Key Management Service：SDK使用概述

1. 登入RAM控制台，在頁用户面，單擊目標RAM使用者名稱稱。

2. 在认证管理頁簽下的AccessKey地區，單擊建立AccessKey，並按照指引完成建立。

3. 授予RAM使用者訪問KMS的許可權。

   • 方式一：設定基於身份的策略

     單擊RAM使用者操作列的新增授权，直接綁定KMS內建系統權限原則到RAM角色。KMS內建系統權限原則，請參見Key Management Service系統權限原則參考。

     說明

     同時支援自訂權限原則，具體操作請參見建立自訂權限原則。

   • 方式二：設定基於資源的策略

     KMS支援基於資源的策略，即為單個密鑰和憑據設定存取權限，用於控制哪些阿里雲帳號、RAM使用者、RAM角色有許可權來管理或使用KMS密鑰、憑據。詳細介紹，請參見密鑰策略、憑據策略。

ECS RAM角色是指為ECS執行個體授予的RAM角色，該RAM角色是一個受信服務為雲端服務器的普通服務角色。使用執行個體RAM角色可以實現在ECS執行個體內部無需配置AccessKey即可擷取臨時訪問憑證（STS Token），從而調用KMS的OpenAPI。

具體操作，請參見執行個體RAM角色。

1. 登入RAM控制台，建立可信實體為阿里雲服務的RAM角色。

   • 信任主體類型：選擇云服务器。

   • 信任主體名稱：選擇Elastic Compute Service。

2. 授予RAM角色訪問KMS的許可權。

   • 方式一：設定基於身份的策略

     單擊RAM角色操作列的新增授权，直接綁定KMS內建系統權限原則到RAM角色。KMS內建系統權限原則，請參見Key Management Service系統權限原則參考。

     說明

     同時支援自訂權限原則，具體操作請參見建立自訂權限原則。

   • 方式二：設定基於資源的策略

     KMS支援基於資源的策略，即為單個密鑰和憑據設定存取權限，用於控制哪些阿里雲帳號、RAM使用者、RAM角色有許可權來管理或使用KMS密鑰、憑據。詳細介紹，請參見密鑰策略、憑據策略。

3. 登入ECS管理主控台，將RAM角色授予ECS執行個體。

RAM使用者或雲產品可以通過扮演角色的方式擷取臨時許可權（STS Token），而不是直接使用長期密鑰，降低了密鑰泄露的風險。例如，在臨時的資料處理任務中，RAM使用者或雲產品臨時扮演一個具有特定RamRoleArn的角色，完成任務后角色許可權被收回，減少泄露風險。

1. 建立使用者AK

   1. 登入RAM控制台，在身份管理 > 用户頁面，單擊目標RAM使用者名稱稱。

   2. 為RAM使用者指派系統策略 AliyunSTSAssumeRoleAccess或包含許可權操作sts:AssumeRole的自訂策略。

   3. 在认证管理頁簽下的AccessKey地區，單擊建立AccessKey，並按照指引完成建立。

2. 建立RAM角色並授權：

   1. 在身份管理 > 角色頁面，單擊创建角色具體操作，請參見建立RAM角色。

   2. 授予RAM角色訪問KMS的許可權。

      • 方式一：設定基於身份的策略

        單擊RAM角色操作列的新增授权，直接綁定KMS內建系統權限原則到RAM角色。KMS內建系統權限原則，請參見Key Management Service系統權限原則參考。

        說明

        同時支援自訂權限原則，具體操作請參見建立自訂權限原則。

      • 方式二：設定基於資源的策略

        KMS支援基於資源的策略，即為單個密鑰和憑據設定存取權限，用於控制哪些阿里雲帳號、RAM使用者、RAM角色有許可權來管理或使用KMS密鑰、憑據。詳細介紹，請參見密鑰策略、憑據策略。

3. 擷取目標RAM角色的RamRoleArn。具體操作，請參見查看RAM角色。

   1. 在身份管理 > 角色頁面，單擊目標角色名稱。

   2. 進入角色詳情頁，在ARN地區可擷取RamRoleArn資訊。

      說明

      RamRoleArn是RAM角色的ARN資訊，即需要扮演的角色ID。格式為acs:ram::$accountID:role/$roleName。$accountID為阿里雲帳號ID。$roleName為RAM角色名稱。

