密钥管理服务：SDK使用概述

1. 登录RAM 控制台，在页用户面，单击目标 RAM 用户名称。

2. 在凭证管理标签页的AccessKey区域，单击创建 AccessKey。

3. 授予 RAM 用户访问 KMS 的权限。

   • 方式一：设置基于身份的策略

     单击 RAM 用户操作列的新增授权，直接绑定 KMS 内置系统权限策略到 RAM 角色。KMS 内置系统权限策略，请参见密钥管理服务系统权限策略参考。

     说明

     同时支持自定义权限策略，具体操作请参见创建自定义权限策略。

   • 方式二：设置基于资源的策略

     KMS 支持基于资源的策略，即为单个密钥和凭据设置访问权限，用于控制哪些阿里云账号、RAM 用户、RAM 角色有权限来管理或使用 KMS 密钥、凭据。详细介绍，请参见密钥策略、凭据策略。

ECS RAM 角色是指为 ECS 实例授予的 RAM 角色，该 RAM 角色是一个受信服务为云服务器的普通服务角色。使用实例 RAM 角色可以实现在 ECS 实例内部无需配置 AccessKey 即可获取临时访问凭证（STS Token），从而调用 KMS 的 OpenAPI。

具体操作，请参见实例RAM角色。

1. 登录RAM 控制台，创建可信实体为阿里云服务的 RAM 角色。

   • 信任主体类型：选择云服务器。

   • 信任主体名称：选择云服务器 ECS。

2. 授予 RAM 角色访问 KMS 的权限。

   • 方式一：设置基于身份的策略

     单击 RAM 角色操作列的新增授权，直接绑定 KMS 内置系统权限策略到 RAM 角色。KMS 内置系统权限策略，请参见密钥管理服务系统权限策略参考。

     说明

     同时支持自定义权限策略，具体操作请参见创建自定义权限策略。

   • 方式二：设置基于资源的策略

     KMS 支持基于资源的策略，即为单个密钥和凭据设置访问权限，用于控制哪些阿里云账号、RAM 用户、RAM 角色有权限来管理或使用 KMS 密钥、凭据。详细介绍，请参见密钥策略、凭据策略。

3. 登录ECS 管理控制台，将 RAM 角色授予 ECS 实例。

通过 STS 服务为 RAM 用户或 RAM 角色颁发一个临时访问凭证（STS Token），可以在限定的有效期内，以符合策略规定的权限访问 KMS，超过有效期后，该凭证自动失效。

1. 登录RAM 控制台，创建 RAM 用户或 RAM 角色。具体操作，请参见创建RAM用户、创建RAM角色。

2. 为 RAM 用户或 RAM 角色授予AliyunSTSAssumeRoleAccess权限。具体操作，请参见管理RAM用户的权限、管理RAM角色的权限。

3. 授予 RAM 用户或 RAM 角色访问 KMS 的权限。

   • 方式一：设置基于身份的策略

     单击 RAM 角色或用户操作列的新增授权，直接绑定 KMS 内置系统权限策略。KMS 内置系统权限策略，请参见密钥管理服务系统权限策略参考。

     说明

     同时支持自定义权限策略，具体操作请参见创建自定义权限策略。

   • 方式二：设置基于资源的策略

     KMS 支持基于资源的策略，即为单个密钥和凭据设置访问权限，用于控制哪些阿里云账号、RAM 用户、RAM 角色有权限来管理或使用 KMS 密钥、凭据。详细介绍，请参见密钥策略、凭据策略。

4. 使用 RAM 用户或 RAM 角色调用 STS 服务的 AssumeRole 接口获取 STS 临时访问凭证。具体操作，请参见AssumeRole - 获取扮演角色的临时身份凭证。

RAM 用户或云产品可以通过扮演角色的方式获取临时权限（STS Token），而不是直接使用长期密钥，降低了密钥泄露的风险。例如，在临时的数据处理任务中，RAM 用户或云产品临时扮演一个具有特定 RamRoleArn 的角色，完成任务后角色权限被收回，减少泄露风险。

