Key Management Service：SDK使用概述

1. 登入RAM 控制台，在頁用户面，單擊目標 RAM 使用者名稱稱。

2. 在凭证管理標籤頁的AccessKey地區，單擊建立 AccessKey。

3. 授予 RAM 使用者訪問 KMS 的許可權。

   • 方式一：設定基於身份的策略

     單擊 RAM 使用者操作列的新增授权，直接綁定 KMS 內建系統權限原則到 RAM 角色。KMS 內建系統權限原則，請參見Key Management Service系統權限原則參考。

     說明

     同時支援自訂權限原則，具體操作請參見建立自訂權限原則。

   • 方式二：設定基於資源的策略

     KMS 支援基於資源的策略，即為單個密鑰和憑據設定存取權限，用於控制哪些阿里雲帳號、RAM 使用者、RAM 角色有許可權來管理或使用 KMS 密鑰、憑據。詳細介紹，請參見密鑰策略、憑據策略。

ECS RAM 角色是指為 ECS 執行個體授予的 RAM 角色，該 RAM 角色是一個受信服務為雲端服務器的普通服務角色。使用執行個體 RAM 角色可以實現在 ECS 執行個體內部無需配置 AccessKey 即可擷取臨時訪問憑證（STS Token），從而調用 KMS 的 OpenAPI。

具體操作，請參見執行個體RAM角色。

1. 登入RAM 控制台，建立可信實體為阿里雲服務的 RAM 角色。

   • 信任主體類型：選擇云服务器。

   • 信任主體名稱：選擇Elastic Compute Service。

2. 授予 RAM 角色訪問 KMS 的許可權。

   • 方式一：設定基於身份的策略

     單擊 RAM 角色操作列的新增授权，直接綁定 KMS 內建系統權限原則到 RAM 角色。KMS 內建系統權限原則，請參見Key Management Service系統權限原則參考。

     說明

     同時支援自訂權限原則，具體操作請參見建立自訂權限原則。

   • 方式二：設定基於資源的策略

     KMS 支援基於資源的策略，即為單個密鑰和憑據設定存取權限，用於控制哪些阿里雲帳號、RAM 使用者、RAM 角色有許可權來管理或使用 KMS 密鑰、憑據。詳細介紹，請參見密鑰策略、憑據策略。

3. 登入ECS 管理主控台，將 RAM 角色授予 ECS 執行個體。

通過 STS 服務為 RAM 使用者或 RAM 角色頒發一個臨時訪問憑證（STS Token），可以在限定的有效期間內，以符合策略規定的許可權訪問 KMS，超過有效期間後，該憑證自動失效。

1. 登入RAM 控制台，建立 RAM 使用者或 RAM 角色。具體操作，請參見建立RAM使用者、建立RAM角色。

2. 為 RAM 使用者或 RAM 角色授予AliyunSTSAssumeRoleAccess許可權。具體操作，請參見管理RAM使用者的許可權、管理RAM角色的許可權。

3. 授予 RAM 使用者或 RAM 角色訪問 KMS 的許可權。

   • 方式一：設定基於身份的策略

     單擊 RAM 角色或使用者操作列的新增授权，直接綁定 KMS 內建系統權限原則。KMS 內建系統權限原則，請參見Key Management Service系統權限原則參考。

     說明

     同時支援自訂權限原則，具體操作請參見建立自訂權限原則。

   • 方式二：設定基於資源的策略

     KMS 支援基於資源的策略，即為單個密鑰和憑據設定存取權限，用於控制哪些阿里雲帳號、RAM 使用者、RAM 角色有許可權來管理或使用 KMS 密鑰、憑據。詳細介紹，請參見密鑰策略、憑據策略。

4. 使用 RAM 使用者或 RAM 角色調用 STS 服務的 AssumeRole 介面擷取 STS 臨時訪問憑證。具體操作，請參見AssumeRole - 擷取扮演角色的臨時身份憑證。

RAM 使用者或雲產品可以通過扮演角色的方式擷取臨時許可權（STS Token），而不是直接使用長期密鑰，降低了密鑰泄露的風險。例如，在臨時的資料處理任務中，RAM 使用者或雲產品臨時扮演一個具有特定 RamRoleArn 的角色，完成任務后角色許可權被收回，減少泄露風險。

