CreateKey - 创建一个主密钥

密钥的描述。
长度为 0~8192 个字符。

密钥的用途。取值：

• ENCRYPT/DECRYPT：数据加密和解密。

• SIGN/VERIFY：产生和验证数字签名。

默认值：如果密钥支持签名验签，默认值为 SIGN/VERIFY，否则默认值为 ENCRYPT/DECRYPT。

密钥材料来源。取值：

• Aliyun_KMS（默认值）：密钥材料由阿里云 KMS 生成。

• EXTERNAL：密钥材料由您自行导入。

• 如果选择 EXTERNAL，您需要自行导入密钥材料。具体操作，请参见导入对称密钥材料或导入非对称密钥材料。

您无需输入本参数，KMS 会为您的密钥设置合适的保护级别。

密钥的保护级别，取值：

• SOFTWARE

• HSM

• 如果未指定 DKMSInstanceId：建议您不输入，由 KMS 设置。当 KMS 在该地域有托管密码机时，本参数将设置 HSM，否则为 SOFTWARE。更多信息，请参见托管密码机概述。

是否开启密钥自动轮转。取值：

• true：开启

• false（默认值）：不开启

仅当密钥所属的密钥管理类型支持自动轮转时，该参数值有效。具体内容，请参见密钥轮转。

自动轮转的时间周期。格式为 integer[unit]，其中 integer 表示时间长度，unit 表示时间单位。合法的 unit 单位为：d（天）、h（小时）、m（分钟）、s（秒）。7d 或者 604800s 均表示 7 天的周期。

• 当密钥为默认密钥时，取值为 365 天。

• 当密钥为软件密钥时，取值为 7~365 天。

• 当密钥为硬件密钥时，不支持自动轮转。

密钥规格，不同密钥管理类型的取值不同。关于密钥规格、遵循的标准、密钥算法的详细介绍，请参见密钥管理类型和密钥规格。

KMS 实例的实例 ID。

为密钥绑定标签。每个标签由一个键值对（Key:Value）组成，包含标签键（Key）、标签值（Value）。

最多输入 20 个标签。输入多个标签时，格式为[{"TagKey":"key1","TagValue":"value1"},{"TagKey":"key2","TagValue":"value2"},...]。

每个标签键（Key）和每个标签值（Value）最多支持 128 个字符，可以包含英文大小写字母、数字、正斜线（/）、反斜线（\）、下划线（_）、短划线（-）、半角句号（.）、加号（+）、等于号（=）、半角冒号（:）、字符 at（@）。

密钥策略的具体内容，JSON 格式。最大长度为 32768 个字节。 关于密钥策略的详细介绍，请参见密钥策略概述。不输入该参数时，使用默认凭据策略。

密钥策略内容包含：

• Version：密钥策略的版本，目前版本仅支持设置为 1。

• Statement：密钥策略的语句，每个密钥策略包含一个或多个语句。

密钥策略格式为：

{
  "Version": "1",
  "Statement": [
    {
      "Sid": "Enable RAM User Permissions",
      "Effect": "Allow",
      "Principal": {
        "RAM": ["acs:ram::112890462****:root"]
      },
      "Action": [
        "kms:*"
      ],
      "Resource": [
        "*"
      ],
      "Condition": {
        "condition operator": {
          "condition key": "condition value"
        }
      }
    }
  ]
}

Statement 详细介绍：

• Sid：可选，表示自定义的语句标识符。内容长度小于等于 128 字符，支持的字符为：大写英文字母（A-Z）、小写英文字母（a-z）、数字（0-9），特殊字符（ _/+=.@-）。

• Effect：必选，表示是允许还是拒绝该策略语句中的权限。取值为：Allow 或 Deny。

• Principal：必选，表示权限策略的授权主体，支持设置为当前阿里云账号（即密钥所属的阿里云账号），当前阿里云账号下的 RAM 用户、RAM 角色，其他阿里云账号下的 RAM 用户、RAM 角色。

• Action：必选，表示要允许或拒绝的 API 操作，内容必须以"kms:"开头。操作权限列表的范围，请参见密钥策略概述。如果您设置了列表外的操作，设置后也不会生效。

• Resource：必选，取值只能是*，表示本 KMS 密钥。

• Condition：可选，表示授权生效的限制条件。通过使用条件可以评估 API 请求的上下文，以确定策略语句是否适用。格式为"Condition": {"condition operator": {"condition key": "condition value"}}。详细介绍，请参见密钥策略概述。

密钥存储位置，仅当 DKMSInstanceId 输入的是 KMS 硬件密钥管理实例时生效。取值：

• HsmInternal（默认）：密钥存储在密码机中，不支持轮转。

• HsmEncryptedDatabase：密钥存储在数据库中。

  • 对称密钥：支持轮转。

  • 非对称密钥：不支持轮转。