Alibaba Cloud RAM, KMS und Secrets: Migration zu STACKIT

Die Migration Schritt für Schritt

Die Reihenfolge folgt den Wellen des Laufs: Zuerst kommen der Schlüssel und die RAM-Objekte, danach die Secrets, die vom Schlüssel abhängen.

1. 01

   1. Identitäten und Secrets inventarisieren

   Listen Sie jeden RAM-Nutzer, jede Rolle, Richtlinie und Verknüpfung sowie jeden KMS-Schlüssel und jedes KMS-Secret im Terraform auf. Ressourcentypen, die StackToIT nicht katalogisiert, etwa ein Role Policy Attachment, kommen als MANUAL_REVIEW zurück, ohne dass etwas bewertet wird.

2. 02

   2. Variablen bereitstellen, die Secrets speisen

   Ein Secret, dessen secret_data eine sensitive Variable liest, lässt sich erst bewerten, wenn ein Lauf die Variable kennt. Übergeben Sie in einem privaten Lauf eine Variablendatei (--var-file); der Lauf selbst fragt nie nach einem Wert.

3. 03

   3. Schlüsseltypen mit dem abgleichen, was STACKIT KMS erzeugt

   STACKIT KMS nennt AES-256 sowie RSA 2048, 3072 und 4096. Der alicloud-Provider erlaubt zusätzlich Aliyun_AES_128, Aliyun_AES_192, Aliyun_SM4 und die Elliptic-Curve-Varianten EC_P256, EC_P256K und EC_SM2. Für einen Quellschlüssel mit einer davon brauchen Sie eine Entscheidung.

4. 04

   4. STACKIT-KMS-Schlüsselring und Schlüssel anlegen

   Legen Sie die Zielschlüssel zuerst an. Der Lauf setzt den Schlüssel in Welle 1 und jedes Secret, das ihn nennt, in Welle 2.

5. 05

   5. Daten neu verschlüsseln, Schlüsselmaterial nicht verschieben

   Laut Lauf wandert das Schlüsselmaterial der Quelle nicht, daher werden damit verschlüsselte Daten neu verschlüsselt. STACKIT KMS unterstützt außerdem den Import eigenen Schlüsselmaterials beim Anlegen eines Schlüssels oder einer Schlüsselversion.

6. 06

   6. Secrets in den Secrets Manager laden

   Ein Operator überträgt die Werte, und Anwendungen ändern, wie sie sie lesen. Der Secrets Manager versioniert jedes Secret und protokolliert Änderungen je Secret. Die von uns gelesene STACKIT-Seite beschreibt keine Entsprechung zu den Stage-Labels „ACSCurrent“ und „ACSPrevious“; Anwendungen, die per Label lesen, ändern sich daher.

7. 07

   7. RAM durch Service Accounts und Rollen ersetzen

   Workloads erhalten STACKIT-Service-Accounts mit Rollen in einem Projekt; Menschen erhalten Rollen über Ihr Identitätskonzept. Der Lauf ordnet sie nicht für Sie zu.

8. 08

   8. Alibaba-Cloud-Zugriff zuletzt entfernen

   Löschen Sie RAM-Nutzer und AccessKeys erst, wenn die letzte Anwendung ihre Secrets von STACKIT liest.

Was wohin gehört

Klassen und Ziele stammen aus dem Lauf weiter unten. Die rechte Spalte ist allgemeine Praxis, abgeleitet aus der von uns gelesenen Dokumentation von Alibaba Cloud und STACKIT.

Der unbekannte Attachment-Typ begrenzt auch die verknüpfte Rolle und Richtlinie auf LOW: Der Lauf legt für jede Einheit, die mit einem ihm unbekannten Typ verknüpft ist, eine Obergrenze fest.

