Key Management Service:Segredos do Redis/Tair

Configure a rotação periódica automática ao criar uma credencial para mitigar riscos de segurança associados a vazamentos.

1. Faça login no console do Key Management Service. Na barra de navegação superior, selecione uma região. No painel de navegação à esquerda, escolha Resources > Secrets.

2. Clique na aba Database Secrets, selecione um Instance ID e clique em Create Secret.

3. Selecione Create Single Secret ou Create Bulk Secrets, configure os parâmetros e clique em OK.

   Nota

   Durante a criação de um segredo, o sistema gera automaticamente uma Service-linked Role in ApsaraDB for Redis e anexa a ela a política de permissões AliyunServiceRolePolicyForKMSSecretsManagerForRedis. O KMS assume essa função para gerenciar segredos do Redis e executar tarefas como a rotação de senhas.

   Acesse o console do RAM para visualizar detalhes sobre funções vinculadas ao serviço e políticas de permissões. Para mais informações, consulte {{XREF_6}} e {{XREF_7}}.

   Parâmetro	Descrição
   Database Type	Selecione ApsaraDB for Redis/Tair Instance.
   Secret Name	Nome personalizado da credencial. Deve ser único na região atual.
   ApsaraDB for Redis/Tair Instance	Escolha uma instância do Redis ou do Tair associada à sua conta Alibaba Cloud.
   Account Management	Somente a opção Manage Dual Accounts é suportada.
   Secret Value	Apenas novas contas são suportadas. Contas existentes do Redis/Tair não podem ser gerenciadas. Account Name: Especifique um prefixo para o nome de usuário. O KMS cria duas contas de banco de dados com permissões idênticas por meio de chamada de API. Por exemplo, ao especificar user, o KMS cria user e user_clone. Permissions: Defina como Read/Write ou Read-Only. Ambas as novas contas receberão as mesmas permissões.
   CMK	Selecione a chave simétrica usada para criptografar o valor da credencial. A chave e a credencial devem pertencer à mesma instância do KMS. Importante A chave e a credencial devem pertencer à mesma instância do KMS, sendo obrigatório o uso de uma chave simétrica. Para mais detalhes sobre as chaves simétricas suportadas pelo KMS, consulte {{XREF_8}}. Caso utilize um usuário RAM ou uma função RAM, este deve possuir permissões para executar a operação GenerateDataKey usando a chave mestra de criptografia.
   Tag	Adicione tags à credencial para fins de classificação. Cada tag consiste em um par chave-valor. Nota Formato de chave e valor de tag: tanto a chave quanto o valor podem ter até 128 caracteres e conter letras, dígitos, barras (/), barras invertidas (\), sublinhados (_), hifens (-), pontos (.), sinais de adição (+), sinais de igual (=), dois-pontos (:), arrobas (@) e espaços. Uma chave de tag não pode começar com aliyun ou acs:. Cada credencial suporta até 20 pares chave-valor de tags.
   Automatic Rotation	Indique se deseja ativar a rotação automática. Quando ativada, o KMS atualiza periodicamente o valor da credencial para reduzir riscos de vazamento.
   Rotation Period	Configure este parâmetro apenas quando a rotação automática estiver habilitada. Valores válidos: de 6 horas a 365 dias. Define o intervalo de rotação. O KMS atualiza o valor da credencial periodicamente com base nesta configuração.
   Description	Descrição opcional da credencial para facilitar sua identificação e gestão.
   Advanced Settings > Policy Settings	Defina a política de acesso da credencial para controlar quais usuários ou funções RAM podem lê-la ou modificá-la. Selecione inicialmente a política padrão e modifique-a posteriormente conforme necessário.

Integrar aplicações com segredos do Redis/Tair

O KMS disponibiliza SDKs do Alibaba Cloud, SDK de Instância do KMS e um cliente de segredos para recuperação de valores. Utilize essas ferramentas para integrar suas aplicações aos segredos do Redis/Tair. Para mais informações sobre os SDKs, consulte {{XREF_9}}.

Recomendamos implementar um mecanismo de nova tentativa ao utilizar outros SDKs para aumentar a estabilidade do serviço.

Antes da rotação

• Durante o processo, o KMS solicita ao serviço Redis ou Tair que redefina a senha da conta. Antes de rotacionar um segredo, garanta que todas as aplicações recuperem o segredo via KMS para evitar interrupções no serviço.

• Não exclua a instância Redis/Tair associada ou suas contas enquanto a rotação estiver em andamento, pois isso causará falha no processo.

