Key Management Service：Redis/Tair憑據

建立憑據時可以設定憑據全自動的定期輪轉，從而降低憑據泄露的安全風險。

1. 登入Key Management Service控制台，在頂部功能表列選擇地區後，在左側導覽列單擊资源 > 凭据管理。

2. 單擊数据库凭据，選擇实例ID後，單擊创建凭据。

3. 選擇创建单个凭据或创建批量凭据，完成各項配置後單擊確定。

   說明

   建立憑據時，系統會自動建立服務關聯角色Redis服务关联角色，並為其授權權限原則AliyunServiceRolePolicyForKMSSecretsManagerForRedis。KMS使用該角色管理Redis憑據，完成Redis帳號口令的輪轉等任務。

   可以登入 RAM 控制台查看服務關聯角色和權限原則的詳細資料，具體操作，請參見查看RAM角色和查看權限原則資訊。

   配置項	說明
   数据库类型	選擇Redis/Tair实例。
   凭据名称	自訂憑據名稱，需確保名稱在當前地區內唯一。
   Redis/Tair实例	選擇阿里雲帳號下已有的 Redis 執行個體或 Tair 執行個體。
   账号托管	僅支援双账号托管。
   设置凭据值	僅支援託管新建立的帳號，不支援託管已有的 Redis/Tair 存量帳號。 定制账号名：自訂 Redis/Tair 資料庫的帳號，KMS 會調用 API 新建立兩個許可權相同的資料庫帳號及口令。例如自訂帳號為 user，則會建立 user 和 user_clone 兩個帳號。 指定权限：取值為读写或只读。兩個新帳號許可權相同。
   加密主密钥	選擇用於加密憑據值的對稱金鑰。密鑰和憑據必須屬於同一個 KMS 執行個體。 重要 密鑰和憑據需要屬於同一個 KMS 執行個體，且密鑰必須為對稱金鑰。關於 KMS 支援哪些對稱金鑰，請參見密鑰管理類型和密鑰規格。 如果是 RAM 使用者、RAM 角色，需要具備使用加密主要金鑰執行 GenerateDataKey 操作的許可權。
   標籤	為憑據添加標籤，便於分類管理。每個標籤由索引值對（Key:Value）組成。 說明 標籤鍵和標籤值的格式：最多支援 128 個字元，可以包含英文大小寫字母、數字、正斜線（/）、反斜線（\）、底線（_）、短劃線（-）、半形句號（.）、加號（+）、等號（=）、半形冒號（:）、字元 at（@）、空格。 標籤鍵不能以 aliyun 或 acs:開頭。 每個憑據最多可以設定 20 個標籤索引值對。
   自动轮转	選擇是否啟用自動輪轉功能。啟用後，KMS 將按照設定的周期自動更新憑據值，降低憑據泄露風險。
   轮转周期	僅在開啟自動輪轉功能時設定。支援設定為 6 小時～365 天。 表示輪轉周期，設定後 KMS 將定期更新憑據值。
   描述信息	填寫憑據的補充描述資訊，便於後續識別和管理。
   高级设置 > 策略配置	設定憑據的存取權限策略，可控制哪些 RAM 使用者或角色可以讀取或修改此憑據。 可先選擇預設策略，建立後根據業務需要修改。

應用程式整合Redis/Tair憑據

KMS提供了阿里雲SDK、KMS執行個體SDK、憑據用戶端，用於擷取憑據值，應用可以通過這些SDK整合Redis/Tair憑據。關於各SDK的詳細介紹，請參見SDK參考。

使用其他SDK時建議做好錯誤重試機制提升業務穩定性。

輪轉前須知

• 輪轉Redis/Tair憑據時，KMS將請求Redis/Tair重設相應資料庫帳號的口令。在輪轉Redis/Tair憑據前請確保所有應用均從KMS擷取Redis/Tair憑據，以免造成相關業務應用不可用。

