密钥管理服务：Redis/Tair凭据

创建凭据时可以设置凭据全自动的定期轮转，从而降低凭据泄露的安全风险。

1. 登录密钥管理服务控制台，在顶部菜单栏选择地域后，在左侧导航栏单击资源 > 凭据管理。

2. 单击数据库凭据，选择实例ID后，单击创建凭据。

3. 选择创建单个凭据或创建批量凭据，完成各项配置后单击确定。

   说明

   创建凭据时，系统会自动创建服务关联角色Redis服务关联角色，并为其授权权限策略AliyunServiceRolePolicyForKMSSecretsManagerForRedis。KMS使用该角色管理Redis凭据，完成Redis账号口令的轮转等任务。

   可以登录 RAM 控制台查看服务关联角色和权限策略的详细信息，具体操作，请参见查看RAM角色和查看权限策略信息。

   配置项	说明
   数据库类型	选择Redis/Tair实例。
   凭据名称	自定义凭据名称，需确保名称在当前地域内唯一。
   Redis/Tair实例	选择阿里云账号下已有的 Redis 实例或 Tair 实例。
   账号托管	仅支持双账号托管。
   设置凭据值	仅支持托管新创建的账号，不支持托管已有的 Redis/Tair 存量账号。 定制账号名：自定义 Redis/Tair 数据库的账号，KMS 会调用 API 新创建两个权限相同的数据库账号及口令。例如自定义账号为 user，则会创建 user 和 user_clone 两个账号。 指定权限：取值为读写或只读。两个新账号权限相同。
   加密主密钥	选择用于加密凭据值的对称密钥。密钥和凭据必须属于同一个 KMS 实例。 重要 密钥和凭据需要属于同一个 KMS 实例，且密钥必须为对称密钥。关于 KMS 支持哪些对称密钥，请参见密钥管理类型和密钥规格。 如果是 RAM 用户、RAM 角色，需要具备使用加密主密钥执行 GenerateDataKey 操作的权限。
   标签	为凭据添加标签，便于分类管理。每个标签由键值对（Key:Value）组成。 说明 标签键和标签值的格式：最多支持 128 个字符，可以包含英文大小写字母、数字、正斜线（/）、反斜线（\）、下划线（_）、短划线（-）、半角句号（.）、加号（+）、等于号（=）、半角冒号（:）、字符 at（@）、空格。 标签键不能以 aliyun 或 acs:开头。 每个凭据最多可以设置 20 个标签键值对。
   自动轮转	选择是否启用自动轮转功能。启用后，KMS 将按照设定的周期自动更新凭据值，降低凭据泄露风险。
   轮转周期	仅在开启自动轮转功能时设置。支持设置为 6 小时～365 天。 表示轮转周期，设置后 KMS 将定期更新凭据值。
   描述信息	填写凭据的补充描述信息，便于后续识别和管理。
   高级设置 > 策略配置	设置凭据的访问权限策略，可控制哪些 RAM 用户或角色可以读取或修改此凭据。 可先选择默认策略，创建后根据业务需要修改。

应用程序集成Redis/Tair凭据

KMS提供了阿里云SDK、KMS实例SDK、凭据客户端，用于获取凭据值，应用可以通过这些SDK集成Redis/Tair凭据。关于各SDK的详细介绍，请参见SDK参考。

使用其他SDK时建议做好错误重试机制提升业务稳定性。

轮转前须知

• 轮转Redis/Tair凭据时，KMS将请求Redis/Tair重置相应数据库账号的口令。在轮转Redis/Tair凭据前请确保所有应用均从KMS获取Redis/Tair凭据，以免造成相关业务应用不可用。

• Redis/Tair凭据轮转时请勿删除凭据关联的Redis/Tair实例和Redis/Tair账号，避免轮转失败。

• 建议轮转前进行一次“检测账号”，且看到KMS提示检验成功后再进行轮转。如果在Redis/Tair中删除了对应的数据库实例或账号，KMS将无法正常对该Redis/Tair凭据完成轮转。

轮转过程

在 KMS 中托管 Redis 或 Tair 凭据时，采用双账号交替轮转机制。该机制通过维护两个权限相同的数据库账号及其对应的 KMS 凭据版本状态（ACSCurrent 和 `ACSPrevious），实现无缝密钥轮转。具体流程如下：

1. 初始化配置

   • 当用户在 KMS 中配置自定义账号（例如 user）时，KMS 会自动调用 Redis/Tair API创建两个数据库账号：user 和 user_clone。

   • 初始状态映射：

     • 账号 user 对应 KMS 凭据版本状态为 ACSCurrent（当前生效版本）。

     • 账号 user_clone 对应 KMS 凭据版本状态为 ACSPrevious（上一版本/备用版本）。

2. 首次轮转执行

   • KMS 调用 API修改备用账号（user_clone）的口令。

   • 状态切换将原当前版本降级，新备用版本升级：

     • user 的状态由 ACSCurrent 变更为 ACSPrevious。

     • user_clone 的状态由 ACSPrevious 变更为 ACSCurrent。

3. 后续持续轮转：每次触发轮转任务时，KMS 将交替修改这两个账号的口令，并同步更新其在 KMS 中的版本状态，确保持续提供可用的访问凭据。

通过配置凭据的周期性自动轮转，可有效降低因长期未更新导致的泄露风险；同时支持控制台即时轮转功能，以便在发生泄露事件时快速响应，及时阻断潜在的安全威胁。

1. 登录密钥管理服务控制台，在顶部菜单栏选择地域后，在左侧导航栏单击资源 > 凭据管理。

2. 单击数据库凭据页签，选择实例ID后，凭据类型选择Redis，定位到要轮转的凭据名称，单击操作列的详情。

3. 在版本列表区域，单击设置轮转，配置凭据轮转策略。

   • 定时自动轮转：开启后需要选择轮转周期，支持设置为6小时~365天。

   • 立即轮转：手动触发立即轮转。

检测账号

KMS将检测凭据保护的数据库账号是否属于已配置的Redis实例，检测成功说明该凭据可以正常轮转，否则需要删除后重新创建Redis/Tair凭据。

1. 登录密钥管理服务控制台，在顶部菜单栏选择地域后，在左侧导航栏单击资源 > 凭据管理。

2. 单击数据库凭据页签，选择实例ID后，凭据类型选择Redis凭据，定位到要轮转的凭据名称，单击操作列的详情。

3. 在版本列表区域，单击检测账号，验证完成后，查看验证结果。

删除Redis凭据

删除不需要的凭据时，支持计划删除和立即删除两种方式。删除Redis/Tair凭据仅删除KMS中的Redis/Tair凭据信息，不会删除Redis/Tair中的账户和口令。

1. 登录密钥管理服务控制台，在顶部菜单栏选择地域后，在左侧导航栏单击资源 > 凭据管理。

2. 单击数据库凭据页签，选择实例ID后，凭据类型选择Redis，定位到要轮转的凭据名称，单击操作列的计划删除凭据。

3. 在计划删除凭据对话框中，选择凭据删除方式，并单击确定。

   • 计划删除凭据：设置预删除周期（7~30 天），系统将在预删除周期结束后删除凭据。

   • 立即删除凭据：系统将立即删除凭据。

   在预删除周期内，可以单击目标凭据操作列的还原凭据，取消删除操作。

配置凭据标签

凭据可以设置标签，用于分类管理。每个标签由一个键值对（Key : Value）组成，包含标签键（Key）和标签值（Value）。