Redis凭据

创建凭据时可以设置凭据全自动的定期轮转，从而降低凭据泄露的安全风险。

1. 登录密钥管理服务控制台，在顶部菜单栏选择地域后，在左侧导航栏单击资源 > 凭据管理。

2. 单击数据库凭据页签，选择实例ID后，单击创建凭据。

3. 选择创建单个凭据或创建批量凭据，完成各项配置后单击确定。

   说明

   创建凭据时，系统会自动创建服务关联角色AliyunServiceRoleForKMSSecretsManagerForRedis，并为其授权权限策略AliyunServiceRolePolicyForKMSSecretsManagerForRedis。KMS使用该角色为您管理Redis凭据，完成Redis账号口令的轮转等任务。

   您可以登录RAM控制台查看服务关联角色和权限策略的详细信息，具体操作，请参见查看RAM角色和查看权限策略基本信息。

   以创建单个凭据为例，为您介绍。

   配置项	说明
   数据库类型	选择Redis凭据。
   凭据名称	自定义的凭据名称。
   Redis实例	选择阿里云账号下已有的Redis实例。
   账号托管	仅支持双账号托管。
   设置凭据值	在KMS托管Redis账号口令时，仅支持托管新创建的账号且仅支持双账号托管，不支持托管已存在的Redis存量账号。 定制账号名：您需要自定义Redis数据库的账号，此时KMS会调用Redis的API新创建两个权限相同的Redis数据库账号及口令。例如，您自定义的Redis数据库的账号为user，则会创建两个Redis数据库账号user、user_clone。 指定权限：取值为读写、只读。新创建的两个Redis数据库账号权限相同。
   加密主密钥	选择用于加密凭据值的密钥。 重要 密钥和凭据需要属于同一个KMS实例，且密钥必须为对称密钥。关于KMS支持哪些对称密钥，请参见密钥管理类型和密钥规格。 如果是RAM用户、RAM角色，需要具备使用加密主密钥执行GenerateDataKey操作的权限。
   标签	凭据的标签，方便您对凭据进行分类管理。每个标签由一个键值对（Key:Value）组成，包含标签键（Key）、标签值（Value）。 说明 标签键和标签值的格式：最多支持128个字符，可以包含英文大小写字母、数字、正斜线（/）、反斜线（\）、下划线（_）、短划线（-）、半角句号（.）、加号（+）、等于号（=）、半角冒号（:）、字符at（@）。 标签键不能以aliyun或acs:开头。 每个凭据最多可以设置20个标签键值对。
   自动轮转	选择开启或关闭凭据的周期性自动轮转。
   轮转周期	仅当开启自动轮转时需要设置。支持设置为6小时~365天。 表示轮转的周期，设置后KMS将定期为您更新凭据值。
   描述信息	凭据的描述信息。
   策略配置	凭据的策略配置。关于凭据策略更详细的介绍，请参见凭据策略概述。 默认策略：凭据由当前主账号使用，或者资源共享单元中的主账号使用，请选择默认策略。 实例未共享给其他账号：仅当前主账号能管理及使用凭据。 实例已共享给其他账号：以主账号1将KMS实例A共享给主账号2为例介绍。 主账号1创建的凭据：仅主账号1能管理及使用凭据。 主账号2创建的凭据：主账号1和主账号2，都能管理及使用凭据。 自定义策略：如果凭据需要授权给RAM用户、RAM角色，或授权给其他账号使用，请选择自定义策略。 重要 选择管理员、使用者时不消耗访问管理数量配额。选择其他账号使用者时，会消耗KMS实例的访问管理数量配额，按主账号个数计算消耗的配额，如果您取消了授权，请等待约5分钟，再查看配额，配额的消耗数量会相应减少。 使用凭据时，还需要授予使用对应密钥进行解密（Decrypt）的权限。 管理员：对凭据进行管控类操作，不支持使用凭据（即获取凭据值）。支持选择当前账号下的RAM用户和RAM角色。 管理员支持的权限列表 { "Statement": [ { "Action": [ "kms:List*", "kms:Describe*", "kms:PutSecretValue", "kms:Update*", "kms:DeleteSecret", "kms:RestoreSecret", "kms:RotateSecret", "kms:TagResource", "kms:UntagResource" ] } ] } 使用者：支持使用凭据，即获取凭据值。支持选择当前账号下的RAM用户和RAM角色。 使用者支持的权限列表 { "Statement": [ { "Action": [ "kms:List*", "kms:Describe*", "kms:GetSecretValue", ] } ] } 其他账号使用者：仅支持使用凭据，即获取凭据值。可以是其他阿里云账号的RAM用户或RAM角色。 RAM用户：格式为acs:ram::<userId>:user/<ramuser>，例如acs:ram::119285303511****:user/testpolicyuser。 RAM角色：格式为acs:ram::<userId>:role/<ramrole>，例如acs:ram::119285303511****:role/testpolicyrole。 说明 授权给RAM用户、RAM角色后，您仍需在访问控制RAM侧，使用该RAM用户、RAM角色的主账号为其授权使用该凭据，RAM用户、RAM角色才能使用该凭据。 具体操作，请参见密钥管理服务自定义权限策略参考、为RAM用户授权、为RAM角色授权。 其他账号使用者支持的权限列表 { "Statement": [ { "Action": [ "kms:List*", "kms:Describe*", "kms:GetSecretValue", ] } ] }

