****).

        • Conceder à conta atual da Alibaba Cloud (119285303511****) acesso total ao segredo, incluindo gerenciamento e uso. Não modifique esta instrução.

        • Conceder ao usuário do RAM (secret_ramuser1) na conta atual da Alibaba Cloud (119285303511****) permissão para gerenciar o segredo.

        • Conceder ao usuário do RAM (secret_ramuser2) na conta atual da Alibaba Cloud (119285303511**) e ao usuário do RAM (secret_ramuser3) em outra conta da Alibaba Cloud (190325303126**) permissão para usar o segredo.

      • Exemplo de sintaxe:

        {
            "Statement": [
                {
                    "Action": [
                        "kms:*"
                    ],
                    "Effect": "Allow",
                    "Principal": {
                        "RAM": [
                            "acs:ram::119285303511****:*"
                        ]
                    },
                    "Resource": [
                        "*"
                    ],
                    "Sid": "kms default secret policy"
                },
                {
                    "Action": [
                        "kms:List*",
                        "kms:Describe*",
                        "kms:PutSecretValue",
                        "kms:Update*",
                        "kms:DeleteSecret",
                        "kms:RestoreSecret",
                        "kms:RotateSecret",
                        "kms:TagResource",
                        "kms:UntagResource"
                    ],
                    "Effect": "Allow",
                    "Principal": {
                        "RAM": [
                            "acs:ram::119285303511****:user/secret_ramuser1"
                        ]
                    },
                    "Resource": [
                        "*"
                    ]
                },
                {
                    "Action": [
                        "kms:List*",
                        "kms:Describe*",
                        "kms:GetSecretValue"
                    ],
                    "Effect": "Allow",
                    "Principal": {
                        "RAM": [
                            "acs:ram::119285303511****:user/secret_ramuser2",
                            "acs:ram::190325303126****:user/secret_ramuser3"
                        ]
                    },
                    "Resource": [
                        "*"
                    ]
                }
            ],
            "Version": "1"
        }

        Nota

        Nota: O campo Resource no exemplo anterior só pode ser definido como ["*"], o que indica que a política se aplica ao segredo atual.

Limitações

• Políticas de segredo só podem ser configuradas para segredos em uma instância do KMS.

• A política de segredo deve estar no formato JSON e não pode exceder 32.768 bytes.

• As seguintes operações podem ser especificadas em uma política de segredo:

  Aviso

  Se você especificar uma operação que não esteja nesta lista, ela não terá efeito.

  "Action": [
                  "kms:List*",
                  "kms:Describe*",
                  "kms:PutSecretValue",
                  "kms:Update*",
                  "kms:DeleteSecret",
                  "kms:RestoreSecret",
                  "kms:RotateSecret",
                  "kms:TagResource",
                  "kms:UntagResource"
                  "kms:GetSecretValue"
              ]

• Autorização de segredo entre contas: Para autorizar usuários ou funções do RAM de outras contas da Alibaba Cloud a usar um segredo em sua conta, configure a autorização dupla:

  1. Configure uma política de segredo no console do KMS para conceder acesso à conta de destino. Adicione um principal Cross-account User na política de segredo.

  2. A conta de destino deve configurar as permissões correspondentes de uso do segredo para seu usuário ou função no console do RAM.

Permissões da política padrão (Action)

  "Action": [
                "kms:List*",
                "kms:Describe*",
                "kms:PutSecretValue",
                "kms:Update*",
                "kms:DeleteSecret",
                "kms:RestoreSecret",
                "kms:RotateSecret",
                "kms:TagResource",
                "kms:UntagResource"
            ]

 "Action": [
                "kms:List*",
                "kms:Describe*",
                "kms:GetSecretValue"
            ]