Key Management Service:Gestión de claves externas

Comunicación entre las instancias de KMS y las instalaciones de gestión de claves externas

Las instancias de clave externa de KMS se comunican con su infraestructura de gestión de claves (KMI) a través de un servidor proxy de instancia de clave externa (servidor XKI Proxy). El servidor XKI Proxy reenvía las solicitudes criptográficas de KMS a su KMI y devuelve las respuestas.

KMS admite dos opciones de conectividad entre la instancia de clave externa y el servidor XKI Proxy:

• Internet: KMS se conecta a su servidor XKI Proxy a través de internet. Habilite el acceso a internet en el servidor XKI Proxy.

• Servicio de endpoint de VPC: KMS se conecta mediante un servicio de endpoint de Virtual Private Cloud (VPC) proporcionado por PrivateLink, sin pasar por la red pública de internet.

Límites

• Las claves externas deben ser simétricas.

• Si pierde o elimina la clave en su KMI, no se podrá descifrar ningún texto cifrado generado con ella.

• No se admite la importación de material de clave, la rotación de claves, la gestión de copias de seguridad ni la sincronización de claves entre regiones.

• Su KMI gestiona por completo las versiones de las claves. A continuación se muestran las operaciones de API de KMS que no son compatibles:

  • UpdateRotationPolicy

  • CreateKeyVersion

• Para que las operaciones criptográficas se ejecuten correctamente, deben cumplirse estas tres condiciones de forma simultánea:

  • La clave de KMS se encuentra en el estado Enabled.

  • El servidor XKI Proxy está configurado correctamente y se encuentra en el estado Connected.

  • La clave del servidor XKI Proxy se encuentra en el estado ENABLED.

Requisitos previos

• Asegúrese de haber comprado y habilitado una instancia de gestión de claves externas. Purchase and enable a KMS instance.

• Use el servicio de proxy XKI en su infraestructura de gestión de claves (KMI) para crear una clave y registre su identificador.

Creación de una clave externa

1. Inicie sesión en la consola de Key Management Service. En la barra de navegación superior, seleccione una región. En el panel de navegación izquierdo, elija Resources > Keys.

2. En la página Keys, haga clic en la pestaña Customer Master Keys. En la lista desplegable Instance ID, seleccione una instancia de gestión de claves externas. Después, haga clic en Create Key.

