Armazene credenciais das suas instâncias ECS — como senhas ou pares de chaves SSH — no KMS como secrets do ECS. Suas aplicações e os services da Alibaba Cloud podem recuperar essas credenciais dinamicamente a partir do KMS integrando o Alibaba Cloud SDK, um SDK de instância KMS ou um SDK de secrets. Configure também a rotação de secrets para reduzir o risco de vazamentos. Este tópico descreve como gerencie e use secrets do ECS.
Rotação de secrets do ECS
Quando um secret do ECS é rotacionado — seja por rotação programada ou imediata — o Secrets Manager envia um comando de rotação para o Cloud Assistant. O Cloud Assistant então invoca um plugin na instância ECS para concluir a rotação. Após uma rotação bem-sucedida, use o novo secret para fazer login na instância ECS.
Após a rotação bem-sucedida de um secret do ECS, a senha ou o par de chaves SSH da instância ECS associada também é atualizado. Para evitar falhas na rotação, não exclua a instância ECS associada ao secret.
Notas de uso
Para usar secrets do ECS, conceda ao KMS as permissões necessárias para gerencie as senhas e os pares de chaves SSH das suas instâncias ECS. Quando precisar fazer login em uma instância ECS, recupere o secret correspondente no KMS.
Após armazenar senhas ou pares de chaves SSH de uma conta ECS no KMS, não os modifique nem os exclua no Elastic Compute Service (ECS) para evitar falhas de service.
Não armazene uma única senha ou par de chaves SSH de uma instância ECS em múltiplos secrets do ECS. A rotação de secrets atualiza a senha ou o par de chaves SSH. Se um secret for rotacionado, os valores nos demais secrets ficarão desatualizados, impedindo o login na instância com eles.
Limitações
Em sistemas Linux, é possível rotacionar tanto senhas quanto pares de chaves SSH. Em sistemas Windows, a rotação se aplica apenas a senhas.
Antes de começar
Adquira e ative uma instância KMS. Para mais informações, consulte Purchase and enable a KMS instance.
Crie uma chave simétrica na instância KMS para criptografar os secrets. Para mais informações, consulte Create a key.
Crie uma instância ECS. Para mais informações, consulte Create an ECS instance.
Se você usar um usuário ou função RAM para gerencie secrets do ECS, verifique se sua conta da Alibaba Cloud anexou a política de sistema
AliyunKMSSecretAdminAccessao usuário ou função RAM. Para mais informações, consulte Manage RAM user permissions ou Manage permissions for a RAM role.
Etapa 1: Criar um secret do ECS
Configure a rotação automática periódica ao criar uma credencial para reduzir o risco de segurança decorrente de vazamentos.
Acesse o Key Management Service console. Na barra de navegação superior, selecione uma região. No painel de navegação à esquerda, escolha .
-
Clique na aba ECS Secrets. Selecione um Instance ID e clique em Create ECS Secret. Configure os parâmetros e clique em OK.
Parâmetro
Descrição
Secret Name
Nome personalizado da credencial. Deve ser único dentro da região atual.
Managed Instance
Selecione uma instância ECS vinculada à sua conta da Alibaba Cloud.
Managed User
Insira o nome de usuário de um usuário existente na instância ECS, como
root(Linux) ouAdministrator(Windows).Initial Secret Value
O valor da credencial pode ter no máximo 30.720 bytes (30 KB).
-
Password: A senha de login do usuário na instância ECS.
-
Key pair: O par de chaves SSH usado para fazer login na instância ECS.
NotaConfigure o valor da credencial corretamente. Se o valor estiver incorreto, a senha ou o par de chaves recuperado do KMS não poderá ser usado para fazer login na instância ECS até que a credencial seja rotacionada pela primeira vez.
CMK
Selecione a chave simétrica usada para criptografar o valor da credencial. A chave e a credencial devem pertencer à mesma instância KMS.
ImportanteA chave e a credencial devem pertencer à mesma instância KMS, e a chave deve ser do tipo simétrico. Para mais informações sobre as chaves simétricas compatíveis com o KMS, consulte Key types and specifications.
Se um usuário ou função RAM for utilizado, ele deve ter permissão para executar a operação GenerateDataKey usando a chave mestra de criptografia.
Automatic Rotation
Escolha se deseja ativar a rotação automática. Quando ativada, o KMS atualiza periodicamente o valor da credencial para reduzir o risco de vazamentos.
Rotation Period
Defina este parâmetro somente quando a rotação automática estiver ativada. Valores válidos: 1 hora a 365 dias.
Especifica o intervalo de rotação. O KMS atualiza periodicamente o valor da credencial com base nessa configuração.
Description
Descrição opcional da credencial para fins de identificação e gerenciamento.
Defina a política de acesso da credencial para controlar quais usuários ou funções RAM podem lê-la ou modificá-la.
Selecione a política padrão inicialmente e modifique-a posteriormente conforme necessário.
