密钥管理服务：堡垒机集成ECS凭据

功能介绍

在KMS中将ECS账号口令或SSH密钥对保存为ECS凭据，在堡垒机侧仅需导入ECS凭据，不必在堡垒机手动输入ECS账号口令或SSH密钥对。远程连接ECS服务器时，堡垒机会实时从KMS获取ECS凭据的凭据值用于登录。

KMS可以对ECS凭据设置周期性自动轮转，由于堡垒机会实时从KMS获取凭据版本为ACSCurrent的凭据值，设置轮转不会影响堡垒机远程连接ECS服务器。关于凭据版本的详细介绍，请参见凭据版本。堡垒机使用ECS凭据远程连接服务器的整体流程如下图所示。

1. 凭据管理员在KMS中创建ECS凭据。

2. 堡垒机管理员在堡垒机中配置从KMS导入ECS凭据。

3. 堡垒机运维员发起远程连接ECS实例的请求。

4. 堡垒机调用KMS的ListSecrets、GetSecretValue接口，实时从KMS获取对应的ECS凭据值。

5. 堡垒机使用ECS凭据值登录ECS实例。

注意事项

• 堡垒机仅基础版、企业双擎版的V3.2.40及以上版本支持集成ECS凭据。

• 如果在KMS中删除ECS凭据，会导致堡垒机无法获取对应的凭据值，远程连接ECS服务器将失败。

前提条件

• 已在堡垒机中导入ECS资产。具体操作，请参见导入本账号ECS实例。

• 如果使用RAM用户（子账号）管理ECS凭据以及堡垒机，请确保阿里云账号（主账号）已将AliyunKMSSecretAdminAccess（管理KMS凭据的权限）和AliyunYundunBastionHostFullAccess（管理云盾堡垒机的权限）授予RAM用户。具体操作，请参见管理RAM用户的权限。

操作步骤

1. 在KMS创建ECS凭据。详细内容，请参见步骤一：创建ECS凭据。

   1. 登录密钥管理服务控制台，在顶部菜单栏选择地域后，在左侧导航栏单击资源 > 凭据管理。

   2. 单击ECS凭据页签，选择实例ID后，单击创建ECS凭据，完成各项配置后单击确定。

      配置项	说明
      凭据名称	自定义凭据名称，需确保名称在当前地域内唯一。
      托管实例	选择阿里云账号下已有的 ECS 实例。
      托管用户	填写 ECS 实例上已有的用户名称，例如 root（Linux）或 Administrator（Windows）。
      初始凭据值	凭据值的长度不超过 30720 字节（30 KB）。 口令：用户登录 ECS 实例的密码。 密钥对：用户登录 ECS 实例的 SSH 密钥对。 获取 SSH 密钥对 通过 ECS 创建 SSH 密钥对 私钥：创建后浏览器自动下载 密钥对名称.pem 到本地电脑。 公钥：查看公钥的方法，请参见查看 SSH 公钥文档。 自行生成 SSH 密钥对 在生成密钥对的同时保存私钥和公钥。以使用 ssh-keygen 命令生成并保存 3072 位 RSA 密钥对为例： ssh-keygen -t RSA -b 3072 -m PEM -f ~/.ssh/sshKey_demo -N "" 执行完成后生成两个文件： ~/.ssh/sshKey_demo：保存私钥。 ~/.ssh/sshKey_demo.pub：保存公钥。 说明 凭据值必须正确配置。如果凭据值不正确，在 ECS 凭据首次轮转前，从 KMS 获取的口令或密钥对将无法正常登录 ECS 实例。
      加密主密钥	选择用于加密凭据值的对称密钥。密钥和凭据必须属于同一个 KMS 实例。 重要 密钥和凭据需要属于同一个 KMS 实例，且密钥必须为对称密钥。关于 KMS 支持哪些对称密钥，请参见密钥管理类型和密钥规格。 如果是 RAM 用户、RAM 角色，需要具备使用加密主密钥执行 GenerateDataKey 操作的权限。
      标签	为凭据添加标签，便于分类管理。每个标签由键值对（Key:Value）组成。 说明 标签键和标签值的格式：最多支持 128 个字符，可以包含英文大小写字母、数字、正斜线（/）、反斜线（\）、下划线（_）、短划线（-）、半角句号（.）、加号（+）、等于号（=）、半角冒号（:）、字符 at（@）、空格。 标签键不能以 aliyun 或 acs:开头。 每个凭据最多可以设置 20 个标签键值对。
      自动轮转	选择是否启用自动轮转功能。启用后，KMS 将按照设定的周期自动更新凭据值，降低凭据泄露风险。
      轮转周期	仅在开启自动轮转功能时设置。支持设置为 1 小时～365 天。 表示轮转周期，设置后 KMS 将定期更新凭据值。
      描述信息	填写凭据的补充描述信息，便于后续识别和管理。
      高级设置 > 策略配置	设置凭据的访问权限策略，可控制哪些 RAM 用户或角色可以读取或修改此凭据。 可先选择默认策略，创建后根据业务需要修改。

      说明

      创建凭据时，系统会自动创建服务关联角色AliyunServiceRoleForKMSSecretsManagerForECS，并为其授权权限策略AliyunServiceRolePolicyForKMSSecretsManagerForECS。KMS使用该角色管理ECS凭据，完成ECS口令、公私钥的轮转任务。可以登录RAM控制台查看服务关联角色和权限策略的详细信息，具体操作，请参见查看RAM角色和查看权限策略信息。

2. 在堡垒机导入ECS凭据。

   导入成功后，用户在堡垒机中远程连接ECS服务器时，堡垒机会自动从KMS获取凭据值用于登录。

   1. 登录堡垒机系统。具体操作，请参见登录系统。

   2. 在左侧导航栏，选择资产管理 > 主机。

   3. 在主机列表，定位到目标主机，在操作列，单击导入KMS凭据。

   4. 在导入KMS凭据对话框，选中目标凭据，单击导入。

      KMS凭据成功导入后，您可以在主机列表，单击对应的主机名称，在主机账户页签查看和管理导入的KMS凭据。

后续操作

1. 授权堡垒机用户运维该ECS服务器。具体操作，请参见为用户授权资产及资产账户。

2. 堡垒机用户运维该ECS服务器。详细内容，请参见运维概述。