密钥管理服务：管理及使用RAM凭据

功能介绍

在KMS托管RAM凭据后，您无需在应用程序中配置AccessKey的真实内容，只需配置凭据名称，通过凭据名称获取有效的AccessKey用于调用阿里云API。同时RAM凭据也支持轮转，以降低AccessKey泄露的风险。

使用限制

只支持托管RAM用户（子账号）的AccessKey，不支持托管阿里云账号（主账号）的AccessKey。

RAM凭据轮转

轮转时访问控制RAM会先创建一个新的AccessKey，然后删除旧的AccessKey。同时KMS将新的AccessKey写入凭据值，并删除旧的AccessKey对应的凭据值。轮转支持如下两种方式：

前提条件

• 已购买和启用KMS实例。具体操作，请参见购买和启用KMS实例。

• 已在KMS实例中创建用于加密凭据的对称密钥。具体操作，请参见密钥管理快速入门。

• 如果您使用RAM用户（子账号）或RAM角色管理RAM凭据，请确保阿里云账号（主账号）已将系统策略AliyunKMSSecretAdminAccess和AliyunRAMFullAccess授予RAM用户或RAM角色。具体操作，请参见为RAM用户授权或为RAM角色授权。

步骤一：授予KMS管理RAM用户AccessKey的权限

1.创建自定义权限策略

1. 使用RAM管理员登录RAM控制台。

2. 在左侧导航栏，选择权限管理 > 权限策略。

3. 在权限策略页面，单击创建权限策略。

4. 选择脚本编辑并输入以下脚本。

   {
     "Version": "1",
     "Statement": [
       {
         "Effect": "Allow",
         "Action": [
           "ram:ListAccessKeys",
           "ram:CreateAccessKey",
           "ram:DeleteAccessKey",
           "ram:UpdateAccessKey"
         ],
         "Resource": "*"
       }
     ]
   }

5. 单击继续编辑基本信息，设置名称和备注。其中名称设置为AliyunKMSManagedRAMCrendentialsRolePolicy。

6. 单击确定。

2.创建RAM角色并授权

1. 使用RAM管理员登录RAM控制台。

2. 在左侧导航栏，选择身份管理 > 角色。

3. 在角色页面，单击创建角色。

4. 在创建角色页面，选择可信实体类型为阿里云服务，然后单击下一步。

5. 选择角色类型为普通服务角色。

6. 输入角色名称和备注。其中角色名称为AliyunKMSManagedRAMCrendentialsRole。

7. 选择受信服务为密钥管理服务，单击完成。

8. 单击为角色授权，被授权主体会自动填入。

9. 在新增授权面板，选择自定义策略，然后选中权限策略AliyunKMSManagedRAMCrendentialsRolePolicy，单击确定，然后单击完成。

步骤二：创建RAM用户的AccessKey

访问密钥AccessKey（简称AK）是阿里云提供给用户的永久访问凭据，一组由AccessKey ID和AccessKey Secret组成的密钥对。

• AccessKey ID：用于标识用户。

• AccessKey Secret：是一个用于验证您拥有该AccessKey ID的密码。

1. 登录RAM控制台。

2. 在左侧导航栏，选择身份管理 > 用户。

3. 在用户页面，单击目标RAM用户名称。

4. 在AccessKey区域，单击创建AccessKey。

5. 在创建AccessKey对话框，查看AccessKey ID和AccessKey Secret。

   您可以单击下载CSV文件，下载AccessKey信息。单击复制，复制AccessKey信息。

   

步骤三：创建RAM凭据

1. 登录密钥管理服务控制台，在顶部菜单栏选择地域后，在左侧导航栏单击资源 > 凭据管理。

2. 单击RAM凭据页签，选择实例ID后，单击创建凭据，完成各项配置后单击确定。

   配置项	说明
   选择RAM用户	选择您要托管凭据的RAM用户，所选RAM用户需要至少有一个AccessKey。
   设置凭据值	输入对应的AccessKey Secret。 长度不超过30720字节（30KB）。
   加密主密钥	选择用于加密凭据值的密钥。 重要 密钥和凭据需要属于同一个KMS实例，且密钥必须为对称密钥。关于KMS支持哪些对称密钥，请参见密钥管理类型和密钥规格。 如果是RAM用户、RAM角色，需要具备使用加密主密钥执行GenerateDataKey操作的权限。
   标签	凭据的标签，方便您对凭据进行分类管理。每个标签由一个键值对（Key:Value）组成，包含标签键（Key）、标签值（Value）。 说明 标签键和标签值的格式：最多支持128个字符，可以包含英文大小写字母、数字、正斜线（/）、反斜线（\）、下划线（_）、短划线（-）、半角句号（.）、加号（+）、等于号（=）、半角冒号（:）、字符at（@）、空格。 标签键不能以aliyun或acs:开头。 每个凭据最多可以设置20个标签键值对。
   自动轮转	选择开启或关闭凭据的周期性自动轮转。
   天数(7天~365天)	仅当开启自动轮转时需要设置。 表示轮转的周期，设置后KMS将定期为您更新凭据值。
   描述信息	凭据的描述信息。
   策略配置	凭据的策略配置。详细介绍，请参见凭据策略概述。 您可以先选择默认策略，创建凭据后根据业务需要再修改策略。

步骤四：应用程序集成RAM凭据

KMS提供了阿里云SDK、KMS实例SDK、凭据客户端、RAM凭据插件，用于获取凭据值，应用可以通过这些SDK集成RAM凭据。RAM凭据插件根据凭据名称，从KMS获取RAM凭据值并缓存在应用程序的内存中，应用程序使用阿里云SDK时，通过RAM凭据插件本地缓存的AccessKey向云产品发起请求。

如果您的RAM凭据是在OSS SDK、阿里云SDK（V1.0）、消息队列商业版TCP协议Java SDK中使用，推荐您使用RAM凭据插件。详细信息，请参见RAM凭据插件。其它情况，推荐您使用凭据客户端。详细信息，请参见凭据客户端。如果上述SDK不支持您的应用程序编程语言，您可以使用阿里云SDK。详细信息，请参见阿里云SDK。关于各SDK的详细介绍，请参见SDK参考。

更多操作

常见问题

• 设置轮转策略或立即轮转时，提示“您的凭据在轮转中，请稍后再试”

• 凭据状态为不可用或调用凭据相关API时返回“Rejected.Unavailable”