1. 创建用户 AK

   1. 登录RAM 控制台，在身份管理 > 用户页面，单击目标 RAM 用户名称。

   2. 为 RAM 用户分配系统策略 AliyunSTSAssumeRoleAccess或包含权限操作sts:AssumeRole的自定义策略。

   3. 在凭证管理标签页的AccessKey区域，单击创建 AccessKey。

2. 创建 RAM 角色并授权：

   1. 在身份管理 > 角色页面，单击创建角色具体操作，请参见创建RAM角色。

   2. 授予 RAM 角色访问 KMS 的权限。

      • 方式一：设置基于身份的策略

        单击 RAM 角色操作列的新增授权，直接绑定 KMS 内置系统权限策略到 RAM 角色。KMS 内置系统权限策略，请参见密钥管理服务系统权限策略参考。

        说明

        同时支持自定义权限策略，具体操作请参见创建自定义权限策略。

      • 方式二：设置基于资源的策略

        KMS 支持基于资源的策略，即为单个密钥和凭据设置访问权限，用于控制哪些阿里云账号、RAM 用户、RAM 角色有权限来管理或使用 KMS 密钥、凭据。详细介绍，请参见密钥策略、凭据策略。

3. 获取目标 RAM 角色的 RamRoleArn。具体操作，请参见查看RAM角色。

   1. 在身份管理 > 角色页面，单击目标角色名称。

   2. 进入角色详情页，在ARN区域可获取 RamRoleArn 信息。

      说明

      RamRoleArn 是 RAM 角色的 ARN 信息，即需要扮演的角色 ID。格式为 acs:ram::$accountID:role/$roleName。$accountID 为阿里云账号 ID。$roleName 为 RAM 角色名称。

1. 创建 OIDC 身份提供商

   1. 使用 RAM 管理员登录RAM 控制台，进入集成管理 > SSO 管理页面，并选择角色 SSO。

   2. 在OIDC页签，单击创建身份提供商。

   3. 在创建身份提供商页面，设置身份提供商信息。具体配置，请参见管理OIDC身份提供商。

2. 获取并保存 OIDC 身份信息（ARN 和客户端 ID）

   1. 进入集成管理 > SSO 管理页面，单击目标身份提供商名称。

   2. 进入身份提供商详情页，可查看ARN和客户端 ID。

3. 创建 OIDC 身份提供商的 RAM 角色并授权

   1. 使用 RAM 管理员登录RAM 控制台，在身份管理 > 角色页面。

   2. 单击创建角色，在创建页面右上角，单击切换编辑器。

   3. 在编辑器中指定具体的 OIDC 身份提供商。选择可视化编辑模式，并参考如下说明，完成配置。

      说明

      更多模式，请参见创建OIDC身份提供商的RAM角色。

      1. 在主体中选择身份提供商后，单击下方编辑。

      2. 在添加主体弹窗中，参考如下说明，完成配置。

         • 身份提供商类型：选择OIDC。

         • 身份提供商：选择之前创建的 OIDC 身份提供商。

4. 授予 OIDC RAM 角色访问 KMS 的权限

   • 方式一：设置基于身份的策略

     返回身份管理角色列表页，单击目标 OIDC 角色操作列的新增授权，直接绑定 KMS 内置系统权限策略到 RAM 角色。KMS 内置系统权限策略，请参见密钥管理服务系统权限策略参考。

     说明

     同时支持自定义权限策略，具体操作请参见创建自定义权限策略。

   • 方式二：设置基于资源的策略

     KMS 支持基于资源的策略，即为单个密钥和凭据设置访问权限，用于控制哪些阿里云账号、RAM 用户、RAM 角色有权限来管理或使用 KMS 密钥、凭据。详细介绍，请参见密钥策略、凭据策略。

5. 获取目标 Role ARN

   1. 在身份管理 > 角色页面，单击目标角色名称。

   2. 进入角色详情页，在ARN区域可获取 OIDC Role ARN 信息。

      说明

      Role ARN 是 RAM 角色的 ARN 信息，即需要扮演的角色 ID。格式为 acs:ram::$accountID:role/$roleName。$accountID 为阿里云账号 ID。$roleName 为 RAM 角色名称。

6. 签发并保存 OIDC 令牌（OIDC Token）文件

   阿里云不支持在控制台上直接通过 OIDC 登录，但可以通过编程方式完成 OIDC SSO 流程。获取 OIDC 令牌需要通过标准 OAuth 2.0 流程从 OIDC IdP 获取。例如当应用程序运行于已启用RRSA功能的 ACK 集群中时，集群将自动为该应用 Pod 创建和挂载相应的服务账户 OIDC Token 文件。