1. 建立使用者 AK

   1. 登入RAM 控制台，在身份管理 > 用户頁面，單擊目標 RAM 使用者名稱稱。

   2. 為 RAM 使用者指派系統策略 AliyunSTSAssumeRoleAccess或包含許可權操作sts:AssumeRole的自訂策略。

   3. 在凭证管理標籤頁的AccessKey地區，單擊建立 AccessKey。

2. 建立 RAM 角色並授權：

   1. 在身份管理 > 角色頁面，單擊创建角色具體操作，請參見建立RAM角色。

   2. 授予 RAM 角色訪問 KMS 的許可權。

      • 方式一：設定基於身份的策略

        單擊 RAM 角色操作列的新增授权，直接綁定 KMS 內建系統權限原則到 RAM 角色。KMS 內建系統權限原則，請參見Key Management Service系統權限原則參考。

        說明

        同時支援自訂權限原則，具體操作請參見建立自訂權限原則。

      • 方式二：設定基於資源的策略

        KMS 支援基於資源的策略，即為單個密鑰和憑據設定存取權限，用於控制哪些阿里雲帳號、RAM 使用者、RAM 角色有許可權來管理或使用 KMS 密鑰、憑據。詳細介紹，請參見密鑰策略、憑據策略。

3. 擷取目標 RAM 角色的 RamRoleArn。具體操作，請參見查看RAM角色。

   1. 在身份管理 > 角色頁面，單擊目標角色名稱。

   2. 進入角色詳情頁，在ARN地區可擷取 RamRoleArn 資訊。

      說明

      RamRoleArn 是 RAM 角色的 ARN 資訊，即需要扮演的角色 ID。格式為 acs:ram::$accountID:role/$roleName。$accountID 為阿里雲帳號 ID。$roleName 為 RAM 角色名稱。

1. 建立 OIDC 身份供應商

   1. 使用 RAM 管理員登入RAM 控制台，進入整合管理 > SSO 管理頁面，並選擇角色 SSO。

   2. 在OIDC頁簽，單擊创建身份提供商。

   3. 在创建身份提供商頁面，設定身份供應商資訊。具體配置，請參見管理OIDC身份供應商。

2. 擷取並儲存 OIDC 身份資訊（ARN 和用戶端識別碼）

   1. 進入整合管理 > SSO 管理頁面，單擊目標身份提供商名稱。

   2. 進入身份提供商詳情頁，可查看ARN和用戶端識別碼。

3. 建立 OIDC 身份供應商的 RAM 角色並授權

   1. 使用 RAM 管理員登入RAM 控制台，在身份管理 > 角色頁面。

   2. 單擊创建角色，在建立頁面右上方，單擊切換編輯器。

   3. 在編輯器中指定具體的 OIDC 身份供應商。選擇可視化編輯模式，並參考如下說明，完成配置。

      說明

      更多模式，請參見建立OIDC身份供應商的RAM角色。

      1. 在主體中選擇身份提供商後，單擊下方編輯。

      2. 在添加主體彈窗中，參考如下說明，完成配置。

         • 身份提供商类型：選擇OIDC。

         • 身份提供商：選擇之前建立的 OIDC 身份供應商。

4. 授予 OIDC RAM 角色訪問 KMS 的許可權

   • 方式一：設定基於身份的策略

     返回身份管理角色列表頁，單擊目標 OIDC 角色操作列的新增授权，直接綁定 KMS 內建系統權限原則到 RAM 角色。KMS 內建系統權限原則，請參見Key Management Service系統權限原則參考。

     說明

     同時支援自訂權限原則，具體操作請參見建立自訂權限原則。

   • 方式二：設定基於資源的策略

     KMS 支援基於資源的策略，即為單個密鑰和憑據設定存取權限，用於控制哪些阿里雲帳號、RAM 使用者、RAM 角色有許可權來管理或使用 KMS 密鑰、憑據。詳細介紹，請參見密鑰策略、憑據策略。

5. 擷取目標 Role ARN

   1. 在身份管理 > 角色頁面，單擊目標角色名稱。

   2. 進入角色詳情頁，在ARN地區可擷取 OIDC Role ARN 資訊。

      說明

      Role ARN 是 RAM 角色的 ARN 資訊，即需要扮演的角色 ID。格式為 acs:ram::$accountID:role/$roleName。$accountID 為阿里雲帳號 ID。$roleName 為 RAM 角色名稱。