您可以为凭据设置周期性自动轮转，降低凭据泄露的安全风险。也可以在凭据泄露时，通过控制台立即轮转功能快速轮转凭据，阻断入侵威胁。

1. 登录密钥管理服务控制台，在顶部菜单栏选择地域后，在左侧导航栏单击资源 > 凭据管理。

2. 单击数据库凭据页签，选择实例ID后，凭据类型选择Redis，定位到要轮转的凭据名称，单击操作列的详情。

3. 在版本列表区域，单击设置轮转，配置凭据轮转策略。

   • 定时自动轮转：开启后需要选择轮转周期，支持设置为6小时~365天。

   • 立即轮转：手动触发立即轮转。

检测账号

KMS将检测凭据保护的数据库账号是否属于您配置的Redis实例，检测成功说明该凭据可以正常轮转，否则您需要删除后重新创建Redis凭据。

1. 登录密钥管理服务控制台，在顶部菜单栏选择地域后，在左侧导航栏单击资源 > 凭据管理。

2. 单击数据库凭据页签，选择实例ID后，凭据类型选择Redis，定位到要轮转的凭据名称，单击操作列的详情。

3. 在版本列表区域，单击检测账号，验证完成后，查看验证结果。

删除Redis凭据

您可以选择计划删除凭据和立即删除凭据两种方式，删除不需要的凭据。删除Redis凭据仅删除KMS中的Redis凭据信息，不会删除Redis中的账户和口令。

1. 登录密钥管理服务控制台，在顶部菜单栏选择地域后，在左侧导航栏单击资源 > 凭据管理。

2. 单击数据库凭据页签，选择实例ID后，凭据类型选择Redis，定位到要轮转的凭据名称，单击操作列的计划删除凭据。

3. 在计划删除凭据对话框中，选择凭据删除方式，并单击确定。

   • 计划删除凭据：设置预删除周期（7~30天），系统将在预删除周期结束后删除凭据。

   • 立即删除凭据：系统将立即删除凭据。

   在预删除周期内，您可以单击目标凭据操作列的还原凭据，取消删除操作。

为凭据配置标签

常见问题

• 设置轮转策略或立即轮转时，提示“您的凭据在轮转中，请稍后再试”

• 凭据状态为不可用或调用凭据相关API时返回“Rejected.Unavailable”

• 检验RDS凭据的账号，检测结果为不成功