Alibaba Cloud RAM, KMS en secrets migreren naar STACKIT

De migratie in volgorde

De volgorde volgt de golven van de run: eerst de sleutel en de RAM-objecten, daarna de secrets die van de sleutel afhangen.

1. 01

   1. Inventariseer identiteiten en secrets

   Som elke RAM-gebruiker, rol, policy en attachment op, en elke KMS-sleutel en elk KMS-secret in Terraform. Resourcetypen die StackToIT niet in de catalogus heeft, zoals een role policy attachment, komen terug als MANUAL_REVIEW zonder dat er iets is beoordeeld.

2. 02

   2. Lever de variabelen die secrets voeden

   Een secret waarvan secret_data een gevoelige variabele leest, kan pas worden beoordeeld als een run de variabele kent. Geef de run een variabelenbestand (--var-file) in een privérun; de run zelf vraagt nooit om een waarde.

3. 03

   3. Toets sleuteltypen aan wat STACKIT KMS genereert

   STACKIT KMS noemt AES-256 en RSA 2048, 3072 en 4096. De alicloud-provider staat ook Aliyun_AES_128, Aliyun_AES_192, Aliyun_SM4 en de elliptische-curvespecificaties EC_P256, EC_P256K en EC_SM2 toe. Een bronsleutel van een van die typen vereist een beslissing.

4. 04

   4. Maak de STACKIT KMS-key ring en -sleutels aan

   Maak eerst de doelsleutels aan. De run plaatst de sleutel in golf 1 en elk secret dat de sleutel noemt in golf 2.

5. 05

   5. Versleutel data opnieuw, verplaats geen sleutelmateriaal

   De run vermeldt dat het sleutelmateriaal van de bron niet verhuist, dus data die ermee is versleuteld, wordt opnieuw versleuteld. STACKIT KMS ondersteunt ook het importeren van uw eigen sleutelmateriaal wanneer u een sleutel of sleutelversie aanmaakt.

6. 06

   6. Laad de secrets in Secrets Manager

   Een operator brengt de waarden over en applicaties wijzigen hoe ze die lezen. Secrets Manager versioneert elk secret en logt wijzigingen per secret. De STACKIT-pagina die wij lazen beschrijft geen tegenhanger van de stagelabels ACSCurrent en ACSPrevious, dus applicaties die op label lezen, worden aangepast.

7. 07

   7. Vervang RAM door service accounts en rollen

   Workloads krijgen STACKIT-service accounts met rollen in een project; mensen krijgen rollen via uw identiteitsontwerp. De run koppelt ze niet voor u.

8. 08

   8. Verwijder de toegang tot Alibaba Cloud als laatste

   Verwijder RAM-gebruikers en AccessKeys pas nadat de laatste applicatie de secrets uit STACKIT heeft gelezen.

Wat waaraan wordt gekoppeld

Klassen en doelen komen uit de run hieronder. De rechterkolom is algemene praktijk uit de documentatie van Alibaba Cloud en STACKIT die wij lazen.

Het onbekende attachmenttype beperkt ook de gekoppelde rol en policy tot LOW: de run legt een beperking vast voor elke eenheid die aan een onbekend type is gekoppeld.

Een KMS-sleutel en een roterend secret, beoordeeld

Een kleine Alibaba Cloud-omgeving, voor deze pagina geschreven en door StackToIT beoordeeld op 4 november 2026. Links: de invoer. Rechts: het resultaat dat StackToIT ervoor vastlegde, een fragment van assessment.json met de waarden precies zoals de run ze schreef. assessment.json staat op één regel, dus het paneel toont geselecteerde velden per eenheid, ingesprongen en genest zoals in het bestand, met ongewijzigde waarden. De invoerblokken staan in aparte panelen omdat ze in main.tf niet naast elkaar staan.

resource "alicloud_kms_key" "data" {
  description            = "data-at-rest"
  key_spec               = "Aliyun_AES_256"
  key_usage              = "ENCRYPT/DECRYPT"
  automatic_rotation     = "Enabled"
  rotation_interval      = "365d"
  pending_window_in_days = 30
}

resource "alicloud_kms_secret" "api_token" {
  secret_name                    = "partner-api-token"
  secret_data                    = var.api_token
  version_id                     = "v1"
  encryption_key_id              = alicloud_kms_key.data.id
  enable_automatic_rotation      = true
  rotation_interval              = "30d"
}

[
  {
    "id": "alicloud_kms_key.data",
    "result": {
      "class": "RECONFIGURE",
      "confidence": "MEDIUM",
      "target": {
        "service": "STACKIT KMS"
      },
      "reason": "A KMS key becomes a STACKIT KMS key. Key material of the source does not move, so data encrypted with it is re-encrypted."
    }
  },
  {
    "id": "alicloud_kms_secret.api_token",
    "result": {
      "class": "RECONFIGURE",
      "confidence": "MEDIUM",
      "target": {
        "service": "STACKIT Secrets Manager"
      },
      "reason": "A KMS secret becomes a secret in STACKIT Secrets Manager. Values are moved by an operator, and applications change how they read them."
    }
  }
]

• Opnieuw versleutelen, niet kopiëren

  De reden bij de sleutel is expliciet: het sleutelmateriaal van de bron verhuist niet. Plan het opnieuw versleutelen van de data die van de sleutel afhangt.

