SDK使用概述

1. 登录RAM控制台，在页用户面，单击目标RAM用户名称。

2. 在认证管理页签下的AccessKey区域，单击创建AccessKey，并按照指引完成创建。

3. 授予RAM用户访问KMS的权限。

   • 方式一：设置基于身份的策略

     单击RAM用户操作列的新增授权，直接绑定KMS内置系统权限策略到RAM角色。KMS内置系统权限策略，请参见密钥管理服务系统权限策略参考。

     说明

     同时支持自定义权限策略，具体操作请参见创建自定义权限策略。

   • 方式二：设置基于资源的策略

     KMS支持基于资源的策略，即为单个密钥和凭据设置访问权限，用于控制哪些阿里云账号、RAM用户、RAM角色有权限来管理或使用KMS密钥、凭据。详细介绍，请参见密钥策略、凭据策略。

ECS RAM角色是指为ECS实例授予的RAM角色，该RAM角色是一个受信服务为云服务器的普通服务角色。使用实例RAM角色可以实现在ECS实例内部无需配置AccessKey即可获取临时访问凭证（STS Token），从而调用KMS的OpenAPI。

具体操作，请参见实例RAM角色。

1. 登录RAM控制台，创建可信实体为阿里云服务的RAM角色。

   • 信任主体类型：选择云服务器。

   • 信任主体名称：选择云服务器ECS。

2. 授予RAM角色访问KMS的权限。

   • 方式一：设置基于身份的策略

     单击RAM角色操作列的新增授权，直接绑定KMS内置系统权限策略到RAM角色。KMS内置系统权限策略，请参见密钥管理服务系统权限策略参考。

     说明

     同时支持自定义权限策略，具体操作请参见创建自定义权限策略。

   • 方式二：设置基于资源的策略

     KMS支持基于资源的策略，即为单个密钥和凭据设置访问权限，用于控制哪些阿里云账号、RAM用户、RAM角色有权限来管理或使用KMS密钥、凭据。详细介绍，请参见密钥策略、凭据策略。

3. 登录ECS管理控制台，将RAM角色授予ECS实例。

RAM用户或云产品可以通过扮演角色的方式获取临时权限（STS Token），而不是直接使用长期密钥，降低了密钥泄露的风险。例如，在临时的数据处理任务中，RAM用户或云产品临时扮演一个具有特定RamRoleArn的角色，完成任务后角色权限被收回，减少泄露风险。

1. 创建用户AK

   1. 登录RAM控制台，在身份管理 > 用户页面，单击目标RAM用户名称。

   2. 为RAM用户分配系统策略 AliyunSTSAssumeRoleAccess或包含权限操作sts:AssumeRole的自定义策略。

   3. 在认证管理页签下的AccessKey区域，单击创建AccessKey，并按照指引完成创建。

2. 创建RAM角色并授权：

   1. 在身份管理 > 角色页面，单击创建角色具体操作，请参见创建RAM角色。

   2. 授予RAM角色访问KMS的权限。

      • 方式一：设置基于身份的策略

        单击RAM角色操作列的新增授权，直接绑定KMS内置系统权限策略到RAM角色。KMS内置系统权限策略，请参见密钥管理服务系统权限策略参考。

        说明

        同时支持自定义权限策略，具体操作请参见创建自定义权限策略。

      • 方式二：设置基于资源的策略

        KMS支持基于资源的策略，即为单个密钥和凭据设置访问权限，用于控制哪些阿里云账号、RAM用户、RAM角色有权限来管理或使用KMS密钥、凭据。详细介绍，请参见密钥策略、凭据策略。

3. 获取目标RAM角色的RamRoleArn。具体操作，请参见查看RAM角色。

   1. 在身份管理 > 角色页面，单击目标角色名称。

   2. 进入角色详情页，在ARN区域可获取RamRoleArn信息。

      说明

      RamRoleArn是RAM角色的ARN信息，即需要扮演的角色ID。格式为acs:ram::$accountID:role/$roleName。$accountID为阿里云账号ID。$roleName为RAM角色名称。

