Key Management Service:Comprar y habilitar una instancia de KMS

Paso 1: Comprar una instancia de KMS

1. Inicie sesión en la consola de Key Management Service. En la barra de navegación superior, seleccione una región. En el panel de navegación izquierdo, elija Resources > Instances.

2. En la página Instances, haga clic en Create Instance, seleccione un método de facturación y las especificaciones de la instancia, y luego haga clic en Buy Now.

   Suscripción

   Parámetro	Descripción
   Sitio	El sitio donde se ubica la región de la instancia. Opciones: International regions y Chinese mainland regions.
   Tipo de gestión de claves	KMS proporciona claves predeterminadas gratuitas (claves de servicio y claves maestras del cliente) para el cifrado de productos en la nube en cada región. Las claves predeterminadas tienen funciones limitadas y no requieren la compra de una instancia. Solo se pagan los servicios de valor agregado, como la rotación de claves. Antes de comprar, consulte Seleccionar un tipo de instancia de KMS. Comprar una instancia de KMS Una instancia de gestión de claves por software es adecuada para la mayoría de los casos de uso. Elija una instancia de gestión de claves por hardware si necesita seguridad a nivel físico o un cumplimiento estricto, como las normativas financieras. Software Key Management: las claves se almacenan en una base de datos dedicada para su instancia. Hardware Key Management: la generación, el almacenamiento, el cifrado y el descifrado de claves dependen de un módulo de seguridad de hardware (HSM) dedicado que cumple con los estándares criptográficos nacionales chinos o con FIPS 140-3 Nivel 3. Si elige este tipo, también debe comprar un HSM. Configure un clúster de HSM para una instancia de gestión de claves por hardware. Comprar servicios de valor agregado para claves Copia de seguridad de instancias: exclusivo para instancias de gestión de claves por software. KMS ofrece copias de seguridad de datos gratuitas durante 90 días de forma predeterminada. Si esto no cubre sus necesidades, compre el servicio de copia de seguridad de instancias. Gestión de copias de seguridad. Rotación de claves predeterminadas: solo las claves predeterminadas gratuitas requieren este servicio de valor agregado. Rotación de claves predeterminadas. Si compró una instancia de KMS, las claves de dicha instancia admiten la rotación de forma predeterminada y no necesitan este servicio adicional.
   Región	Seleccione la misma región donde están desplegados sus servicios. Regiones y zonas de disponibilidad.
   Modo de despliegue	Las instancias de KMS admiten configuraciones de zona doble o multizona para alta disponibilidad, recuperación ante desastres y balanceo de carga. Nota En las regiones Filipinas (Manila) y Tailandia (Bangkok), solo hay una zona disponible, por lo que las instancias de KMS se despliegan en una sola zona de forma predeterminada. Un despliegue multizona se puede configurar con hasta tres zonas. Para obtener información sobre la cantidad de zonas en cada región, consulte Regions and zones.
   Rendimiento de cómputo	Las especificaciones de rendimiento de la instancia. Por ejemplo, 2000 significa hasta 2,000 QPS para operaciones simétricas y 300 QPS para operaciones asimétricas de forma independiente. Nota Si necesita una instancia de gestión de claves por software con un rendimiento de cómputo de 10,000 o 20,000, contáctenos.
   Cuota de claves	La cuota para claves. El valor predeterminado es 1,000. Se cuenta por versiones de clave, no por claves. Por ejemplo, una clave con cinco versiones consume cinco unidades de cuota.
   Cuota de secretos	La cuota para secretos. El valor predeterminado es 0. Se cuenta por secretos, sin importar la cantidad de versiones. Nota Omita este parámetro si no utiliza secretos. Puede agregar una cuota de secretos más adelante mediante una actualización.
   Cuota de claves de datos	La cuota para claves de datos (DK). El valor predeterminado es 0. Se cuenta por versiones de clave de datos, no por claves de datos. Por ejemplo, una clave de datos (DK) con cinco versiones consume cinco unidades de cuota.
   Cantidad de gestión de accesos	Esta cuota aplica a dos funciones: Acceder a una instancia de KMS desde varias VPC en la misma región: permite que múltiples VPC de una misma región accedan a los recursos de KMS. Se requiere una unidad de cuota por cada VPC. Compartir una instancia de KMS entre varias cuentas: la cantidad de unidades de cuota necesarias equivale al número de cuentas de Alibaba Cloud con las que comparte la instancia. Ejemplo: asociar tres VPC y compartir con dos cuentas requiere una cuota de como mínimo 5. Valor predeterminado: 1 (la VPC vinculada).
   Análisis de registros	Indica si se habilita el análisis de registros. Descripción general de Log Service. Aviso El análisis de registros no se puede deshabilitar una vez habilitado. Revise los costos asociados.
   Capacidad de almacenamiento de registros	Como mínimo 1,000 GB, ampliable en incrementos de 1,000 GB. Para evaluar la capacidad, consulte Estimate your storage capacity.
   Cantidad	Número de instancias de KMS que desea comprar. Importante Una sola instancia es suficiente para la mayoría de los casos de uso. Para comprar varias instancias, contáctenos.
   Duración	Duración de la suscripción. Nota Puede seleccionar Auto-renewal on expiration para la renovación automática.