• Redis/Tair憑據輪轉時請勿刪除憑據關聯的Redis/Tair執行個體和Redis/Tair帳號，避免輪轉失敗。

• 建議輪轉前進行一次“檢測帳號”，且看到KMS提示檢驗成功後再進行輪轉。如果在Redis/Tair中刪除了對應的資料庫執行個體或帳號，KMS將無法正常對該Redis/Tair憑據完成輪轉。

輪轉過程

在 KMS 中託管 Redis 或 Tair 憑據時，採用雙帳號交替輪轉機制。該機制通過維護兩個許可權相同的資料庫帳號及其對應的 KMS 憑據版本狀態（ACSCurrent 和 `ACSPrevious），實現無縫密鑰輪轉。具體流程如下：

1. 初始化配置

   • 當使用者在 KMS 中配置自訂帳號（例如 user）時，KMS 會自動調用 Redis/Tair API建立兩個資料庫帳號：user 和 user_clone。

   • 初始狀態映射：

     • 帳號 user 對應 KMS 憑據版本狀態為 ACSCurrent（當前生效版本）。

     • 帳號 user_clone 對應 KMS 憑據版本狀態為 ACSPrevious（上一版本/備用版本）。

2. 首次輪轉執行

   • KMS 調用 API修改備用帳號（user_clone）的口令。

   • 狀態切換將原目前的版本降級，新備用版本升級：

     • user 的狀態由 ACSCurrent 變更為 ACSPrevious。

     • user_clone 的狀態由 ACSPrevious 變更為 ACSCurrent。

3. 後續持續輪轉：每次觸發輪轉任務時，KMS 將交替修改這兩個帳號的口令，並同步更新其在 KMS 中的版本狀態，確保持續提供可用的訪問憑據。

通過配置憑據的周期性自動輪轉，可有效降低因長期未更新導致的泄露風險；同時支援控制台即時輪轉功能，以便在發生泄露事件時快速響應，及時阻斷潛在的安全威脅。

1. 登入Key Management Service控制台，在頂部功能表列選擇地區後，在左側導覽列單擊资源 > 凭据管理。

2. 單擊数据库凭据頁簽，選擇实例ID後，凭据类型選擇Redis，定位到要輪轉的憑據名稱，單擊操作列的详情。

3. 在版本列表地區，單擊设置轮转，配置憑據輪轉策略。

   • 定時自動輪轉：開啟後需要選擇輪轉周期，支援設定為6小時~365天。

   • 立即輪轉：手動觸發立即輪轉。

檢測帳號

KMS將檢測憑據保護的資料庫帳號是否屬於已配置的Redis執行個體，檢測成功說明該憑據可以正常輪轉，否則需要刪除後重新建立Redis/Tair憑據。

1. 登入Key Management Service控制台，在頂部功能表列選擇地區後，在左側導覽列單擊资源 > 凭据管理。

2. 單擊数据库凭据頁簽，選擇实例ID後，凭据类型選擇Redis凭据，定位到要輪轉的憑據名稱，單擊操作列的详情。

3. 在版本列表地區，單擊检测账号，驗證完成後，查看驗證結果。

刪除Redis憑據

刪除不需要的憑據時，支援計劃刪除和立即刪除兩種方式。刪除Redis/Tair憑據僅刪除KMS中的Redis/Tair憑據資訊，不會刪除Redis/Tair中的賬戶和口令。

1. 登入Key Management Service控制台，在頂部功能表列選擇地區後，在左側導覽列單擊资源 > 凭据管理。

2. 單擊数据库凭据頁簽，選擇实例ID後，凭据类型選擇Redis，定位到要輪轉的憑據名稱，單擊操作列的计划删除凭据。

3. 在计划删除凭据對話方塊中，選擇憑據刪除方式，並單擊確定。

   • 计划删除凭据：設定預刪除周期（7~30 天），系統將在預刪除周期結束後刪除憑據。

   • 立即删除凭据：系統將立即刪除憑據。

   在預刪除周期內，可以單擊目標憑據操作列的還原憑據，取消刪除操作。

配置憑據標籤

憑據可以設定標籤，用於分類管理。每個標籤由一個索引值對（Key : Value）組成，包含標籤鍵（Key）和標籤值（Value）。