• Recomenda-se realizar uma verificação de conta antes da rotação. Prossiga somente após a confirmação de sucesso. Se a instância ou as contas correspondentes no Redis ou Tair tiverem sido excluídas, o KMS não conseguirá rotacionar o segredo.

Funcionamento da rotação

Ao hospedar segredos do Redis ou Tair no KMS, utiliza-se um mecanismo de rotação alternada de conta dupla. Esse mecanismo mantém duas contas de banco de dados com as mesmas permissões e seus respectivos estágios de versão de segredo no KMS (ACSCurrent e `ACSPrevious) para garantir uma rotação contínua. O processo específico ocorre da seguinte forma:

1. Configuração inicial

   • Ao configurar uma conta personalizada (por exemplo, user) no KMS, o sistema chama automaticamente a API do Redis/Tair para criar duas contas de banco de dados: user e user_clone.

   • Mapeamento do estado inicial:

     • O estágio da versão do segredo no KMS para a conta user é ACSCurrent (versão ativa no momento).

     • O estágio da versão do segredo no KMS para a conta user_clone é ACSPrevious (versão anterior/em espera).

2. Primeira rotação

   • O KMS chama a API para alterar a senha da conta em espera (user_clone).

   • Troca de status: a versão atual é rebaixada e a versão em espera é promovida:

     • O status de user muda de ACSCurrent para ACSPrevious.

     • O status de user_clone muda de ACSPrevious para ACSCurrent.

3. Rotações subsequentes: a cada nova rotação acionada, o KMS alterna a alteração de senhas entre as duas contas e sincroniza seus estágios de versão, garantindo credenciais de acesso continuamente disponíveis.

   

Configurar a rotação automática periódica de credenciais reduz eficazmente o risco de vazamentos decorrentes da falta de atualizações prolongadas. Além disso, o console permite a rotação manual imediata, facilitando a resposta rápida a incidentes de segurança e a mitigação oportuna de ameaças potenciais.

1. Faça login no console do Key Management Service. Na barra de navegação superior, selecione uma região. No painel de navegação à esquerda, escolha Resources > Secrets.

2. Clique na aba Database Secrets. Selecione um Instance ID. Na lista suspensa Type, selecione Redis. Localize o segredo que deseja rotacionar e clique em Details na coluna Actions.

3. Na seção Versions, clique em Configure Rotation e defina a política de rotação.

   • Rotação automática: Se habilitada, escolha um período de rotação entre 6 horas e 365 dias.

   • Rotacionar agora: Aciona manualmente uma rotação imediata.

Verificação de conta

O KMS verifica se a conta de banco de dados associada a um segredo pertence à instância Redis configurada. Uma verificação bem-sucedida indica que o segredo pode ser rotacionado. Em caso de falha, será necessário excluir e recriar o segredo do Redis/Tair.

1. Faça login no console do Key Management Service. Na barra de navegação superior, selecione uma região. No painel de navegação à esquerda, escolha Resources > Secrets.

2. Clique na aba Database Secrets. Selecione um Instance ID. Na lista suspensa Type, selecione ApsaraDB for Redis Secrets. Localize o segredo que deseja verificar e clique em Details na coluna Actions.

3. Na seção Versions, clique em Check Account. Após a conclusão da verificação, visualize o resultado.

Excluir um segredo do Redis/Tair

Dois métodos de exclusão são suportados: exclusão agendada e exclusão imediata. A remoção de um segredo do Redis/Tair no KMS elimina apenas o segredo em si, sem excluir as contas de banco de dados correspondentes na instância Redis ou Tair.

1. Faça login no console do Key Management Service. Na barra de navegação superior, selecione uma região. No painel de navegação à esquerda, escolha Resources > Secrets.

2. Clique na aba Database Secrets. Selecione um Instance ID. Na lista suspensa Type, selecione Redis. Localize o segredo que deseja excluir e clique em Schedule Deletion na coluna Actions.

3. Na caixa de diálogo Schedule Deletion, escolha o método de exclusão do segredo e clique em OK.

   • Schedule Deletion: Especifique um período de recuperação de 7 a 30 dias. O sistema excluirá o segredo após o término desse prazo.

   • Delete Immediately: O sistema exclui o segredo imediatamente.

   Durante o período de recuperação, localize o segredo e clique em Restore Secret na coluna Actions para cancelar a exclusão.

Configurar tags de credenciais

Atribua tags às credenciais para organizá-las e gerenciá-las. Cada tag consiste em um par chave-valor (Chave : Valor), composto por uma chave de tag (Chave) e um valor de tag (Valor).