您可以为VPC网络下的ECS实例创建RAM服务角色,使ECS实例内的应用程序可以使用STS临时凭证或者通过SDK访问KMS。

步骤一:创建实例RAM角色并授权

  1. 创建实例RAM角色。
    在OpenAPI开发者门户中调用RAM的CreateRole接口,创建实例RAM角色(EcsRamRoleTest)。请求参数设置如下:
    • RoleName:填写实例RAM角色名称(EcsRamRoleTest)。
    • AssumeRolePolicyDocument:填写如下策略内容,表示允许ECS扮演该角色。
      {
          "Statement": [
              {
                  "Action": "sts:AssumeRole", 
                  "Effect": "Allow", 
                  "Principal": {
                      "Service": [
                          "ecs.aliyuncs.com"
                      ]
                  }
              }
          ], 
          "Version": "1"
      }
  2. 授予实例RAM角色访问KMS的权限。
    在OpenAPI开发者门户中调用RAM的AttachPolicyToRole接口,为实例RAM角色(EcsRamRoleTest)添加AliyunKMSFullAccess系统权限。请求参数设置如下:
    • PolicyType:填写System,表示系统策略。
    • PolicyName:填写KMS系统策略名称(AliyunKMSFullAccess)。
    • RoleName:填写实例RAM角色名称(EcsRamRoleTest)。

步骤二:授予实例RAM角色

您可以通过如下两种方式为ECS实例授予RAM角色:
  • 为已有ECS实例授予实例RAM角色

    在OpenAPI开发者门户中调用ECS的AttachInstanceRamRole接口,为已有的VPC类型ECS实例授予实例RAM角色。请求参数设置如下:

    • RegionId:选择实例所在的地域ID。
    • RamRoleName:填写实例RAM角色名称(EcsRamRoleTest)。
    • InstanceIds:填写VPC类型ECS实例ID(["i-bXXXXXXXX"])。
  • 创建ECS实例时指定实例RAM角色
    1. 创建实例。
      在OpenAPI开发者门户中调用ECS的CreateInstance接口,创建ECS实例。请求参数设置如下:
      • RegionId:选择实例所在地域(cn-hangzhou)。
      • ImageId:填写实例的镜像(centos_7_03_64_40G_alibase_20170503.vhd)。
      • InstanceType:填写实例的规格(ecs.g6.large)。
      • VSwitchId:填写实例所在的VPC交换机的ID。
        说明 实例RAM角色目前只支持VPC类型ECS实例,该参数必填。
      • RamRoleName:填写实例RAM角色名称(EcsRamRoleTest)。

      您也可以授权RAM用户使用实例RAM角色。具体操作,请参见授权RAM用户使用实例RAM角色

    2. 设置密码并启动实例。
    3. 使用API或在控制台设置ECS实例访问公网的权限。

步骤三(可选):获取临时授权Token

您可以获得实例RAM角色的临时授权Token,该临时授权Token可以执行实例RAM角色的权限和资源,并且自动周期性地更新。操作步骤如下:

  1. 检索名为EcsRamRoleTest的实例RAM角色的临时授权Token。
    • Linux实例:执行命令curl http://100.100.100.200/latest/meta-data/ram/security-credentials/EcsRamRoleTest
    • Windows实例:具体操作,请参见实例元数据
  2. 获得临时授权Token。
    返回示例如下:
    {
       "AccessKeyId" : "STS.J8XXXXXXXXXX4",
       "AccessKeySecret" : "9PjfXXXXXXXXXBf2XAW",
       "Expiration" : "2017-06-09T09:17:19Z",
       "SecurityToken" : "CAIXXXXXXXXXXXwmBkleCTkyI+",
       "LastUpdated" : "2017-06-09T03:17:18Z",
       "Code" : "Success"
    }

步骤四:使用SDK访问KMS

通过如下三种方式使用SDK访问KMS:

KMS SDK

package com.aliyuncs.kms.examples;

import com.aliyuncs.DefaultAcsClient;
import com.aliyuncs.IAcsClient;
import com.aliyuncs.auth.AlibabaCloudCredentialsProvider;
import com.aliyuncs.auth.InstanceProfileCredentialsProvider;
import com.aliyuncs.exceptions.ClientException;
import com.aliyuncs.exceptions.ServerException;
import com.aliyuncs.kms.model.v20160120.*;
import com.aliyuncs.profile.DefaultProfile;

public class RamRoleTest {
    public static void main(final String[] args) throws Exception {
        String regionId = "<region-id>";
        DefaultProfile profile = DefaultProfile.getProfile(regionId);

