运维安全中心（堡垒机）（Bastionhost）已集成KMS的ECS凭据，您在KMS将ECS账号口令或密钥对保存为ECS凭据后，可在堡垒机直接导入该ECS凭据，堡垒机远程连接ECS服务器时，会自动从KMS获取ECS凭据值，无需您在堡垒机手动输入ECS账号口令或密钥对。本文介绍堡垒机使用ECS凭据远程连接服务器的流程。
功能介绍
您在KMS中将ECS账号口令或SSH密钥对保存为ECS凭据，在堡垒机侧仅需导入ECS凭据，不必在堡垒机手动输入ECS账号口令或SSH密钥对。远程连接ECS服务器时，堡垒机会实时从KMS获取ECS凭据的凭据值用于登录。
KMS可以对ECS凭据设置周期性自动轮转，由于堡垒机会实时从KMS获取凭据版本为ACSCurrent的凭据值，设置轮转不会对堡垒机远程连接ECS服务器有影响。关于凭据版本的详细介绍，请参见凭据管理概述。
堡垒机使用ECS凭据远程连接服务器的整体流程如下图所示。
凭据管理员在KMS中创建ECS凭据。
堡垒机管理员在堡垒机中配置从KMS导入ECS凭据。
堡垒机运维员发起远程连接ECS实例的请求。
堡垒机调用KMS的ListSecrets、GetSecretValue接口，实时从KMS获取对应的ECS凭据值。
堡垒机使用ECS凭据值登录ECS实例。
注意事项
堡垒机仅基础版、企业双擎版的V3.2.40及以上版本，支持集成ECS凭据。
如果您在KMS删除ECS凭据，会导致堡垒机无法获取对应的凭据值，远程连接ECS服务器时会失败。
前提条件
已在堡垒机中导入ECS资产。具体操作，请参见导入阿里云ECS实例。
如果您使用RAM用户（子账号）管理ECS凭据以及堡垒机，请确保阿里云账号（主账号）已将AliyunKMSSecretAdminAccess（管理KMS凭据的权限）和AliyunYundunBastionHostFullAccess（管理云盾堡垒机的权限）授予RAM用户。具体操作，请参见为RAM用户授权。
操作步骤
在KMS创建ECS凭据。详细内容，请参见步骤一：创建ECS凭据。
登录密钥管理服务控制台，在顶部菜单栏选择地域后，在左侧导航栏单击。
单击ECS凭据页签，选择实例ID后，单击创建凭据，完成各项配置后单击确定。
配置项
说明
凭据名称
自定义的凭据名称。
托管实例
选择阿里云账号下已有的ECS实例。
托管用户
填写ECS实例上已有的用户名称，例如：root（Linux系统）或Administrator（Windows系统）。
初始凭据值
长度不超过30720字节（30KB）。
口令：用户登录ECS实例的密码。
密钥对：用户登录ECS实例的SSH密钥对。
说明请您输入正确的凭据值。如果输入的凭据值不正确，在ECS凭据首次轮转前，您从KMS获取到的口令或密钥对将不能正常登录ECS实例。
加密主密钥
选择用于加密凭据值的密钥。
重要密钥和凭据需要属于同一个KMS实例，且密钥必须为对称密钥。关于KMS支持哪些对称密钥，请参见密钥管理类型和密钥规格。
标签
凭据的标签，方便您对凭据进行分类管理。每个标签由一个键值对（Key:Value）组成，包含标签键（Key）、标签值（Value）。
说明标签键和标签值的格式：最多支持128个字符，可以包含英文大小写字母、数字、正斜线（/）、反斜线（\）、下划线（_）、短划线（-）、半角句号（.）、加号（+）、等于号（=）、半角冒号（:）、字符at（@）。
标签键不能以aliyun或acs:开头。
每个凭据最多可以设置20个标签键值对。
自动轮转
选择开启或关闭凭据的周期性自动轮转。
轮转周期
仅当开启自动轮转时需要设置。支持设置为1小时~365天。
表示轮转的周期，设置后KMS将定期为您更新凭据值。
描述信息
凭据的描述信息。
说明创建凭据时，系统会自动创建服务关联角色AliyunServiceRoleForKMSSecretsManagerForECS，并为其授权权限策略AliyunServiceRolePolicyForKMSSecretsManagerForECS。KMS使用该角色为您管理ECS凭据，完成ECS口令、公私钥的轮转任务。
您可以登录RAM控制台查看服务关联角色和权限策略的详细信息，具体操作，请参见查看RAM角色和查看权限策略基本信息。
在堡垒机导入ECS凭据。
导入成功后，用户在堡垒机中远程连接ECS服务器时，堡垒机会自动从KMS获取凭据值用于登录。
登录堡垒机系统。具体操作，请参见登录系统。
在左侧导航栏，选择。
在主机列表，定位到目标主机，在操作列，单击导入KMS凭据。
在导入KMS凭据对话框，选中目标凭据，单击导入。
KMS凭据成功导入后，您可以在主机列表，单击对应的主机名称，在主机账户页签查看和管理导入的KMS凭据。
后续操作
相关文档
- 本页导读 （1）