Synchronize resources across KMS instances - Key Management Service

Cuando sus aplicaciones se despliegan en varias regiones para una recuperación ante desastres de tipo primario-secundario o activo-activo, utilice la sincronización entre regiones. Esta función replica las claves y los secretos desde una instancia de KMS principal hacia las instancias réplica ubicadas en otras regiones. De este modo, se garantiza la consistencia de los recursos criptográficos y las aplicaciones de cada región pueden ejecutar operaciones de cifrado y descifrado de forma local. En este tema se describe cómo sincronizar recursos entre instancias de KMS.

Funcionamiento

Las instancias de KMS admiten la sincronización de recursos entre regiones y completan el proceso en cuestión de minutos. Una vez configurada esta sincronización, las aplicaciones empresariales que usan claves de KMS para el cifrado logran redundancia geográfica. Las aplicaciones de la región principal acceden a la instancia de KMS principal para las operaciones criptográficas. En un escenario de recuperación ante desastres, las aplicaciones de la región réplica acceden a la instancia réplica local.

Nota

KMS sincroniza recursos únicamente entre la instancia principal y las instancias réplica. Esto no incluye la sincronización de los datos empresariales de su aplicación, la cual debe gestionarse por separado.

Alcance

Requisitos de la instancia principal:
- Synchronization Status: la instancia debe pertenecer a la cuenta con la que inició sesión y no debe haberse sincronizado previamente con ninguna instancia réplica.
- Instance Type: solo se admiten instancias de Software Key Management o Hardware Key Management con método de facturación de suscripción (prepago). Las instancias pay-as-you-go no son compatibles como instancias principales.
Restricciones de la instancia réplica:
- Cantidad: cada instancia principal puede asociarse con un máximo de tres instancias réplica.
- Región: la instancia principal y todas las instancias réplica deben residir en regiones distintas.
- Recursos: la instancia réplica no debe tener claves ni secretos creados. No es posible asociar una instancia que ya contenga recursos.
- Cuota: la cuota de claves y la cuota de secretos de la instancia réplica deben ser mayores o iguales a las de la instancia principal.
- Tipo de instancia: la instancia réplica debe utilizar el método de facturación de suscripción.
- Versión: para sincronizar secretos, tanto la instancia principal como las instancias réplica deben contar con la versión 3.11.0 o posterior.
Limitaciones de versión y funciones:
- Sincronización de secretos:
  - Instancias de Hardware Key Management: estas instancias NO admiten la sincronización de secretos.
  - Instancias de Software Key Management: para sincronizar secretos, tanto la instancia principal como la réplica deben tener la versión ≥ 3.11.0.
- Versiones base de las instancias de hardware:
  - Instancias de Hardware Key Management
    - China continental: la versión de la instancia de hardware debe actualizarse a la versión 4.4.1 o posterior.
    - Fuera de China continental: la versión de la instancia de hardware debe actualizarse a la versión 4.3.0 o posterior.
  - Instancias de Software Key Management: las instancias ubicadas tanto en China continental como fuera de esta zona deben actualizarse a la versión 2.5.0 o posterior.
- Restricción de funciones:
Restricción transfronteriza: no se admite la sincronización entre fronteras. La instancia principal y todas las instancias réplica deben residir dentro del mismo límite geográfico. Por ejemplo, si la instancia principal reside en una región de China continental, todas las instancias réplica también deben ubicarse en regiones de China continental.

Detalles de la sincronización de recursos

Alcance de la sincronización

Se admite la sincronización tanto de claves como de secretos.

Claves: se sincronizan el identificador de la clave, las versiones de la clave, el material de la clave, el estado de la clave y la protección contra eliminación. Las políticas de clave, los alias de clave y las etiquetas de clave no se sincronizan.

Nota
Actualmente no se admite la sincronización de material de clave externo (BYOK).
Secretos: se sincronizan los secretos generales, las credenciales de RAM, las credenciales de base de datos y las credenciales administradas de ECS.

Nota
La sincronización de secretos requiere que tanto la instancia principal como la réplica cuenten con la versión 3.11.0 o posterior. Las instancias de administración de claves de hardware no admiten la sincronización de secretos.

Lógica de rotación

Cuando se habilita la rotación automática para una clave con sincronización entre regiones configurada, KMS ejecuta los siguientes pasos para garantizar que los datos cifrados puedan descifrarse:

Primero, sincroniza la nueva versión de la clave creada con todas las instancias réplica.
Después, promueve la nueva versión como versión principal de la clave de manera simultánea en la instancia principal y en todas las instancias réplica.