通過STS服務為RAM使用者或RAM角色頒發一個臨時訪問憑證（STS Token），可以在限定的有效期間內，以符合策略規定的許可權訪問KMS，超過有效期間後，該憑證自動失效。

1. 登入RAM控制台，建立RAM使用者或RAM角色。具體操作，請參見建立RAM使用者、建立RAM角色。

2. 為RAM使用者或RAM角色授予AliyunSTSAssumeRoleAccess許可權。具體操作，請參見管理RAM使用者的許可權、管理RAM角色的許可權。

3. 授予RAM使用者或RAM角色訪問KMS的許可權。

   • 方式一：設定基於身份的策略

     單擊RAM角色或使用者操作列的新增授权，直接綁定KMS內建系統權限原則。KMS內建系統權限原則，請參見Key Management Service系統權限原則參考。

     說明

     同時支援自訂權限原則，具體操作請參見建立自訂權限原則。

   • 方式二：設定基於資源的策略

     KMS支援基於資源的策略，即為單個密鑰和憑據設定存取權限，用於控制哪些阿里雲帳號、RAM使用者、RAM角色有許可權來管理或使用KMS密鑰、憑據。詳細介紹，請參見密鑰策略、憑據策略。

4. 使用RAM使用者或RAM角色調用STS服務的AssumeRole介面擷取STS臨時訪問憑證。具體操作，請參見AssumeRole - 擷取扮演角色的臨時身份憑證。

1. 建立OIDC身份供應商

   1. 使用Resource Access Management員登入RAM控制台，進入整合管理 > SSO管理頁面，並選擇角色SSO。

   2. 在OIDC頁簽，單擊创建身份提供商。

   3. 在创建身份提供商頁面，設定身份供應商資訊。具體配置，請參見管理OIDC身份供應商。

2. 擷取並儲存OIDC身份資訊（ARN和用戶端ID）

   1. 進入整合管理 > SSO管理頁面，單擊目標身份提供商名稱。

   2. 進入身份提供商詳情頁，可查看ARN和用戶端識別碼。

3. 建立OIDC身份供應商的RAM角色並授權

   1. 使用Resource Access Management員登入RAM控制台，在身份管理 > 角色頁面。

   2. 單擊创建角色，在建立頁面右上方，單擊切換編輯器。

   3. 在編輯器中指定具體的OIDC身份供應商。選擇可視化編輯模式，並參考如下說明，完成配置。

      說明

      更多模式，請參見建立OIDC身份供應商的RAM角色。

      1. 在主體中選擇身份提供商後，單擊下方編輯。

      2. 在添加主體彈窗中，參考如下說明，完成配置。

         • 身份提供商类型：選擇OIDC。

         • 身份提供商：選擇之前建立的OIDC身份供應商。

4. 授予OIDC RAM角色訪問KMS的許可權

   • 方式一：設定基於身份的策略

     返回身份管理角色列表頁，單擊目標OIDC 角色操作列的新增授权，直接綁定KMS內建系統權限原則到RAM角色。KMS內建系統權限原則，請參見Key Management Service系統權限原則參考。

     說明

     同時支援自訂權限原則，具體操作請參見建立自訂權限原則。

   • 方式二：設定基於資源的策略

     KMS支援基於資源的策略，即為單個密鑰和憑據設定存取權限，用於控制哪些阿里雲帳號、RAM使用者、RAM角色有許可權來管理或使用KMS密鑰、憑據。詳細介紹，請參見密鑰策略、憑據策略。

5. 擷取目標 Role ARN

   1. 在身份管理 > 角色頁面，單擊目標角色名稱。

   2. 進入角色詳情頁，在ARN地區可擷取OIDC Role ARN資訊。

      說明

      Role ARN是RAM角色的ARN資訊，即需要扮演的角色ID。格式為acs:ram::$accountID:role/$roleName。$accountID為阿里雲帳號ID。$roleName為RAM角色名稱。

