功能介紹

在KMS托管RAM憑據后，您無需在應用程序中配置AccessKey，只需配置憑據名稱，通過憑據名稱獲取有效的AccessKey用于調用阿里云API。同時RAM憑據也支持輪轉，以降低AccessKey泄露的風險。

使用限制

只支持托管RAM用戶（子賬號）的AccessKey，不支持托管阿里云賬號（主賬號）的AccessKey。

RAM憑據輪轉

輪轉時訪問控制RAM會先創建一個新的AccessKey，然后刪除舊的AccessKey。同時KMS將新的AccessKey寫入憑據值，并刪除舊的AccessKey對應的憑據值。輪轉支持如下兩種方式：

前提條件

• 已購買和啟用KMS實例。具體操作，請參見購買和啟用KMS實例。

• 已在KMS實例中創建用于加密憑據的對稱密鑰。具體操作，請參見密鑰管理快速入門。

• 如果您使用RAM用戶（子賬號）或RAM角色管理RAM憑據，請確保阿里云賬號（主賬號）已將系統策略AliyunKMSSecretAdminAccess和AliyunRAMFullAccess授予RAM用戶或RAM角色。具體操作，請參見為RAM用戶授權或為RAM角色授權。

步驟一：授予KMS管理RAM用戶AccessKey的權限

1.創建自定義權限策略

1. 使用RAM管理員登錄RAM控制臺。

2. 在左側導航欄，選擇權限管理 > 權限策略。

3. 在權限策略頁面，單擊創建權限策略。

4. 選擇腳本編輯并輸入以下腳本。

   {
     "Version": "1",
     "Statement": [
       {
         "Effect": "Allow",
         "Action": [
           "ram:ListAccessKeys",
           "ram:CreateAccessKey",
           "ram:DeleteAccessKey",
           "ram:UpdateAccessKey"
         ],
         "Resource": "*"
       }
     ]
   }

5. 單擊繼續編輯基本信息，設置名稱和備注。其中名稱設置為AliyunKMSManagedRAMCrendentialsRolePolicy。

6. 單擊確定。

2.創建RAM角色并授權

1. 使用RAM管理員登錄RAM控制臺。

2. 在左側導航欄，選擇身份管理 > 角色。

3. 在角色頁面，單擊創建角色。

4. 在創建角色頁面，選擇可信實體類型為阿里云服務，然后單擊下一步。

5. 選擇角色類型為普通服務角色。

6. 輸入角色名稱和備注。其中角色名稱為AliyunKMSManagedRAMCrendentialsRole。

7. 選擇受信服務為密鑰管理服務，單擊完成。

8. 單擊為角色授權，被授權主體會自動填入。

9. 在新增授權面板，選擇自定義策略，然后選中權限策略AliyunKMSManagedRAMCrendentialsRolePolicy，單擊確定，然后單擊完成。

步驟二：創建RAM用戶的AccessKey

訪問密鑰AccessKey（簡稱AK）是阿里云提供給用戶的永久訪問憑據，一組由AccessKey ID和AccessKey Secret組成的密鑰對。

• AccessKey ID：用于標識用戶。

• AccessKey Secret：是一個用于驗證您擁有該AccessKey ID的密碼。

1. 登錄RAM控制臺。

2. 在左側導航欄，選擇身份管理 > 用戶。

3. 在用戶頁面，單擊目標RAM用戶名稱。

4. 在AccessKey區域，單擊創建AccessKey。

5. 根據界面提示完成安全驗證。

6. 在創建AccessKey對話框，查看AccessKey ID和AccessKey Secret。

   您可以單擊下載CSV文件，下載AccessKey信息。單擊復制，復制AccessKey信息。

   

