您可以創建應用接入點AAP（Application Access Point），控制應用程序如何使用憑據。
本文僅適用于舊版本用戶，如果您購買的是KMS 3.0產品，應用如何接入KMS，請參見SDK參考。
創建應用接入點
登錄密鑰管理服務控制臺。
在頁面左上角的地域下拉列表，選擇應用接入點所在的地域。
在左側導航欄，單擊應用管理。
單擊創建應用接入點。
在創建應用接入點對話框，設置基本信息。
輸入名稱和描述信息。
說明應用接入點名稱在阿里云賬號下的當前地域內唯一。
在認證方式區域，選擇認證方式。
認證方式
說明
示例
RAMRole
如果您為應用程序的運行環境（例如：ECS實例、ACK集群、函數計算）綁定了RAM角色，可以使用RAMRole的認證方式。此時需指定以下信息：
委托信任：對應用程序進行身份認證時，KMS會校驗RAM角色的委托信任規則。您可以指定綁定的RAM角色類型，自動配置委托信任規則。
取值：
ECS實例角色：應用部署在ECS實例。
ACK Worker角色：應用部署在ACK集群。
函數計算角色：應用部署在函數計算。
角色名稱：綁定的RAM角色名稱。
委托信任：ECS實例角色
角色名稱：ECSRole
Client Key
您可以使用Client Key的認證方式，為AAP綁定客戶端證書。AAP使用證書的公鑰，對應用程序進行身份認證。
選擇該方式時，您需要在AAP創建完成后，綁定Client Key。具體操作，請參見為AAP綁定Client Key。
-
單擊下一步。
設置權限策略。
單擊可選策略右側的
圖標。在創建權限策略對話框，設置以下參數，然后單擊創建。
參數名稱
參數說明
示例
權限策略名稱
權限策略的名稱。
RAMPolicy
作用域
權限策略的適用范圍。
取值：
共享KMS：權限策略適用于KMS。
專屬KMS實例ID：權限策略適用于指定的專屬KMS實例。
共享KMS
RBAC權限
權限管理模板，表示權限策略對具體資源的操作。
取值：
SecretUser：對KMS進行憑據相關操作，可操作的接口為GetSecretValue。
CryptoServiceKeyUser：對專屬KMS實例進行密碼運算操作。
SecretUser
允許訪問資源
權限策略被授權的具體對象。可以通過以下兩種方法設置：
方法一：在可選資源區域，選擇已有資源，然后單擊
圖標。方法二：在已選資源區域，單擊
圖標，然后手動輸入資源，最后單擊添加。說明資源支持通配符（*）作為后綴。
secret/dataKey****
網絡控制規則
權限策略允許訪問的網絡類型和IP地址。
您可以在可選規則區域，選擇已有規則，或者按照以下步驟創建并添加新規則。
單擊
圖標。在創建網絡訪問規則對話框，設置以下參數：
名稱：網絡訪問規則的名稱。
網絡類型：應用訪問KMS的網絡類型。
取值：
Public：適用于應用程序訪問KMS的公網Endpoint。
VPC：適用于應用程序訪問KMS的VPC Endpoint。
Private：適用于應用程序訪問部署到VPC內的專屬服務。
描述信息：網絡訪問規則的詳細信息。
允許地址：允許應用程序訪問的網絡地址。
取值：
當網絡類型為Public時：公網IP地址。
當網絡類型為VPC時：VPC ID，以及VPC內的IP地址或者網段。
當網絡類型為Private時：私網IP地址或者網段。
說明多個IP地址間用半角逗號（,）分隔。
單擊創建。
選擇已有規則，然后單擊
圖標。
名稱：Network
網絡類型：VPC
描述信息：訪問指定的VPC
VPC ID：vpc-bp1drih00fwsrgz2p****
來源IP：192.168.0.0/16
選擇已有策略，然后單擊
圖標。單擊下一步。
檢查應用接入點信息，然后單擊創建。
為AAP綁定Client Key
認證方式為Client Key的AAP創建完成后，您可以為其綁定用于身份認證的Client Key。
單擊應用接入點名稱。
在Client Key區域，單擊創建Client Key。
在創建Client Key對話框，設置以下參數。
認證方式
說明
示例
Client Key加密口令
在您使用Client Key訪問KMS時需要使用該口令對Client Key私鑰文件進行解密，請妥善保管。
Test****
有效期
有效期時間范圍外使用Client Key會訪問失敗。
2022年4月3日-2027年3月4日
單擊確定。
在創建成功對話框，獲取口令和Client Key。
口令：單擊Client Key解密口令右側的復制，獲取口令。
Client Key：單擊下載Client Key，獲取Client Key的憑證信息。
憑證信息包含Key ID和私鑰（PrivateKeyData），示例如下：
{ "KeyId": "KAAP.71be72c8-73b9-44e0-bb75-81ee51b4****", "PrivateKeyData": "MIIJwwIBAz****ICNXX/pOw==" }說明KMS不會保存Client Key的私鑰，因此您只能在創建Client Key時獲取到加密的PKCS12文件（私鑰文件），請妥善保管。