1. 登录密钥管理服务控制台，在顶部菜单栏选择地域后，在左侧导航栏单击应用接入 > 访问控制（原接入点）。

2. 创建网络规则（非必须）。

   说明

   如果不需要基于来源 IP 限制访问，则不需要设置网络规则。但为了更高的安全性，通常建议合理设置。

   1. 单击网络规则页签，然后单击创建网络规则。

   2. 在创建网络规则面板，网络类型选择Public，填写允许访问的源IP地址后，单击确定。

3. 创建权限策略。

   1. 单击权限策略，然后单击创建权限策略。

   2. 在创建权限策略面板，按照下方提示完成共享网关配置后，单击确定。

      1. 作用域：KMS共享网关

      2. 允许访问的资源：勾选需要访问的凭据

      3. 网络控制规则（非必须）：勾选步骤二创建网络规则。

4. 创建应用接入点 AAP。

   1. 单击应用接入页签，然后单击创建应用接入点。

   2. 在创建应用接入点面板，创建模式选择标准创建，然后按照下方提示完成各项配置。

      配置项	说明
      认证方式	选择 ClientKey
      Client Key加密口令	设置 8～64 位包含数字、英文大小写、特殊字符~!@#$%^&*?_-的字符串
      有效期	重要 推荐设置为 1 年，以降低 ClientKey 被泄露的风险。请务必在到期前更换，以免无法正常访问 KMS。具体操作，请参见更换ClientKey。
      权限策略	选择步骤三创建的权限策略。

   3. 单击确定，浏览器会自动下载ClientKey。ClientKey包含以下内容：

      • 应用身份凭证内容（ClientKeyContent）：文件名默认为clientKey_****.json

      • 凭证口令（ClientKeyPassword）：文件名默认为clientKey_****_Password.txt。

ClientKey 支持快速创建和标准创建两种方式。关于 ClientKey 的详细介绍，请参见应用接入点概述、创建应用接入点。

• 方式一：快速创建

  操作便捷高效，适用于快速测试和开发场景，该方式创建的访问凭证可以访问 KMS 实例的全部资源。

  1. 登录密钥管理服务控制台，在顶部菜单栏选择地域后，在左侧导航栏单击应用接入 > 访问控制（原接入点）。

  2. 在应用接入页签，单击创建应用接入点，在创建应用接入点面板完成各项配置。

     配置项	说明
     创建模式	选择快速创建。
     作用域（KMS实例）	选择应用要访问的KMS实例。
     应用接入点名称	自定义应用接入点的名称。
     认证方式	默认为ClientKey，不支持修改。
     加密算法	选择用于加密 ClientKey 的加密算法。可选 TripleDES-CBC 或 RC2-CBC，默认为 RC2-CBC。 说明 RC2-CBC 适用于大多数运行环境，推荐优先使用；若您的运行环境有更严格的算法要求而不支持 RC2-CBC，请选择 TripleDES-CBC
     默认权限策略	默认为key/*secret/*，不支持修改。即应用可以访问指定KMS实例中的所有密钥和凭据。

  3. 单击确定，浏览器会自动下载ClientKey。ClientKey包含以下内容：

     • 应用身份凭证内容（ClientKeyContent）：文件名默认为clientKey_****.json

     • 凭证口令（ClientKeyPassword）：文件名默认为clientKey_****_Password.txt。

• 方式二：标准创建

  若希望对资源设置更精细化的访问权限，建议使用标准创建。

  1. 请参考创建应用接入点中的标准创建方式，创建用于访问专属网关的 ClientKey。关键配置说明如下：

     1. 配置网络规则时，网络类型选择Private。

     2. 配置权限规则作用域时，请选择对应的KMS 实例 ID。

  2. 创建完成后，浏览器会自动下载 ClientKey。ClientKey 包含以下内容：

     • 应用身份凭证内容（ClientKeyContent）：文件名默认为clientKey_****.json

     • 凭证口令（ClientKeyPassword）：文件名默认为clientKey_****_Password.txt。