Ein KMS-Schlüssel und ein rotierendes Secret, bewertet

Eine kleine Alibaba-Cloud-Umgebung, für diese Seite geschrieben und am 4. November 2026 von StackToIT bewertet. Links: die Eingabe. Rechts: das Ergebnis, das StackToIT dazu festgehalten hat, ein Auszug aus assessment.json mit den Werten genau so, wie der Lauf sie geschrieben hat. Da assessment.json in einer einzigen Zeile geschrieben ist, zeigt der Ausschnitt ausgewählte Felder jeder Einheit, eingerückt und so verschachtelt wie in der Datei, mit unveränderten Werten. Die Eingabeblöcke stehen in getrennten Ausschnitten, weil sie in main.tf nicht direkt aufeinander folgen.

resource "alicloud_kms_key" "data" {
  description            = "data-at-rest"
  key_spec               = "Aliyun_AES_256"
  key_usage              = "ENCRYPT/DECRYPT"
  automatic_rotation     = "Enabled"
  rotation_interval      = "365d"
  pending_window_in_days = 30
}

resource "alicloud_kms_secret" "api_token" {
  secret_name                    = "partner-api-token"
  secret_data                    = var.api_token
  version_id                     = "v1"
  encryption_key_id              = alicloud_kms_key.data.id
  enable_automatic_rotation      = true
  rotation_interval              = "30d"
}

[
  {
    "id": "alicloud_kms_key.data",
    "result": {
      "class": "RECONFIGURE",
      "confidence": "MEDIUM",
      "target": {
        "service": "STACKIT KMS"
      },
      "reason": "A KMS key becomes a STACKIT KMS key. Key material of the source does not move, so data encrypted with it is re-encrypted."
    }
  },
  {
    "id": "alicloud_kms_secret.api_token",
    "result": {
      "class": "RECONFIGURE",
      "confidence": "MEDIUM",
      "target": {
        "service": "STACKIT Secrets Manager"
      },
      "reason": "A KMS secret becomes a secret in STACKIT Secrets Manager. Values are moved by an operator, and applications change how they read them."
    }
  }
]

• Neu verschlüsseln statt kopieren

  Die Begründung zum Schlüssel ist eindeutig: Das Schlüsselmaterial der Quelle wandert nicht. Planen Sie die Neuverschlüsselung der Daten, die vom Schlüssel abhängen.

• Rotation ist ein Designpunkt

  Das Secret setzt enable_automatic_rotation und ein rotation_interval von 30 Tagen. In Alibaba Cloud läuft die Rotation generischer Secrets über Function Compute. Die von uns gelesene STACKIT-Seite beschreibt keine geplante Rotation; entscheiden Sie daher, wie die Rotation im Ziel erfolgt.

• Werte werden nicht gelesen

  Die beiden secret_data-Werte stammen aus sensitiven Variablen ohne Wert im Lauf. Der Lauf meldet, dass er ihre Migration nicht bewerten konnte, und dass nie ein Wert abgefragt wird.

• AppRole ist neu

  Der STACKIT Secrets Manager liefert nach der AppRole-Anmeldung ein Vault-kompatibles Token. STACKIT hat AppRole am 31. August 2026 in einer frühen Release-Stufe angekündigt, die Funktion kann sich also noch ändern. Prüfen Sie ihren Stand, bevor Pipelines davon abhängen.

Eine Rolle, ihre Verknüpfung und ein Pipeline-Nutzer

Aus demselben Lauf. Der ECS-Dienst vertraut der RAM-Rolle. StackToIT katalogisiert den Typ der Verknüpfung nicht, und der Lauf sagt das, statt zu raten. Da assessment.json in einer einzigen Zeile geschrieben ist, zeigt der Ausschnitt ausgewählte Felder jeder Einheit, eingerückt und so verschachtelt wie in der Datei, mit unveränderten Werten. Die Eingabeblöcke stehen in getrennten Ausschnitten, weil sie in main.tf nicht direkt aufeinander folgen.