Sincronización de políticas de clave

Sin sincronización automática: las políticas de clave no se sincronizan automáticamente junto con la clave hacia las instancias réplica. Si configura una política personalizada en la clave de la instancia principal, las aplicaciones que accedan a la instancia réplica mediante Alibaba Cloud SDK podrían fallar por falta de permisos.
Recomendación: cuando las aplicaciones usen Alibaba Cloud SDK para ejecutar operaciones criptográficas, revise las políticas de clave de la instancia principal y configure manualmente políticas idénticas en cada instancia réplica. Así se garantiza que las aplicaciones conserven el acceso a las claves replicadas. Para obtener más información, consulte Key Policy Overview y Custom Key Policies.

Frecuencia de sincronización

Una vez asociada una instancia réplica, se ejecuta de inmediato una sincronización inicial que tarda entre 3 y 5 minutos aproximadamente. Posteriormente, la sincronización se ejecuta cada minuto.

Manejo de conflictos

Si ya existe una clave con el mismo identificador en la instancia réplica, el sistema omite esa clave y continúa con la sincronización de los recursos restantes.

Procedimiento

Adquiera y habilite una instancia réplica. Para obtener más información, consulte Purchase a KMS instance.
Inicie sesión en la consola de Key Management Service. En la barra de navegación superior, seleccione una región. En el panel de navegación izquierdo, elija Security Operations > Disaster Recovery > Cross-region Synchronization.
En el panel de navegación izquierdo, elija Cross-region Synchronization y luego haga clic en Add Replica Instance.
En la página Configure Replica Instance, seleccione la instancia principal y la instancia réplica, y luego haga clic en Next.

Nota
El campo Synchronization Policy solo admite el valor ignore, el cual omite los recursos duplicados al encontrar un identificador de clave o un nombre de secreto repetido, y continúa con la sincronización de los recursos restantes.

En la página Synchronize Resources, seleccione los tipos de sincronización para las claves y los secretos, y luego haga clic en Next.

Key Sync Type: se permite la selección múltiple. Sin embargo, no es posible seleccionar Full Synchronization y Synchronization of Selected Resources al mismo tiempo.

Tipo de sincronización	Descripción
Full Synchronization	Sincroniza únicamente las claves que existen actualmente en la instancia principal. Las claves creadas después no se sincronizan. Los cambios en las claves sincronizadas se replican automáticamente.
Incremental Key Synchronization	Las claves existentes en la instancia principal no se sincronizan. Solo se sincronizan las claves creadas posteriormente.
Synchronization of Selected Resources	Solo se sincronizan las claves que usted seleccione. Los cambios en estas claves se replican automáticamente. En el panel expandido de recursos de clave, seleccione las claves que desea sincronizar en el lado izquierdo.

Secret Sync Type: se permite la selección múltiple. Sin embargo, no es posible seleccionar Full Synchronization y Synchronization of Selected Resources al mismo tiempo.

Importante

La sincronización de secretos requiere que tanto la instancia principal como la réplica cuenten con la versión 3.11.0 o posterior. Si la comprobación de versión falla, no se podrá crear la tarea de sincronización de secretos. Actualice primero la versión de la instancia.

Tipo de sincronización	Descripción
Full Synchronization	Sincroniza todos los secretos que existen actualmente en la instancia principal. Los secretos creados después no se sincronizan.
Incremental Secret Sync	Los secretos existentes en la instancia principal no se sincronizan. Solo se sincronizan los secretos creados posteriormente.
Synchronization of Selected Resources	Solo se sincronizan los secretos que usted seleccione. Los cambios en estos secretos se replican automáticamente. En el panel expandido de recursos de secreto, seleccione los secretos que desea sincronizar en el lado izquierdo.

Confirme las configuraciones y haga clic en Done. La sincronización tarda entre 3 y 5 minutos aproximadamente.
En la página de resultados de sincronización, consulte los resultados y los motivos de cualquier fallo en la pestaña Result de la instancia réplica de destino.
Haga clic en Close para volver a la lista de tareas de Cross-region Synchronization. Compruebe el progreso de la sincronización en la columna Synchronization Task de la instancia principal de destino.

Nota
El sistema sincroniza el progreso automáticamente cada minuto. Progreso de sincronización = (Número de claves sincronizadas + Número de secretos sincronizados) / (Número de claves por sincronizar + Número de secretos por sincronizar) × 100%.

Pasos siguientes

Una vez creadas las credenciales de acceso, las aplicaciones de las regiones principal y réplica pueden usar las claves de sus respectivas instancias de KMS para las operaciones criptográficas. Para obtener más información, consulte Create access credentials.

Alibaba Cloud SDK: cree una sola credencial de acceso. Solo se admiten roles de RAM cuya entidad de confianza sea un servicio de Alibaba Cloud.
SDK de instancia de KMS (no recomendado): cree credenciales de acceso independientes para la instancia principal y para cada instancia réplica. Solo se admiten ClientKeys provenientes de puntos de acceso de aplicaciones (AAP). Para obtener más información, consulte Use the KMS Instance SDK.