Resource Access Management:Gerenciar credenciais de serviço (API keys)

Principais recursos

• Isolamento no nível de serviço: Cada API Key se vincula a um único serviço de nuvem (especificado pelo seu ServiceName) durante a criação. Ela só pode chamar as APIs desse serviço e não permite chamadas entre serviços. Não é possível expandir seu escopo com políticas de permissão.

• Escopo de permissão minimizado: As permissões efetivas de uma API Key correspondem à interseção entre as permissões do usuário RAM associado e o escopo do serviço de nuvem vinculado. Mesmo que o usuário RAM tenha permissões para vários serviços, a API Key permanece restrita ao serviço designado.

• Restrita a usuários RAM: Apenas usuários RAM podem criar API Keys. Contas Alibaba Cloud (contas raiz) não podem criá-las. Essa prática ajuda a reduzir o impacto potencial de um vazamento de credenciais.

• Convenções de nomenclatura: ServiceCredential é o termo usado no OpenAPI e nos SDKs, enquanto o console utiliza o termo mais amigável API Key. Ambos os termos referem-se ao mesmo recurso.

API Keys vs. AccessKeys

Tanto as API Keys quanto os AccessKeys são credenciais de longo prazo para usuários RAM. No entanto, diferem quanto ao escopo de serviço, métodos de emissão e casos de uso.

Estados do ciclo de vida

Uma API Key pode estar em um dos três estados seguintes durante seu ciclo de vida:

• Ativo: A credencial pode ser usada para chamar o OpenAPI do serviço de nuvem vinculado. Este é o estado padrão após a criação.

• Inativo: A credencial está temporariamente desabilitada. É possível reativá-la para o estado Active. Uma chave precisa estar inativa antes de ser excluída.

• Expirado: O sistema altera automaticamente o status da chave para Expirado quando o tempo de expiração é atingido. A credencial torna-se permanentemente inválida e não pode ser recuperada. Crie uma nova chave.

Cotas e expiração

• Cota: Cada usuário RAM pode criar no máximo duas API Keys por serviço de nuvem, incluindo chaves Active e Inactive. Essa cota é fixa. Chaves expiradas contam para essa cota; chaves excluídas não contam.

• Unidade do período de expiração: Dias.

• Faixa de valores: O console oferece predefinições de 1, 7, 30 e 90 dias, ou você pode definir uma chave para nunca expirar. Valores personalizados também são compatíveis.

• Padrão do OpenAPI: Se você omitir o parâmetro CredentialAgeDays ao chamar a operação CreateServiceCredential, a chave será definida para nunca expirar.

• A expiração é definitiva: Quando uma chave expira, seu status muda para Expired e ela se torna permanentemente inválida. Não é possível reativá-la. Exclua a chave expirada e crie uma nova.

Serviços de nuvem compatíveis

No console RAM, acesse a página User Details > aba Credential Management > seção API Keys e clique em Create API Key. A lista suspensa Cloud Service exibe os serviços disponíveis para sua conta. Consulte a documentação específica do serviço para obter uma lista das APIs compatíveis.

Autogerenciamento para usuários RAM

Uma conta Alibaba Cloud ou um administrador RAM com permissões suficientes pode usar a configuração AllowUserToManageServiceCredential nas configurações de segurança do RAM para controlar se os usuários RAM podem gerenciar suas próprias API Keys. Essa configuração possui dois estados:

• Permitir autogerenciamento: Um usuário RAM pode fazer login no console ou chamar o OpenAPI para criar, atualizar ou excluir suas próprias API Keys, desde que essas ações não sejam explicitamente negadas por um administrador em uma política de permissão (ou seja, não exista nenhuma política Deny explícita).

• Autogerenciamento não permitido: Usuários RAM não podem gerenciar suas próprias API Keys. As chaves devem ser criadas e mantidas por um administrador que tenha permissões como ram:CreateServiceCredential.

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "ram:CreateServiceCredential",
        "ram:ListServiceCredentials"
      ],
      "Resource": "acs:ram:*:ACCOUNT_ID:user/USER_NAME"
    }
  ]
}

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "ram:CreateServiceCredential",
        "ram:ListServiceCredentials",
        "ram:GetServiceCredential",
        "ram:UpdateServiceCredential",
        "ram:DeleteServiceCredential"
      ],
      "Resource": "acs:ram:*:ACCOUNT_ID:user/USER_NAME"
    }
  ]
}

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "ram:CreateServiceCredential",
        "ram:ListServiceCredentials",
        "ram:GetServiceCredential",
        "ram:UpdateServiceCredential",
        "ram:DeleteServiceCredential"
      ],
      "Resource": "acs:ram:*:ACCOUNT_ID:user/USER_NAME",
      "Condition": {
        "StringEquals": {
          "ram:ServiceCredentialServiceName": "ak.aliyuncs.com"
        }
      }
    }
  ]
}

Estrutura de dados da API Key

Cada API Key consiste nos seguintes campos principais. Os nomes dos campos retornados pelo OpenAPI têm o prefixo ServiceCredential, enquanto os nomes dos campos no console são mais amigáveis.

Recomendações de segurança

• Defina um período de expiração para as API Keys. Evite configurar chaves de teste de curto prazo para nunca expirar. Para outros casos de uso, estabeleça um período de expiração apropriado, como 30 ou 90 dias, com base no ciclo de uso do serviço e rotacione a chave antes que ela expire.

• Copie imediatamente o segredo da API Key ou baixe o arquivo CSV após criar uma chave. Depois de fechar a janela pop-up, não é possível recuperar o segredo novamente. Se perder o segredo, exclua a chave e crie uma nova.

• Trate as API Keys como credenciais altamente sensíveis. Não as confirme em texto simples em repositórios de código, arquivos de configuração ou logs. Recomendamos usar um serviço de gerenciamento de segredos ou criptografá-las com o KMS antes do armazenamento.