6. 簽發並儲存OIDC令牌（OIDC Token）檔案

   阿里雲不支援在控制台上直接通過OIDC登入，但可以通過編程方式完成OIDC SSO流程。擷取OIDC令牌涉及一個OAuth流程，常用的方法包括標準的OAuth 2.0流程，從OIDC IdP，擷取OIDC Token。例如當應用程式運行於已啟用RRSA功能的ACK叢集中時，叢集將自動為該應用Pod建立和掛載相應的服務賬戶OIDC Token檔案。

1. 登入Key Management Service控制台，在頂部功能表列選擇地區後，在左側導覽列單擊应用接入 > 多云接入（原接入点）。

2. 建立網路規則（非必須）。

   說明

   如果您不需要基於來源IP限制訪問，則不需要設定網路規則。但為了更高的安全性，通常建議您合理設定。

   1. 單擊网络规则頁簽，然後單擊创建网络规则。

   2. 在创建网络规则面板，网络类型選擇Public，填寫允许访问的源IP地址後，單擊確定。

3. 建立權限原則。

   1. 單擊权限策略，然後單擊创建权限策略。

   2. 在创建权限策略面板，按照下方提示完成共用網關配置後，單擊確定。

      1. 作用域：KMS共享网关

      2. 允许访问的资源：勾選你需要訪問的憑據

      3. 网络控制规则（非必須）：勾選步驟二建立網路規則。

4. 建立應用存取點AAP。

   1. 單擊应用接入頁簽，然後單擊创建应用接入点，。

   2. 在创建应用接入点面板，创建模式選擇标准创建，然後按照下方提示完成各項配置。

      配置項	說明
      认证方式	選擇ClientKey
      Client Key加密口令	設定8～64位包含數字、英文大小寫、特殊字元~!@#$%^&*?_-的字串
      有效期	重要 推薦設定為1年，以降低ClientKey被泄露的風險。請務必在到期前更換，以免無法正常訪問KMS。具體操作，請參見更換ClientKey。
      权限策略	選擇您步驟三建立的權限原則。

   3. 單擊確認，瀏覽器會自動下載ClientKey。ClientKey包含以下內容：

      • 应用身份凭证内容（ClientKeyContent）：檔案名稱預設為clientKey_****.json

      • 憑證口令（ClientKeyPassword）：檔案名稱預設為clientKey_****_Password.txt。

ClientKey支援快速建立和標準建立兩種方式。關於ClientKey的詳細介紹，請參見應用存取點概述、建立應用存取點。

• 方式一：快速建立

  便捷高效適合於快速測試和開發情境，該方式建立的訪問憑證可以訪問KMS執行個體的全部資源。

  1. 登入Key Management Service控制台，在頂部功能表列選擇地區後，在左側導覽列單擊应用接入 > 多云接入（原接入点）。

  2. 在应用接入頁簽，單擊创建应用接入点，在创建应用接入点面板完成各項配置。

     配置項	說明
     创建模式	選擇快速创建。
     作用域（KMS实例）	選擇應用要訪問的KMS執行個體。
     应用接入点名称	自訂應用存取點的名稱。
     认证方式	預設為ClientKey，不支援修改。
     默认权限策略	預設為key/*secret/*，不支援修改。即應用可以訪問指定KMS執行個體中的所有密鑰和憑據。

  3. 單擊確認，瀏覽器會自動下載ClientKey。ClientKey包含以下內容：

     • 应用身份凭证内容（ClientKeyContent）：檔案名稱預設為clientKey_****.json

     • 憑證口令（ClientKeyPassword）：檔案名稱預設為clientKey_****_Password.txt。

• 方式二：標準建立

  若希望對資源設定更精細化的存取權限，建議使用標準建立。

  1. 請參考建立應用存取點中的標準建立方式，建立用於訪問專屬網關的ClientKey。關鍵配置說明如下：

     1. 配置網路規則時，網路類型選擇Private。

     2. 配置許可權規則範圍時，請選擇對應的KMS執行個體ID。

  2. 建立完成後，瀏覽器會自動下載ClientKey。ClientKey包含以下內容：

     • 应用身份凭证内容（ClientKeyContent）：檔案名稱預設為clientKey_****.json

     • 憑證口令（ClientKeyPassword）：檔案名稱預設為clientKey_****_Password.txt。