resource "alicloud_ram_role" "app" {
  role_name                   = "orders-app"
  assume_role_policy_document = jsonencode({
    Statement = [{ Action = "sts:AssumeRole", Effect = "Allow", Principal = { Service = ["ecs.aliyuncs.com"] } }]
    Version   = "1"
  })
}

resource "alicloud_ram_role_policy_attachment" "app_read" {
  role_name   = alicloud_ram_role.app.role_name
  policy_name = alicloud_ram_policy.read_secrets.policy_name
  policy_type = "Custom"
}

resource "alicloud_ram_user" "deploy" {
  name         = "ci-deploy"
  display_name = "CI deploy user"
}

[
  {
    "id": "alicloud_ram_role.app",
    "result": {
      "class": "MANUAL_REVIEW",
      "confidence": "LOW",
      "reason": "RAM policies have no document-level counterpart on STACKIT. Map people and workloads to STACKIT roles and service accounts in a reviewed design."
    }
  },
  {
    "id": "alicloud_ram_role_policy_attachment.app_read",
    "result": {
      "class": "MANUAL_REVIEW",
      "confidence": "LOW",
      "reason": "alicloud_ram_role_policy_attachment is not in the knowledge base catalogue; an architect has to decide the target. Nothing of this resource is assessed or drafted (unknown source type)."
    }
  }
]

• Keine Entsprechung auf Dokumentebene

  Der Lauf hält fest, dass RAM-Richtlinien in Dokumentform keine Entsprechung haben. Das geprüfte Konzept ordnet Menschen und Workloads Rollen und Service Accounts zu.

• Zur Verknüpfung wird nichts bewertet

  Der Lauf führt den unbekannten Typ als MANUAL_REVIEW mit Konfidenz LOW und sagt, dass nichts davon bewertet oder entworfen wird.

• Workloads

  STACKIT-Service-Accounts haben standardmäßig keinen Zugriff; Rollen vergeben Sie in einem Projekt. Die Rolle Service Account User weist einen Service Account einem Workload wie einer virtuellen Maschine zu.

• Pipelines

  Ein CI-Nutzer mit langlebigen Schlüsseln kann zu einem Service Account werden, der sich per Workload Identity Federation mit kurzlebigen Tokens anmeldet, oder zu einem mit Service-Account-Schlüssel. Betten Sie Schlüssel nie in Quellcode ein.

Entscheidungen, die Ihre Architekten treffen

• Schlüssel-Lebenszyklus

  Wer Schlüssel anlegt, wer sie rotiert und wer sie löschen darf. Service Accounts haben kein Soft-Delete; vergeben Sie Löschrechte daher sparsam.

• Secret-Rotation

  Alibaba Cloud unterscheidet generische, RAM-, Datenbank- und ECS-Secrets. Entscheiden Sie je Secret, wie sein Ersatz auf STACKIT rotiert wird.

• Secret-Namen und Zugriff

  Secret-Namen mit Präfixen wie orders- trugen in der RAM-Richtlinie ein Zugriffsmuster. Bauen Sie diese Eingrenzung in STACKIT-Rollen nach.

• Verantwortliche für die Sicherheitsarbeit

  Für KMS- und Secret-Schritte kann der Ausführungsplan „Owner assignment required“ zeigen. Benennen Sie eine Rolle, bevor die Arbeit beginnt.

• Notfallzugriff

  Der Lauf bewertet weder Rechteunterschiede noch Break-Glass-Zugriff. Entwerfen Sie beides selbst.

• Audit

  Die Audit-Logs des Secrets Managers decken Anlegen, Löschen und Versionsänderungen ab. Legen Sie fest, wo sie aufbewahrt werden.

RAM, KMS und Secrets: häufige Fragen

Quellen

• Alibaba Cloud: Was ist Resource Access Management
• Alibaba Cloud: Übersicht zur Secrets-Verwaltung (KMS)
• Terraform Registry: alicloud_kms_key (Provider 2.1.0)
• STACKIT: Key Management Service (KMS)
• STACKIT: Secrets Manager
• STACKIT: Service Accounts