6. 簽發並儲存 OIDC 令牌（OIDC Token）檔案

   阿里雲不支援在控制台上直接通過 OIDC 登入，但可以通過編程方式完成 OIDC SSO 流程。擷取 OIDC 令牌需要通過標準 OAuth 2.0 流程從 OIDC IdP 擷取。例如當應用程式運行於已啟用RRSA功能的 ACK 叢集中時，叢集將自動為該應用 Pod 建立和掛載相應的服務賬戶 OIDC Token 檔案。

1. 登入Key Management Service控制台，在頂部功能表列選擇地區後，在左側導覽列單擊应用接入 > 多云接入（原接入点）。

2. 建立網路規則（非必須）。

   說明

   如果不需要基於來源 IP 限制訪問，則不需要設定網路規則。但為了更高的安全性，通常建議合理設定。

   1. 單擊网络规则頁簽，然後單擊创建网络规则。

   2. 在创建网络规则面板，网络类型選擇Public，填寫允许访问的源IP地址後，單擊確定。

3. 建立權限原則。

   1. 單擊权限策略，然後單擊创建权限策略。

   2. 在创建权限策略面板，按照下方提示完成共用網關配置後，單擊確定。

      1. 作用域：KMS共享网关

      2. 允许访问的资源：勾選需要訪問的憑據

      3. 网络控制规则（非必須）：勾選步驟二建立網路規則。

4. 建立應用存取點 AAP。

   1. 單擊应用接入頁簽，然後單擊创建应用接入点。

   2. 在创建应用接入点面板，创建模式選擇标准创建，然後按照下方提示完成各項配置。

      配置項	說明
      认证方式	選擇 ClientKey
      Client Key加密口令	設定 8～64 位元包含數字、英文大小寫、特殊字元~!@#$%^&*?_-的字串
      有效期	重要 推薦設定為 1 年，以降低 ClientKey 被泄露的風險。請務必在到期前更換，以免無法正常訪問 KMS。具體操作，請參見更換ClientKey。
      权限策略	選擇步驟三建立的權限原則。

   3. 單擊確認，瀏覽器會自動下載ClientKey。ClientKey包含以下內容：

      • 应用身份凭证内容（ClientKeyContent）：檔案名稱預設為clientKey_****.json

      • 憑證口令（ClientKeyPassword）：檔案名稱預設為clientKey_****_Password.txt。

ClientKey 支援快速建立和標準建立兩種方式。關於 ClientKey 的詳細介紹，請參見應用存取點概述、建立應用存取點。

• 方式一：快速建立

  操作便捷高效，適用於快速測試和開發情境，該方式建立的訪問憑證可以訪問 KMS 執行個體的全部資源。

  1. 登入Key Management Service控制台，在頂部功能表列選擇地區後，在左側導覽列單擊应用接入 > 多云接入（原接入点）。

  2. 在应用接入頁簽，單擊创建应用接入点，在创建应用接入点面板完成各項配置。

     配置項	說明
     创建模式	選擇快速创建。
     作用域（KMS实例）	選擇應用要訪問的KMS執行個體。
     应用接入点名称	自訂應用存取點的名稱。
     认证方式	預設為ClientKey，不支援修改。
     密碼編譯演算法	選擇用於加密 ClientKey 的密碼編譯演算法。可選 TripleDES-CBC 或 RC2-CBC，預設為 RC2-CBC。
     默认权限策略	預設為key/*secret/*，不支援修改。即應用可以訪問指定KMS執行個體中的所有密鑰和憑據。

  3. 單擊確認，瀏覽器會自動下載ClientKey。ClientKey包含以下內容：

     • 应用身份凭证内容（ClientKeyContent）：檔案名稱預設為clientKey_****.json

     • 憑證口令（ClientKeyPassword）：檔案名稱預設為clientKey_****_Password.txt。

• 方式二：標準建立

  若希望對資源設定更精細化的存取權限，建議使用標準建立。

  1. 請參考建立應用存取點中的標準建立方式，建立用於訪問專屬網關的 ClientKey。關鍵配置說明如下：

     1. 配置網路規則時，網路類型選擇Private。

     2. 配置許可權規則範圍時，請選擇對應的KMS 執行個體 ID。

  2. 建立完成後，瀏覽器會自動下載 ClientKey。ClientKey 包含以下內容：

     • 应用身份凭证内容（ClientKeyContent）：檔案名稱預設為clientKey_****.json

     • 憑證口令（ClientKeyPassword）：檔案名稱預設為clientKey_****_Password.txt。