Key Management Service：CreateKey - 建立一個主要金鑰

密鑰的描述。
長度為 0~8192 個字元。

密鑰的用途。取值：

• ENCRYPT/DECRYPT：資料加密和解密。

• SIGN/VERIFY：產生和驗證數位簽章。

預設值：如果密鑰支援簽名驗簽，預設值為 SIGN/VERIFY，否則預設值為 ENCRYPT/DECRYPT。

密鑰材料來源。取值：

• Aliyun_KMS（預設值）：密鑰材料由阿里雲 KMS 產生。

• EXTERNAL：密鑰材料由您自行匯入。

• 如果選擇 EXTERNAL，您需要自行匯入密鑰材料。具體操作，請參見匯入對稱金鑰材料或匯入非對稱金鑰材料。

您無需輸入本參數，KMS 會為您的密鑰設定合適的保護層級。

密鑰的保護層級，取值：

• SOFTWARE

• HSM

• 如果未指定 DKMSInstanceId：建議您不輸入，由 KMS 設定。當 KMS 在該地區有託管密碼機時，本參數將設定 HSM，否則為 SOFTWARE。更多資訊，請參見託管密碼機概述。

是否開啟密鑰自動輪轉。取值：

• true：開啟

• false（預設值）：不開啟

僅當密鑰所屬的密鑰管理類型支援自動輪轉時，該參數值有效。具體內容，請參見密鑰輪轉。

自動輪轉的時間周期。格式為 integer[unit]，其中 integer 表示時間長度，unit 表示時間單位。合法的 unit 單位為：d（天）、h（小時）、m（分鐘）、s（秒）。7d 或者 604800s 均表示 7 天的周期。

• 當密鑰為預設密鑰時，取值為 365 天。

• 當密鑰為軟體密鑰時，取值為 7~365 天。

• 當密鑰為硬體密鑰時，不支援自動輪轉。

密鑰規格，不同密鑰管理類型的取值不同。關於密鑰規格、遵循的標準、密鑰演算法的詳細介紹，請參見密鑰管理類型和密鑰規格。

KMS 執行個體的執行個體 ID。

為密鑰綁定標籤。每個標籤由一個索引值對（Key:Value）組成，包含標籤鍵（Key）、標籤值（Value）。

最多輸入 20 個標籤。輸入多個標籤時，格式為[{"TagKey":"key1","TagValue":"value1"},{"TagKey":"key2","TagValue":"value2"},...]。

每個標籤鍵（Key）和每個標籤值（Value）最多支援 128 個字元，可以包含英文大小寫字母、數字、正斜線（/）、反斜線（\）、底線（_）、短劃線（-）、半形句號（.）、加號（+）、等號（=）、半形冒號（:）、字元 at（@）。

密鑰策略的具體內容，JSON 格式。最大長度為 32768 個位元組。 關於密鑰策略的詳細介紹，請參見密鑰策略概述。不輸入該參數時，使用預設憑據策略。

密鑰策略內容包含：

• Version：密鑰策略的版本，目前版本僅支援設定為 1。

• Statement：密鑰策略的語句，每個密鑰策略包含一個或多個語句。

密鑰策略格式為：

{
  "Version": "1",
  "Statement": [
    {
      "Sid": "Enable RAM User Permissions",
      "Effect": "Allow",
      "Principal": {
        "RAM": ["acs:ram::112890462****:root"]
      },
      "Action": [
        "kms:*"
      ],
      "Resource": [
        "*"
      ],
      "Condition": {
        "condition operator": {
          "condition key": "condition value"
        }
      }
    }
  ]
}

Statement 詳細介紹：

• Sid：可選，表示自訂的語句標識符。內容長度小於等於 128 字元，支援的字元為：大寫英文字母（A-Z）、小寫英文字母（a-z）、數字（0-9），特殊字元（ _/+=.@-）。

• Effect：必選，表示是允許還是拒絕該策略語句中的許可權。取值為：Allow 或 Deny。

• Principal：必選，表示權限原則的授權主體，支援設定為當前阿里雲帳號（即密鑰所屬的阿里雲帳號），當前阿里雲帳號下的 RAM 使用者、RAM 角色，其他阿里雲帳號下的 RAM 使用者、RAM 角色。

• Action：必選，表示要允許或拒絕的 API 操作，內容必須以"kms:"開頭。操作許可權列表的範圍，請參見密鑰策略概述。如果您設定了列表外的操作，設定後也不會生效。

• Resource：必選，取值只能是*，表示本 KMS 密鑰。

• Condition：可選，表示授權生效的限制條件。通過使用條件可以評估 API 請求的上下文，以確定策略語句是否適用。格式為"Condition": {"condition operator": {"condition key": "condition value"}}。詳細介紹，請參見密鑰策略概述。

金鑰儲存區位置，僅當 DKMSInstanceId 輸入的是 KMS 硬體密鑰管理執行個體時生效。取值：

• HsmInternal（預設）：金鑰儲存區在密碼機中，不支援輪轉。

• HsmEncryptedDatabase：金鑰儲存區在資料庫中。

  • 對稱金鑰：支援輪轉。

  • 非對稱金鑰：不支援輪轉。