通过STS服务为RAM用户或RAM角色颁发一个临时访问凭证（STS Token），可以在限定的有效期内，以符合策略规定的权限访问KMS，超过有效期后，该凭证自动失效。

1. 登录RAM控制台，创建RAM用户或RAM角色。具体操作，请参见创建RAM用户、创建RAM角色。

2. 为RAM用户或RAM角色授予AliyunSTSAssumeRoleAccess权限。具体操作，请参见为RAM用户授权、管理RAM角色的权限。

3. 授予RAM用户或RAM角色访问KMS的权限。

   • 方式一：设置基于身份的策略

     单击RAM角色或用户操作列的新增授权，直接绑定KMS内置系统权限策略。KMS内置系统权限策略，请参见密钥管理服务系统权限策略参考。

     说明

     同时支持自定义权限策略，具体操作请参见创建自定义权限策略。

   • 方式二：设置基于资源的策略

     KMS支持基于资源的策略，即为单个密钥和凭据设置访问权限，用于控制哪些阿里云账号、RAM用户、RAM角色有权限来管理或使用KMS密钥、凭据。详细介绍，请参见密钥策略、凭据策略。

4. 使用RAM用户或RAM角色调用STS服务的AssumeRole接口获取STS临时访问凭证。具体操作，请参见AssumeRole - 获取扮演角色的临时身份凭证。

1. 创建OIDC身份提供商

   1. 使用RAM管理员登录RAM控制台，进入集成管理 > SSO管理页面，并选择角色SSO。

   2. 在OIDC页签，单击创建身份提供商。

   3. 在创建身份提供商页面，设置身份提供商信息。具体配置，请参见管理OIDC身份提供商。

2. 获取并保存OIDC身份信息（ARN和客户端ID）

   1. 进入集成管理 > SSO管理页面，单击目标身份提供商名称。

   2. 进入身份提供商详情页，可查看ARN和客户端 ID。

3. 创建OIDC身份提供商的RAM角色并授权

   1. 使用RAM管理员登录RAM控制台，在身份管理 > 角色页面。

   2. 单击创建角色，在创建页面右上角，单击切换编辑器。

   3. 在编辑器中指定具体的OIDC身份提供商。选择可视化编辑模式，并参考如下说明，完成配置。

      说明

      更多模式，请参见创建OIDC身份提供商的RAM角色。

      1. 在主体中选择身份提供商后，单击下方编辑。

      2. 在添加主体弹窗中，参考如下说明，完成配置。

         • 身份提供商类型：选择OIDC。

         • 身份提供商：选择之前创建的OIDC身份提供商。

4. 授予OIDC RAM角色访问KMS的权限

   • 方式一：设置基于身份的策略

     返回身份管理角色列表页，单击目标OIDC 角色操作列的新增授权，直接绑定KMS内置系统权限策略到RAM角色。KMS内置系统权限策略，请参见密钥管理服务系统权限策略参考。

     说明

     同时支持自定义权限策略，具体操作请参见创建自定义权限策略。

   • 方式二：设置基于资源的策略

     KMS支持基于资源的策略，即为单个密钥和凭据设置访问权限，用于控制哪些阿里云账号、RAM用户、RAM角色有权限来管理或使用KMS密钥、凭据。详细介绍，请参见密钥策略、凭据策略。

5. 获取目标 Role ARN

   1. 在身份管理 > 角色页面，单击目标角色名称。

   2. 进入角色详情页，在ARN区域可获取OIDC Role ARN信息。

      说明

      Role ARN是RAM角色的ARN信息，即需要扮演的角色ID。格式为acs:ram::$accountID:role/$roleName。$accountID为阿里云账号ID。$roleName为RAM角色名称。

