Key Management Service:Visão geral das políticas de segredo

Relação entre políticas de segredo e políticas RAM

Observações de uso

• As políticas de segredo aplicam-se apenas a segredos dentro de uma instância do KMS. Configure a política durante a criação do segredo ou modifique-a posteriormente. Para mais informações, consulte Manage and use secrets e Configure a secret policy.

• Autorizar usuários RAM ou funções de outras contas Alibaba Cloud consome a Cota de Gerenciamento de Acesso da instância do KMS. Essa cota é calculada com base no número de contas Alibaba Cloud. Ao revogar uma autorização entre contas e a instância deixar de compartilhar resources com essa conta, aguarde aproximadamente 5 minutos para que a cota consumida seja reduzida adequadamente.

• A política de segredo aplica-se ao controle de acesso apenas quando você acessa um segredo pelo endpoint do service KMS. Se o acesso ocorrer por um endpoint de instância do KMS, a permissão dependerá da política configurada no Application Access Point (AAP).

• A política de segredo deve estar no formato JSON e não pode exceder 32.768 bytes.

Estrutura da política de segredo

Uma política de segredo completa contém os seguintes elementos:

• Version: Versão da política de segredo. Apenas a versão 1 é suportada.

• Statement: A política contém uma ou mais instruções. Cada instrução inclui os seguintes parâmetros:

  • Sid

    Opcional. Identificador personalizado da instrução. Pode ter até 128 caracteres e conter letras maiúsculas (A-Z), minúsculas (a-z), dígitos (0-9) e os seguintes caracteres especiais: _ / + = . @ -

  • Effect

    Obrigatório. Define se as ações na instrução serão permitidas ou negadas. Valores válidos: Allow e Deny.

  • Principal

    Obrigatório. Identidade à qual a política se aplica. Especifique uma das opções a seguir:

    • A conta Alibaba Cloud atual (proprietária do segredo).

    • Usuários RAM ou funções RAM na conta Alibaba Cloud atual.

    • Usuários RAM ou funções RAM em outra conta Alibaba Cloud.

      Importante

      Após autorizar usuários RAM ou funções de outra conta Alibaba Cloud, use essa mesma conta para conceder a eles permissão de uso do segredo no RAM. Caso contrário, as identidades RAM não conseguirão utilizar o segredo.

      Para mais informações, consulte Custom policy reference for KMS, Manage RAM user permissions e Manage permissions for a RAM role.

  • Action

    Obrigatório. Operações de API a serem permitidas ou negadas. O valor deve começar com "kms:". Somente as operações listadas abaixo são válidas; quaisquer outras não terão efeito.

    Lista de permissões

    "Action": [
                    "kms:List*",
                    "kms:Describe*",
                    "kms:PutSecretValue",
                    "kms:Update*",
                    "kms:DeleteSecret",
                    "kms:RestoreSecret",
                    "kms:RotateSecret",
                    "kms:TagResource",
                    "kms:UntagResource"
                    "kms:GetSecretValue"
                ]

  • Resource

    Obrigatório. Resource alvo ao qual a política se aplica. O valor de Resource só pode ser *, que representa o segredo atual do KMS.

  • Condition

    Opcional. Condições sob as quais a política entra em vigor. Um elemento de condição, também chamado de bloco de condição, consiste em uma ou mais cláusulas. Cada cláusula contém um operador de condição, uma chave de condição e um valor de condição. Para mais informações, consulte Permission policy elements.

    O formato é "Condition": {"operador de condição": {"chave de condição": "valor de condição"}}.

    • operador de condição: Para mais informações, consulte Condition operator types.

    • chave de condição e valor de condição: Para consultar as chaves de condição e os valores válidos suportados pelas políticas de chave, visualize Policy condition keys.

Perguntas frequentes

Como visualizar o criador do segredo?

• Console: Faça login no console do KMS. Na página Secrets, abra a página de detalhes do segredo e verifique o campo Created By.

• OpenAPI: Invoque a operação DescribeSecret. O campo Creator na resposta indica quem criou o segredo.