        // 设置RAM角色。
        String roleName = "<your-ecs-ram-role-name>"; // 本示例使用"EcsRamRoleTest"。

        // 设置ECS实例RAM角色的凭证Provider。
        AlibabaCloudCredentialsProvider provider = new InstanceProfileCredentialsProvider(roleName);

        IAcsClient client = new DefaultAcsClient(profile, provider);

        EncryptRequest request = new EncryptRequest();

        // 指定用于加密Hello world的用户主密钥别名或者用户主密钥ID。
        request.setKeyId("alias/Apollo/SalaryEncryptionKey");
        request.setPlaintext("Hello world");

        try {
            EncryptResponse response = client.getAcsResponse(request);
            System.out.println(new Gson().toJson(response));
        } catch (ServerException e) {
            e.printStackTrace();
        } catch (ClientException e) {
            System.out.println("ErrCode:" + e.getErrCode());
            System.out.println("ErrMsg:" + e.getErrMsg());
            System.out.println("RequestId:" + e.getRequestId());
        }
    }
}

加密SDK

package com.aliyun.encryptionsdk.examples.credentials;
 
 import com.aliyun.encryptionsdk.AliyunConfig;
 import com.aliyun.encryptionsdk.AliyunCrypto;
 import com.aliyun.encryptionsdk.exception.InvalidAlgorithmException;
 import com.aliyun.encryptionsdk.exception.UnFoundDataKeyException;
 import com.aliyun.encryptionsdk.model.CryptoResult;
 import com.aliyun.encryptionsdk.provider.dataKey.DefaultDataKeyProvider;
 
 import java.util.Collections;
 
 import static org.junit.Assert.assertArrayEquals;
 
 /**
  *
  * 通过ECS实例RAM角色进行访问认证。
  */
 public class EcsRamRoleSample {
     private static final String PLAIN_TEXT = "this is test.";
     private static final String cmkArn = "acs:kms:RegionId:UserId:key/CmkId";
     private static final String ecRamRoleName = "EcsRamRoleTest";
     public static void main(String[] args) {
         AliyunConfig config = new AliyunConfig();
         //设置RAM角色。
         config.withEcsRamRole(ecRamRoleName);
         
         AliyunCrypto crypto = new AliyunCrypto(config);
         
         DefaultDataKeyProvider defaultDataKeyProvider = new DefaultDataKeyProvider(cmkArn);
         try {
             CryptoResult<byte[]> encryptResult = crypto.encrypt(defaultDataKeyProvider, PLAIN_TEXT.getBytes(), Collections.singletonMap("sample", "Context"));
             CryptoResult<byte[]> decryptResult = crypto.decrypt(defaultDataKeyProvider, encryptResult.getResult());
             assertArrayEquals(decryptResult.getResult(), PLAIN_TEXT.getBytes());
         } catch (InvalidAlgorithmException | UnFoundDataKeyException e) {
             System.out.println("Failed.");
             System.out.println("Error message: " + e.getMessage());
         }
     }
 }

凭据管家客户端

package com.aliyuncs.kms.secretsmanager.examples;
 
 import com.alibaba.fastjson.JSONObject;
 import com.aliyuncs.auth.InstanceProfileCredentialsProvider;
 import com.aliyuncs.kms.secretsmanager.cacheclient.exception.CacheSecretException;
 import com.aliyuncs.kms.secretsmanager.cacheclient.model.SecretInfo;
 import com.aliyuncs.kms.secretsmanager.cacheclient.service.DefaultSecretManagerClientBuilder;
 
 public class EcsSamples {
 
     public static void main(String[] args) throws CacheSecretException {
         String secretName = "<secret-name>";
         String roleName = "<your-ecs-ram-role-name>";
         String regionId = "<region-id>";
         SecretCacheClient client = SecretCacheClientBuilder.newCacheClientBuilder(
                 DefaultSecretManagerClientBuilder.standard().withCredentialsProvider(new InstanceProfileCredentialsProvider(roleName)).withRegion(regionId)
                         .build()
         ).build();
         SecretInfo secretInfo = client.getSecretInfo(secretName);
         System.out.println("secretInfo:"+JSONObject.toJSONString(secretInfo));
     }
 }