密钥管理服务：管理及使用RAM凭据

功能介绍

在KMS托管RAM凭据后，您无需在应用程序中配置AccessKey，只需配置凭据名称，通过凭据名称获取有效的AccessKey用于调用阿里云API。同时RAM凭据也支持轮转，以降低AccessKey泄露的风险。

使用限制

只支持托管RAM用户（子账号）的AccessKey，不支持托管阿里云账号（主账号）的AccessKey。

RAM凭据轮转

轮转时访问控制RAM会先创建一个新的AccessKey，然后删除旧的AccessKey。同时KMS将新的AccessKey写入凭据值，并删除旧的AccessKey对应的凭据值。轮转支持如下两种方式：

前提条件

• 已购买和启用KMS实例。具体操作，请参见购买和启用KMS实例。

• 已在KMS实例中创建用于加密凭据的对称密钥。具体操作，请参见创建密钥。

• 如果您使用RAM用户（子账号）或RAM角色管理RAM凭据，请确保阿里云账号（主账号）已将系统策略AliyunKMSSecretAdminAccess和AliyunRAMReadOnlyAccess授予RAM用户或RAM角色。具体操作，请参见为RAM用户授权或为RAM角色授权。

步骤一：授予KMS管理RAM用户AccessKey的权限

使用RAM凭据需要授权KMS访问AK权限，才能使KMS能管理RAM凭据、完成RAM凭据轮转等任务。

授权步骤如下：

1. 登录密钥管理服务控制台，在顶部菜单栏选择地域后，在左侧导航栏单击资源 > 凭据管理。

2. 单击RAM凭据页签，选择实例ID后，单击创建凭据。

3. 在RAM凭据创建页，点击请先授权KMS 访问AK 权限，跳转至云资源访问授权页。

   

4. 在云资源访问授权页，点击同意授权。

   警告

   如果您是普通RAM用户（子账号）或普通RAM角色，请将授权链接发送至RAM管理员（有资源管理权限的RAM用户或者主账号），由RAM管理员完成授权AK权限操作。

   

5. 授权完毕后，系统会自动创建服务关联角色AliyunKMSManageRAMCredentialsRole，并为其授权权限策略AliyunKMSManageRAMCredentialsRolePolicy。KMS使用该角色为您管理RAM凭据，完成RAM凭据轮转等任务。

   您可以登录RAM控制台查看服务关联角色和权限策略的详细信息，具体操作，请参见查看RAM角色和查看权限策略基本信息。

步骤二：创建RAM凭据

1. 登录密钥管理服务控制台，在顶部菜单栏选择地域后，在左侧导航栏单击资源 > 凭据管理。

2. 单击RAM凭据页签，选择实例ID后，单击创建凭据。若出现请先授权KMS 访问AK 权限提示，请先完成授权，授权步骤请参见步骤一：授予KMS管理RAM用户AccessKey的权限。

3. 配置RAM凭据数据，配置项说明如下。配置完毕后单击确定。

   配置项	说明
   选择RAM用户	选择您要托管凭据的RAM用户，所选RAM用户至少需要有一个AccessKey。若没有，请先创建AccessKey，详细步骤请参考创建AccessKey。 凭据名称根据RAM用户的名称自动生成，凭据名称在当前地域内唯一。
   设置凭据值	输入对应的AccessKey Secret。 长度不超过30720字节（30KB）。
   加密主密钥	选择用于加密凭据值的密钥。 重要 密钥和凭据需要属于同一个KMS实例，且密钥必须为对称密钥。关于KMS支持哪些对称密钥，请参见密钥管理类型和密钥规格。 如果是RAM用户、RAM角色，需要具备使用加密主密钥执行GenerateDataKey操作的权限。
   标签	凭据的标签，方便您对凭据进行分类管理。每个标签由一个键值对（Key:Value）组成，包含标签键（Key）、标签值（Value）。 说明 标签键和标签值的格式：最多支持128个字符，可以包含英文大小写字母、数字、正斜线（/）、反斜线（\）、下划线（_）、短划线（-）、半角句号（.）、加号（+）、等于号（=）、半角冒号（:）、字符at（@）、空格。 标签键不能以aliyun或acs:开头。 每个凭据最多可以设置20个标签键值对。
   自动轮转	选择开启或关闭凭据的周期性自动轮转。
   天数(7天~365天)	仅当时开启自动轮转需要设置。 表示轮转的周期，设置后KMS将定期为您更新凭据值。
   描述信息	凭据的描述信息。
   策略配置	凭据的策略配置。详细介绍，请参见凭据策略概述。 您可以先选择默认策略，创建凭据后根据业务需要再修改策略。

步骤三：应用程序集成RAM凭据

KMS提供了凭据客户端、KMS实例SDK、阿里云SDK等多种SDK来操作RAM凭据。如何使用SDK获取凭据值，请参考SDK参考、应用程序获取凭据。建议您按照如下优先级顺序选择SDK：

更多操作

轮转RAM凭据

1. 登录密钥管理服务控制台，在顶部菜单栏选择地域后，在左侧导航栏单击资源 > 凭据管理。

2. 单击RAM凭据页签，选择实例ID后，定位到要立即轮转的凭据名称，单击操作列的详情。

3. 在凭据详情页面配置凭据轮转策略。

   • 周期性自动轮转：在页面右上角单击设置轮转策略，开启或关闭周期性自动轮转，然后单击确定。

   • 立即轮转：在页面右上角单击立即轮转，在设置轮转策略对话框中设置轮转窗口（10分钟~2天），然后单击确定。

删除RAM凭据

您可以选择计划删除凭据和立即删除凭据两种方式，删除不需要的凭据。删除RAM凭据仅在凭据管家中删除RAM凭据，不会在RAM中删除RAM用户的AccessKey。

1. 登录密钥管理服务控制台，在顶部菜单栏选择地域后，在左侧导航栏单击资源 > 凭据管理。

2. 单击RAM凭据页签，选择实例ID后，定位到要删除的凭据名称，单击操作列的计划删除凭据。

3. 在计划删除凭据对话框中，选择凭据删除方式，并单击确定。

   • 计划删除凭据：设置预删除周期（7~30天），系统将在预删除周期结束后删除凭据。

   • 立即删除凭据：系统将立即删除凭据。

   在预删除周期内，您可以单击目标凭据操作列的还原凭据，取消删除操作。

为凭据配置标签

检测账号

检测账号功能可为您检测RAM凭据中的RAM用户在RAM中是否存在，以及RAM用户的AccessKey ID与凭据中内容是否一致。

1. 登录密钥管理服务控制台，在顶部菜单栏选择地域后，在左侧导航栏单击资源 > 凭据管理。

2. 单击RAM凭据页签，选择实例ID后，定位到目标凭据，单击操作列的详情。

3. 在版本列表区域，单击检测账号，验证完成后，查看验证结果。

常见问题

• 创建RAM凭据，授权KMS访问AK权限时，提示“没有权限进行这个操作”

• 设置轮转策略或立即轮转时，提示“您的凭据在轮转中，请稍后再试”