Key Management Service:Acceso a las claves de una instancia de KMS mediante la red pública

Precauciones

• Sin importar el valor de consultas por segundo (QPS) que seleccione al comprar una instancia de KMS, el límite de QPS para las operaciones criptográficas por red pública es de 1,000. Para obtener más información, consulte Performance metrics. Si su aplicación tiene requisitos de rendimiento altos, utilice el acceso por red de VPC.

• De forma predeterminada, las credenciales de una instancia de KMS están accesibles tanto por red pública como desde una VPC. Si accede a las credenciales únicamente desde la red interna, no necesita habilitar el acceso por red pública.

• El acceso por red pública solo se habilita desde la consola, no mediante llamadas a operaciones de openapi.

• En un escenario de varias cuentas donde se comparte una instancia de KMS, solo el propietario de la instancia puede habilitar el acceso por red pública.

• Un entorno de desarrollo local no se conecta directamente al endpoint interno (endpoint de VPC) de una instancia de KMS. Si cambia del acceso por red pública al endpoint interno para ejecutar operaciones criptográficas desde un entorno de desarrollo local, establezca primero la conectividad de red entre su entorno local y la VPC que aloja la instancia. Por ejemplo, puede usar Cloud Enterprise Network (CEN) o VPN Gateway. De lo contrario, las conexiones al endpoint interno fallan o agotan el tiempo de espera.

Habilitar el acceso por red pública

1. Inicie sesión en la consola de Key Management Service. En la barra de navegación superior, seleccione una región. En el panel de navegación izquierdo, elija Resources > Instances.

2. En la lista de instancias, haga clic en el ID de la instancia de destino. En la página de detalles, active el interruptor Public Network Access en la sección RD Multi-Account.

   Nota

   Si una instancia de KMS se comparte entre varias cuentas de Alibaba Cloud, configure los permisos de acceso por red pública para cada cuenta.

3. En la pestaña Basic Information de la página de detalles de la instancia, busque el Public Endpoint. Este endpoint aparece después de habilitar el acceso por red pública y tiene un formato similar a kms.cn-hangzhou.aliyuncs.com.

Pasos siguientes

Use un kit de desarrollo de software (SDK) de Alibaba Cloud para ejecutar operaciones criptográficas mediante la red pública. Para obtener más información, consulte Alibaba Cloud SDKs.

Preguntas frecuentes

Si no ha configurado un punto de acceso de aplicación (AAP), ¿cómo accede a una instancia de KMS mediante un endpoint de VPC y configura el certificado?

Escenarios: Accede a las claves a través de la puerta de enlace dedicada interna de una instancia de KMS y no ha configurado un punto de acceso de aplicación (AAP). En este caso, debe configurar la confianza del certificado por su cuenta antes de poder ejecutar operaciones criptográficas.

1. Inicie sesión en la consola de Key Management Service y vaya a la página de detalles de la instancia de destino. En la pestaña Basic Information, busque Instance CA Certificate y haga clic en Download para descargar el archivo del certificado. El nombre del archivo usa el formato PrivateKmsCA_{InstanceID}.pem, donde {InstanceID} es el ID de instancia de su instancia de KMS.

2. Abra el archivo de certificado descargado y copie todo su contenido, incluida la línea de encabezado -----BEGIN CERTIFICATE----- y la línea de pie de página -----END CERTIFICATE-----. Pase el contenido como una cadena al elemento de configuración de confianza del certificado de CA del kit de desarrollo de software (SDK) de Alibaba Cloud. De esta manera, el SDK confía en el certificado TLS del endpoint de VPC de la instancia de KMS.

3. Establezca el endpoint en el VPC Endpoint to Access Instance de la instancia, que puede consultar en la pestaña Basic Information de la página de detalles de la instancia. Este endpoint difiere del endpoint público descrito anteriormente en este tema, cuyo formato es similar a kms.cn-hangzhou.aliyuncs.com.