6. 签发并保存OIDC令牌（OIDC Token）文件

   阿里云不支持在控制台上直接通过OIDC登录，但可以通过编程方式完成OIDC SSO流程。获取OIDC令牌涉及一个OAuth流程，常用的方法包括标准的OAuth 2.0流程，从OIDC IdP，获取OIDC Token。例如当应用程序运行于已启用RRSA功能的ACK集群中时，集群将自动为该应用Pod创建和挂载相应的服务账户OIDC Token文件。

1. 登录密钥管理服务控制台，在顶部菜单栏选择地域后，在左侧导航栏单击应用接入 > 多云接入（原接入点）。

2. 创建网络规则（非必须）。

   说明

   如果您不需要基于来源IP限制访问，则不需要设置网络规则。但为了更高的安全性，通常建议您合理设置。

   1. 单击网络规则页签，然后单击创建网络规则。

   2. 在创建网络规则面板，网络类型选择Public，填写允许访问的源IP地址后，单击确定。

3. 创建权限策略。

   1. 单击权限策略，然后单击创建权限策略。

   2. 在创建权限策略面板，按照下方提示完成共享网关配置后，单击确定。

      1. 作用域：KMS共享网关

      2. 允许访问的资源：勾选你需要访问的凭据

      3. 网络控制规则（非必须）：勾选步骤二创建网络规则。

4. 创建应用接入点AAP。

   1. 单击应用接入页签，然后单击创建应用接入点，。

   2. 在创建应用接入点面板，创建模式选择标准创建，然后按照下方提示完成各项配置。

      配置项	说明
      认证方式	选择ClientKey
      Client Key加密口令	设置8～64位包含数字、英文大小写、特殊字符~!@#$%^&*?_-的字符串
      有效期	重要 推荐设置为1年，以降低ClientKey被泄露的风险。请务必在到期前更换，以免无法正常访问KMS。具体操作，请参见更换ClientKey。
      权限策略	选择您步骤三创建的权限策略。

   3. 单击确定，浏览器会自动下载ClientKey。ClientKey包含以下内容：

      • 应用身份凭证内容（ClientKeyContent）：文件名默认为clientKey_****.json

      • 凭证口令（ClientKeyPassword）：文件名默认为clientKey_****_Password.txt。

ClientKey支持快速创建和标准创建两种方式。关于ClientKey的详细介绍，请参见应用接入点概述、创建应用接入点。

• 方式一：快速创建

  便捷高效适合于快速测试和开发场景，该方式创建的访问凭证可以访问KMS实例的全部资源。

  1. 登录密钥管理服务控制台，在顶部菜单栏选择地域后，在左侧导航栏单击应用接入 > 多云接入（原接入点）。

  2. 在应用接入页签，单击创建应用接入点，在创建应用接入点面板完成各项配置。

     配置项	说明
     创建模式	选择快速创建。
     作用域（KMS实例）	选择应用要访问的KMS实例。
     应用接入点名称	自定义应用接入点的名称。
     认证方式	默认为ClientKey，不支持修改。
     默认权限策略	默认为key/*secret/*，不支持修改。即应用可以访问指定KMS实例中的所有密钥和凭据。

  3. 单击确定，浏览器会自动下载ClientKey。ClientKey包含以下内容：

     • 应用身份凭证内容（ClientKeyContent）：文件名默认为clientKey_****.json

     • 凭证口令（ClientKeyPassword）：文件名默认为clientKey_****_Password.txt。

• 方式二：标准创建

  若希望对资源设置更精细化的访问权限，建议使用标准创建。

  1. 请参考创建应用接入点中的标准创建方式，创建用于访问专属网关的ClientKey。关键配置说明如下：

     1. 配置网络规则时，网络类型选择Private。

     2. 配置权限规则作用域时，请选择对应的KMS实例ID。

  2. 创建完成后，浏览器会自动下载ClientKey。ClientKey包含以下内容：

     • 应用身份凭证内容（ClientKeyContent）：文件名默认为clientKey_****.json

     • 凭证口令（ClientKeyPassword）：文件名默认为clientKey_****_Password.txt。