📚 课程目录第4章开通阿里云KMS服务

4. 开通阿里云KMS服务：RAM角色授权、密钥服务Endpoint配置、SDK接入准备

好，这一章我们动真格的了。

前面的概念和架构图聊得再多，本质上都是在“纸上谈兵”。真正要让KMS为你所用，第一步就是把服务“开”起来，并且让你的应用能“找得到”它。

开通KMS本身并不复杂，但很多人会在权限和网络配置上栽跟头。我就是其中一个。今天我把这些坑，连同我总结的“标准动作”，一次性梳理清楚。

本章核心目标：完成KMS服务授权 → 获取正确的Endpoint → 拿到SDK并跑通第一个API调用。

4.1 RAM角色授权：别让应用“裸奔”

说白了，RAM角色授权就是告诉阿里云：“我这个账号，或者我这个应用，有权利使用KMS服务。” 如果没有这一步，你连KMS的控制台都操作不了，更别提调用API了。

我个人习惯上来先检查一下RAM控制台。你可以在RAM访问控制里创建一个专门的子账号，或者直接用主账号。但我强烈建议你别用主账号，这就像把家里大门的钥匙挂在门上，不安全。

我曾经遇到过这样一个问题： 用主账号开通KMS后，直接生成AccessKey交给应用去调用。结果那个Key不小心被泄露了，攻击者可以任意创建、删除密钥。还好发现得及时，不然后果不堪设想。从那以后，我所有项目都用子账号，并且只授予 AliyunKMSFullAccess 或更细粒度的权限。

授权步骤其实很简单，就三步：

创建RAM用户： 在RAM控制台创建一个新的用户，记下它的AccessKey ID 和 AccessKey Secret。这个就是应用的“身份证”。
授权： 为该用户添加系统策略 AliyunKMSFullAccess。你也可以自定义策略，比如只允许查询密钥列表，不允许删除。我一般会再加一个 AliyunKMSReadOnlyAccess 用于只读场景。
（可选）创建角色： 如果你的应用运行在ECS实例上，我建议使用RAM角色授权。这样你连AccessKey都不用配置了，直接通过ECS的元数据服务获取临时凭证，安全性又上了一个台阶。

一个小技巧： 创建完用户后，别忘了“启用控制台登录”和“编程访问”两个开关。缺一个，你的应用就没办法通过API调用KMS了。

4.2 密钥服务Endpoint配置：找到KMS的门牌号

Endpoint就是KMS服务的网络地址。你的应用要通过这个地址去访问KMS。阿里云在不同地域有不同Endpoint，而且还有公网和VPC内网之分。选错了，你的请求就可能会超时或者被拒绝。

我见过不少同事，直接把公网的Endpoint写在配置里，结果在VPC内部调用，数据绕了一圈互联网才到KMS，不仅慢，还不安全。你想想看，如果在同一个VPC内，为什么不走内网？

Endpoint选择表

场景	Endpoint示例	说明
公网访问	`kms.aliyuncs.com`	适用于本地开发、测试环境，或者无法直接连接VPC的场景
VPC内网访问	`kms-vpc.cn-hangzhou.aliyuncs.com`	推荐生产环境使用，延迟低、带宽稳定，且不经过公网
国密专用Endpoint	`kms-gm.aliyuncs.com`	如果你的业务要求使用国密算法（SM2/SM4），必须用这个

我的建议： 如果你部署在华东2（上海）的ECS上，那么Endpoint就配置成 kms-vpc.cn-shanghai.aliyuncs.com。这样请求直接走阿里云的内网骨干网，又快又省钱。顺带一提，内网流量通常是免费的。

另外，还有个细节。阿里云KMS的Endpoint支持SDK自动路由。你只需要配置地域ID（比如 cn-shanghai），SDK会自动帮你找到对应的Endpoint。不过我个人习惯还是显式地写出来，这样心里踏实。

4.3 SDK接入准备：代码里的一小步

权限有了，地址也有了，接下来就该写代码了。SDK是应用与KMS交互的桥梁。阿里云提供了Java、Python、Go、.NET、PHP等多种语言的SDK，选你自己熟悉的就行。我这边以Java为例。

第一步：引入依赖

在 pom.xml 里加入以下Maven坐标：

<dependency>
    <groupId>com.aliyun</groupId>
    <artifactId>aliyun-java-sdk-core</artifactId>
    <version>4.6.3</version> <!-- 建议使用最新版 -->
</dependency>
<dependency>
    <groupId>com.aliyun</groupId>
    <artifactId>aliyun-java-sdk-kms</artifactId>
    <version>2.16.1</version> <!-- 这里也建议用最新 -->
</dependency>

注意： 版本号一定不要写死成不含通配符的旧版本。我在项目里见过有人用了 2.14.0，结果很多新接口（比如国密的 CreateKey 参数）都不支持。后来排查了半天，才发现是SDK版本太老。所以请务必去Maven中央仓库或者阿里云官方文档查一下最新版本。

第二步：初始化Client

创建一个KMS客户端，并配置好AccessKey和Endpoint：

import com.aliyuncs.DefaultAcsClient;
import com.aliyuncs.profile.DefaultProfile;

// 请替换为你的真实AK和SK
String accessKeyId = "你的AccessKey ID";
String accessKeySecret = "你的AccessKey Secret";
// 地域ID，比如 cn-shanghai
String regionId = "cn-shanghai";
// 显式指定Endpoint
String endpoint = "kms-vpc.cn-shanghai.aliyuncs.com";

DefaultProfile profile = DefaultProfile.getProfile(regionId, accessKeyId, accessKeySecret);
DefaultAcsClient client = new DefaultAcsClient(profile);

第三步：写个简单测试

用刚才的Client去调用 ListKeys 接口，看看能不能连通：

import com.aliyuncs.kms.model.v20160120.ListKeysRequest;
import com.aliyuncs.kms.model.v20160120.ListKeysResponse;

ListKeysRequest request = new ListKeysRequest();
ListKeysResponse response = client.getAcsResponse(request);
System.out.println("请求ID：" + response.getRequestId());
System.out.println("密钥总数：" + response.getTotalCount());
// 如果走到这里没抛异常，恭喜，你的KMS接入成功了。

一个小贴士： 第一次跑通后，我建议你把SDK的初始化代码封装成一个工具类，比如 KmsClientFactory。后续所有业务代码都通过这个工厂获取Client，方便统一管理连接池和配置。

好了，到这里，你的KMS服务实际上就已经“开通”完毕了。RAM角色给了你权限，Endpoint给了你地址，SDK给了你钥匙。接下来，我们就可以真正开始创建密钥、加密数据了。嗯，别急，我们先确保这一步走得稳。