步驟三：創建RAM憑據

1. 登錄密鑰管理服務控制臺，在頂部菜單欄選擇地域后，在左側導航欄單擊資源 > 憑據管理。

2. 單擊RAM憑據頁簽，選擇實例ID后，單擊創建憑據，完成各項配置后單擊確定。

   配置項	說明
   選擇RAM用戶	選擇您要托管憑據的RAM用戶，所選RAM用戶需要至少有一個AccessKey。 憑據名稱根據RAM用戶的名稱自動生成，憑據名稱在當前地域內唯一。
   設置憑據值	輸入對應的AccessKey Secret。 長度不超過30720字節（30KB）。
   加密主密鑰	選擇用于加密憑據值的密鑰。 重要 密鑰和憑據需要屬于同一個KMS實例，且密鑰必須為對稱密鑰。關于KMS支持哪些對稱密鑰，請參見密鑰管理類型和密鑰規格。 如果是RAM用戶、RAM角色，需要具備使用加密主密鑰執行GenerateDataKey操作的權限。
   標簽	憑據的標簽，方便您對憑據進行分類管理。每個標簽由一個鍵值對（Key:Value）組成，包含標簽鍵（Key）、標簽值（Value）。 說明 標簽鍵和標簽值的格式：最多支持128個字符，可以包含英文大小寫字母、數字、正斜線（/）、反斜線（\）、下劃線（_）、短劃線（-）、半角句號（.）、加號（+）、等于號（=）、半角冒號（:）、字符at（@）、空格。 標簽鍵不能以aliyun或acs:開頭。 每個憑據最多可以設置20個標簽鍵值對。
   自動輪轉	選擇開啟或關閉憑據的周期性自動輪轉。
   天數(7天~365天)	僅當開啟自動輪轉時需要設置。 表示輪轉的周期，設置后KMS將定期為您更新憑據值。
   描述信息	憑據的描述信息。
   策略配置	憑據的策略配置。詳細介紹，請參見憑據策略概述。 您可以先選擇默認策略，創建憑據后根據業務需要再修改策略。

步驟四：應用程序集成RAM憑據

KMS提供了多種SDK，建議您按照如下優先級順序選擇SDK：

（可選）步驟五：監控動態RAM憑據輪轉

功能暫不支持，支持后提供

更多操作

輪轉RAM憑據

1. 登錄密鑰管理服務控制臺，在頂部菜單欄選擇地域后，在左側導航欄單擊資源 > 憑據管理。

2. 單擊RAM憑據頁簽，選擇實例ID后，定位到要立即輪轉的憑據名稱，單擊操作列的詳情。

3. 在憑據詳情頁面配置憑據輪轉策略。

   • 周期性自動輪轉：在頁面右上角單擊設置輪轉策略，開啟或關閉周期性自動輪轉，然后單擊確定。

   • 立即輪轉：在頁面右上角單擊立即輪轉，在設置輪轉策略對話框中設置輪轉窗口（10分鐘~2天），然后單擊確定。

刪除RAM憑據

您可以選擇計劃刪除憑據和立即刪除憑據兩種方式，刪除不需要的憑據。刪除RAM憑據僅在憑據管家中刪除RAM憑據，不會在RAM中刪除RAM用戶的AccessKey。

1. 登錄密鑰管理服務控制臺，在頂部菜單欄選擇地域后，在左側導航欄單擊資源 > 憑據管理。

2. 單擊RAM憑據頁簽，選擇實例ID后，定位到要刪除的憑據名稱，單擊操作列的計劃刪除憑據。

3. 在計劃刪除憑據對話框中，選擇憑據刪除方式，并單擊確定。

   • 計劃刪除憑據：設置預刪除周期（7~30天），系統將在預刪除周期結束后刪除憑據。

   • 立即刪除憑據：系統將立即刪除憑據。

   在預刪除周期內，您可以單擊目標憑據操作列的還原憑據，取消刪除操作。

為憑據配置標簽

檢測賬號

檢測賬號功能可為您檢測RAM憑據中的RAM用戶在RAM中是否存在，以及RAM用戶的AccessKey ID與憑據中內容是否一致。

1. 登錄密鑰管理服務控制臺，在頂部菜單欄選擇地域后，在左側導航欄單擊資源 > 憑據管理。

2. 單擊RAM憑據頁簽，選擇實例ID后，定位到目標憑據，單擊操作列的詳情。

3. 在版本列表區域，單擊檢測賬號，驗證完成后，查看驗證結果。

常見問題

設置輪轉策略或立即輪轉時，提示“您的憑據在輪轉中，請稍后再試”