NotaAo criar um secret, o sistema cria automaticamente a função vinculada ao service AliyunServiceRoleForKMSSecretsManagerForECS e anexa a política de permissão AliyunServiceRolePolicyForKMSSecretsManagerForECS a essa função. O Secrets Manager assume essa função para gerencie seus secrets do ECS e executar tarefas de rotação de senhas e pares de chaves SSH. Acesse o RAM console para visualize os detalhes das funções vinculadas ao service e das políticas de permissão. Para mais informações, consulte View a RAM role e View permission policy details.
-
Etapa 2: Integrar o secret do ECS
O KMS oferece o Alibaba Cloud SDK, SDKs de instância KMS e o cliente do Secrets Manager para recuperar valores de secrets e integrar secrets do ECS às suas aplicações. Recomenda-se o uso do cliente do Secrets Manager, pois ele encapsula o cache de secrets, boas práticas e padrões de design para simplificar a integração. Para mais informações, consulte Secrets Manager client. Para informações detalhadas sobre cada SDK, consulte SDK reference.
Para executar operações de gerenciamento via SDK — como crie um secret do ECS ou modifique tags — utilize exclusivamente o Alibaba Cloud SDK.
Mais operações
Rotacionar um secret do ECS
Configurar a rotação automática periódica de credenciais reduz efetivamente o risco de vazamento decorrente de longos períodos sem atualização. Além disso, o console oferece rotação manual imediata, permitindo resposta rápida a incidentes de segurança e mitigação oportuna de ameaças em potencial.
Acesse o Key Management Service console. Na barra de navegação superior, selecione uma região. No painel de navegação à esquerda, escolha .
Clique na aba ECS Secrets. Selecione um Instance ID, localize o secret que deseja rotacionar e clique em Details na coluna Actions.
-
Na página de detalhes do secret, configure uma política de rotação.
Rotação automática: no canto superior direito da página, clique em Configure Rotation, ative ou desative a rotação automática periódica e clique em OK.
-
Rotação imediata: no canto superior direito da página, clique em Rotate Now. Na caixa de diálogo Configure Rotation, especifique se deseja Use Custom Secrets e clique em OK.
Se essa opção estiver ativada, especifique um novo valor de secret.
Se estiver desativada, o KMS gera automaticamente uma senha aleatória de 32 caracteres ou um par de chaves SSH RSA-2048.
Excluir um secret do ECS
Exclua secrets que não são mais necessários, seja agendando a exclusão ou excluindo-os imediatamente.
Antes de exclua um secret, verifique se ele não está mais em uso. Caso contrário, seus services poderão ser interrompidos.
Acesse o Key Management Service console. Na barra de navegação superior, selecione uma região. No painel de navegação à esquerda, escolha .
Clique na aba ECS Secrets. Selecione um Instance ID, localize o secret que deseja exclua e clique em Schedule Deletion na coluna Actions.
-
Na caixa de diálogo Schedule Deletion, selecione o método de exclusão do secret e clique em OK.
Schedule Deletion: Especifique um período de recuperação de 7 a 30 dias. O sistema exclua o secret após o término do período.
Delete Immediately: O sistema exclua o secret imediatamente.
Durante o período de recuperação, localize o secret e clique em Restore Secret na coluna Actions para cancele a exclusão.
Configurar tags de credenciais
Atribua tags às credenciais para organizá-las e gerenciá-las. Cada tag é composta por um par chave-valor (Key : Value), incluindo uma chave de tag (Key) e um valor de tag (Value).
Notas sobre o uso de tags
Uma chave ou um valor de tag pode ter até 128 caracteres, incluindo letras, dígitos, barras (/), barras invertidas (\), underscores (_), hífens (-), pontos (.), sinais de mais (+), sinais de igual (=), dois-pontos (:), arrobas (@) e espaços.
Uma chave de tag não pode começar com aliyun ou acs:. Essa restrição não se aplica aos valores de tag.
Cada credencial pode ter no máximo 20 tags.
Procedimentos
Tag a single credential
Acesse o Key Management Service console. Na barra de navegação superior, selecione uma região. No painel de navegação à esquerda, escolha .
Clique na aba correspondente ao tipo de credencial, selecione um Instance ID e localize a credencial desejada.
-
Abra o editor de tags por um dos seguintes métodos:
Método 1: Na lista de credenciais, clique no ícone
na coluna Tags da credencial desejada.Método 2: Clique em Actions > Details para acessar a página de detalhes da credencial e, em seguida, clique no ícone
ao lado de Tag.
Tag multiple credentials in bulk
Acesse o Key Management Service console. Na barra de navegação superior, selecione uma região. No painel de navegação à esquerda, escolha .
-
Clique na aba correspondente ao tipo de credencial, selecione um Instance ID e marque as credenciais a serem operadas na lista.
Adicionar tags: na parte inferior da lista de credenciais, clique em Add Tag, insira a Tag Key e o Tag Value e clique em OK.
Remover tags: na parte inferior da lista de credenciais, clique em Remove Tag, selecione as tags a desvincular na caixa de diálogo Batch Remove, clique em Cancel e, em seguida, clique em Close na caixa de diálogo de confirmação.