• Rotatie is een ontwerppunt

  Het secret stelt enable_automatic_rotation in, met een rotation_interval van 30 dagen. In Alibaba Cloud loopt de rotatie van generieke secrets via Function Compute. De STACKIT-pagina die wij lazen beschrijft geen geplande rotatie, dus bepaal hoe de rotatie aan de doelkant plaatsvindt.

• Waarden worden niet gelezen

  De twee secret_data-waarden komen uit gevoelige variabelen zonder waarde in de run. De run vermeldt dat de migratie ervan niet kon worden beoordeeld en dat er nooit om een waarde wordt gevraagd.

• AppRole is nieuw

  STACKIT Secrets Manager geeft na AppRole-authenticatie een Vault-compatibel token terug. STACKIT kondigde AppRole aan op 31 augustus 2026 in een vroege releasefase, dus het kan nog veranderen; controleer de status voordat pipelines ervan afhangen.

Een rol, de attachment en een pipelinegebruiker

Uit dezelfde run. De RAM-rol vertrouwt de ECS-dienst. StackToIT heeft het attachmenttype niet in de catalogus en de run meldt dat in plaats van te raden. assessment.json staat op één regel, dus het paneel toont geselecteerde velden per eenheid, ingesprongen en genest zoals in het bestand, met ongewijzigde waarden. De invoerblokken staan in aparte panelen omdat ze in main.tf niet naast elkaar staan.

resource "alicloud_ram_role" "app" {
  role_name                   = "orders-app"
  assume_role_policy_document = jsonencode({
    Statement = [{ Action = "sts:AssumeRole", Effect = "Allow", Principal = { Service = ["ecs.aliyuncs.com"] } }]
    Version   = "1"
  })
}

resource "alicloud_ram_role_policy_attachment" "app_read" {
  role_name   = alicloud_ram_role.app.role_name
  policy_name = alicloud_ram_policy.read_secrets.policy_name
  policy_type = "Custom"
}

resource "alicloud_ram_user" "deploy" {
  name         = "ci-deploy"
  display_name = "CI deploy user"
}

[
  {
    "id": "alicloud_ram_role.app",
    "result": {
      "class": "MANUAL_REVIEW",
      "confidence": "LOW",
      "reason": "RAM policies have no document-level counterpart on STACKIT. Map people and workloads to STACKIT roles and service accounts in a reviewed design."
    }
  },
  {
    "id": "alicloud_ram_role_policy_attachment.app_read",
    "result": {
      "class": "MANUAL_REVIEW",
      "confidence": "LOW",
      "reason": "alicloud_ram_role_policy_attachment is not in the knowledge base catalogue; an architect has to decide the target. Nothing of this resource is assessed or drafted (unknown source type)."
    }
  }
]

• Geen tegenhanger op documentniveau

  De run vermeldt dat RAM-policies geen tegenhanger in documentvorm hebben. Het beoordeelde ontwerp koppelt mensen en workloads aan rollen en service accounts.

• Voor de attachment is niets beoordeeld

  De run legt het onbekende type vast als MANUAL_REVIEW met zekerheidsniveau LOW en zegt dat er niets van is beoordeeld of in een concept uitgewerkt.

• Workloads

  STACKIT-service accounts hebben standaard geen toegang; u wijst rollen toe in een project. De rol Service Account User koppelt een service account aan een workload zoals een virtuele machine.

• Pipelines

  Een CI-gebruiker met langlevende sleutels kan een service account worden dat zich met korte tokens authenticeert via Workload Identity Federation, of een account met een service-accountsleutel. Neem sleutels nooit op in de broncode.

Beslissingen van de architect

• Levenscyclus van sleutels

  Wie sleutels aanmaakt, wie ze roteert en wie ze mag verwijderen. Service accounts kennen geen soft delete, dus wees voorzichtig met verwijderrechten.

• Rotatie van secrets

  Alibaba Cloud onderscheidt generieke, RAM-, database- en ECS-secrets. Bepaal per secret hoe de vervanging ervan op STACKIT wordt geroteerd.

• Naamgeving en toegang van secrets

  Secretnamen met voorvoegsels zoals orders- droegen een toegangspatroon in de resource van de RAM-policy. Bouw die afbakening opnieuw op in STACKIT-rollen.

• Eigenaar van het beveiligingswerk

  Bij KMS- en secretstappen kan het uitvoeringsplan Owner assignment required tonen. Benoem een rol voordat het werk begint.

• Break-glass-toegang

  De run beoordeelt het verschil in privileges en break-glass-toegang niet. Ontwerp beide zelf.

• Audit

  De auditlogs van Secrets Manager omvatten het aanmaken, verwijderen en wijzigen van versies. Bepaal waar ze worden bewaard.

RAM, KMS en secrets: veelgestelde vragen

Bronnen

• Wat is Resource Access Management (Alibaba Cloud Docs)
• Overzicht van secretsbeheer in KMS (Alibaba Cloud Docs)
• Resource alicloud_kms_key, provider 2.1.0 (Terraform Registry)
• Key Management Service (KMS) (STACKIT Docs)
• Secrets Manager (STACKIT Docs)
• Service accounts (STACKIT Docs)