3. En el panel Create Key, configure los parámetros y haga clic en OK.

   Parámetro	Descripción
   External Key ID	Identificador de la clave generado por el servicio de gestión XKI. Nota Puede usar el mismo identificador de clave externa para crear una o varias claves de KMS.
   Key Specifications	Especificación de la clave. Solo son compatibles Aliyun_AES_256. Nota Para consultar las especificaciones y los algoritmos compatibles, vea Key types and specifications.
   Key Usage	Propósito de la clave. ENCRYPT/DECRYPT: cifra y descifra datos.
   Key Alias	Alias para identificar la clave. Puede contener letras, dígitos, guiones bajos (_), guiones (-) y barras diagonales (/).
   Tags	Etiquetas que facilitan la categorización y gestión de las claves. Cada etiqueta es un par clave-valor. Nota Formato de la clave y el valor de la etiqueta: ambos pueden tener hasta 128 caracteres e incluir letras, dígitos, barras diagonales (/), barras diagonales inversas (\), guiones bajos (_), guiones (-), puntos (.), signos más (+), signos igual (=), dos puntos (:), arrobas (@) y espacios. La clave de la etiqueta no puede comenzar con aliyun ni con acs:. Cada clave admite un máximo de 20 pares clave-valor de etiquetas.
   Description	Descripción de la clave.
   Advanced Settings	Default Policy: seleccione esta política si la clave la utiliza la cuenta actual de Alibaba Cloud o una cuenta incluida en un recurso compartido. Si la instancia no se comparte con otras cuentas: solo la cuenta actual de Alibaba Cloud puede gestionar y utilizar la clave. Si la instancia se comparte con otras cuentas: por ejemplo, la cuenta 1 de Alibaba Cloud comparte la instancia A de KMS con la cuenta 2 de Alibaba Cloud. Para una clave creada por la cuenta 1 de Alibaba Cloud: solo dicha cuenta puede gestionarla y utilizarla. Para una clave creada por la cuenta 2 de Alibaba Cloud: tanto la cuenta 1 como la cuenta 2 de Alibaba Cloud pueden gestionarla y utilizarla. Custom Policy: seleccione esta política si necesita otorgar autorización a usuarios de RAM, roles de RAM u otras cuentas de Alibaba Cloud para utilizar la clave. Importante Seleccionar un administrador o un usuario no consume la cuota de Access Management Quantity. Sin embargo, seleccionar usuarios de otras cuentas sí consume la cuota de Access Management Quantity de la instancia de KMS, calculada según el número de cuentas de Alibaba Cloud especificadas. Después de revocar la autorización, la cuota se libera en aproximadamente 5 minutos. Administrador: gestiona la clave, pero no puede ejecutar operaciones criptográficas. Seleccione usuarios y roles de RAM de su cuenta de Alibaba Cloud. Lista de permisos para administradores { "Statement": [ { "Action": [ "kms:List*", "kms:Describe*", "kms:Create*", "kms:Enable*", "kms:Disable*", "kms:Get*", "kms:Set*", "kms:Update*", "kms:Delete*", "kms:Cancel*", "kms:TagResource", "kms:UntagResource", "kms:ImportKeyMaterial", "kms:ScheduleKeyDeletion" ] } ] } Usuario: solo puede ejecutar operaciones criptográficas. Seleccione usuarios y roles de Resource Access Management (RAM) de su cuenta de Alibaba Cloud. Varios consumidores dentro de la misma instancia de servicio en la nube (por ejemplo, AI Gateway) bajo la misma cuenta de Alibaba Cloud pueden hacer referencia a la misma clave de KMS. Este enfoque se usa habitualmente para centralizar la gestión de credenciales o simplificar los flujos de trabajo de rotación de claves. Lista de permisos para usuarios { "Statement": [ { "Action": [ "kms:Encrypt", "kms:Decrypt", "kms:GenerateDataKey", "kms:GenerateAndExportDataKey", "kms:AsymmetricEncrypt", "kms:AsymmetricDecrypt", "kms:DescribeKey", "kms:DescribeKeyVersion", "kms:ListKeyVersions", "kms:ListAliasesByKeyId", "kms:TagResource" ] } ] } Usuarios de otras cuentas: pueden cifrar y descifrar con la clave. Especifique usuarios o roles de RAM de otras cuentas de Alibaba Cloud. Usuario de RAM: use el formato acs:ram::<userId>:user/<ramuser>. Ejemplo: acs:ram::1111**:user/testpolicyuser. Rol de RAM: use el formato acs:ram::<userId>:role/<ramrole>. Ejemplo: acs:ram::1111**:role/testpolicyrole. Nota Después de autorizar a un usuario o rol de RAM, use la cuenta propietaria de Alibaba Cloud para conceder permisos de uso de la clave en la consola de RAM. Custom policies for Key Management Service. Grant permissions to a RAM user. Grant permissions to a RAM role. Lista de permisos para usuarios de otras cuentas { "Statement": [ { "Action": [ "kms:Encrypt", "kms:Decrypt", "kms:GenerateDataKey", "kms:GenerateAndExportDataKey", "kms:AsymmetricEncrypt", "kms:AsymmetricDecrypt", "kms:DescribeKey", "kms:DescribeKeyVersion", "kms:ListKeyVersions", "kms:ListAliasesByKeyId", "kms:TagResource" ] } ] }

Operaciones relacionadas

Para deshabilitar una clave, habilitar la protección contra eliminación, programar la eliminación de una clave, comprobar sus asociaciones, configurar un alias o agregar etiquetas a una clave externa, consulte Manage a key.