   Pay-as-you-go

   Parámetro	Descripción
   Sitio	El sitio donde se ubica la región de la instancia. Opciones: International regions y Chinese mainland regions.
   Tipo de gestión de claves	Una instancia de gestión de claves por software es adecuada para la mayoría de los casos de uso. Elija una instancia de gestión de claves por hardware si necesita seguridad a nivel físico o un cumplimiento estricto, como las normativas financieras. Software Key Management: las claves se almacenan en una base de datos dedicada para su instancia. Hardware Key Management: la generación, el almacenamiento, el cifrado y el descifrado de claves dependen de un módulo de seguridad de hardware (HSM) dedicado que cumple con los estándares criptográficos nacionales chinos o con FIPS 140-3 Nivel 3. Si elige este tipo, también debe comprar un HSM. Para obtener más información, consulte Configurar un clúster de HSM para una instancia de gestión de claves por hardware.
   Región	Seleccione la misma región donde están desplegados sus servicios. Regiones y zonas de disponibilidad.
   Rendimiento de cómputo	Las especificaciones de rendimiento de la instancia.
   Cuota de claves	La cuota para claves. El valor predeterminado es 1,000. Se cuenta por versiones de clave, no por claves.
   Cuota de secretos	La cuota para secretos. El valor predeterminado es 0. Nota Omita este parámetro si no utiliza secretos. Puede agregar una cuota de secretos más adelante mediante una actualización.

   Después de la compra, vaya a la página Instances para habilitar la instancia.

   1. Inicie sesión en la consola de Key Management Service. En la barra de navegación superior, seleccione una región. En el panel de navegación izquierdo, elija Resources > Instances.

   2. En la página Instances, haga clic en Create Instance, busque la instancia de KMS correspondiente y haga clic en Enable en la columna Actions.

   3. En el panel Connect to HSM, configure los ajustes y luego haga clic en Connect to HSM para especificar el clúster de HSM.

      1. Instance Name: un nombre personalizado para la instancia de KMS. Puede contener letras, dígitos y los siguientes caracteres especiales: _/+=.@-.

      2. Select Cluster: seleccione el clúster de HSM que configuró en CloudHSM.

         Nota

         Una instancia de gestión de claves por hardware solo se puede vincular a un clúster de HSM.

   4. La habilitación tarda aproximadamente 30 minutos. Actualice la página para confirmar que el estado de la instancia cambió a Enabled.

Paso 2: Habilitar una instancia de KMS

Después de comprar una instancia de KMS, debe habilitarla para poder usar las funciones de gestión de claves y de secretos.

Cancelar la suscripción de una instancia de KMS

KMS admite la cancelación de suscripciones con reembolso parcial para instancias en estado Pending Enable o Enabled. No se ofrecen reembolsos totales.

1. Vaya a la página Refund, dentro de Expenses > Refunds en la consola de Alibaba Cloud.

2. En la pestaña Resources, establezca Product en Key Management Service (KMS), busque la instancia correspondiente y haga clic en Unsubscribe dentro de la columna Actions.

3. Revise la información del recurso, los términos y el monto del reembolso en la página de confirmación.

4. Seleccione las casillas de confirmación (confirme el monto del reembolso y que los datos cuentan con copia de seguridad y ya se migraron) en la parte inferior izquierda y, a continuación, haga clic en Confirm Unsubscription.

Solución de problemas

Preguntas frecuentes

• ¿Qué es un HSM gestionado por KMS?

  Es una instancia de HSM que KMS crea automáticamente cuando usted compra una instancia de gestión de claves por hardware, con base en la configuración de HSM proporcionada durante la compra.

• ¿Se puede escalar horizontalmente un clúster de HSM gestionado por KMS?

  No. Solo es posible ejecutar operaciones de copia de seguridad. El resto de las operaciones no son compatibles.

• ¿Por qué la instancia sigue mostrando "Connecting" durante la habilitación?

  Al habilitar una instancia de KMS (ya sea de gestión de claves por software o por hardware), espere unos 30 minutos y actualice la página. Cuando el estado cambie a Enabled, la instancia de KMS quedará habilitada.

• ¿Qué debo hacer si aparece "Connection failed" al habilitar una instancia de gestión de claves por hardware?

  Compruebe si las credenciales de acceso al HSM son correctas. Para más información sobre dichas credenciales, consulte Create and activate a cluster.

• ¿Qué debo hacer si obtengo el error "ZoneIds is not valid" o "vswitch_ids invalid" al habilitar una instancia de KMS mediante IAC o API?

  Este error suele ocurrir cuando los parámetros de zona o de vSwitch enviados no coinciden con las especificaciones de la instancia de KMS. A continuación se describen dos escenarios comunes y sus soluciones:

  • Escenario 1: Discrepancia en la cantidad de zonas de disponibilidad

    Este error se activa cuando compra una instancia de KMS para dos zonas, pero envía tres identificadores de zona (ZoneIds) en una pila de IAC o en una llamada a la API.

    Solución: Compruebe la cantidad de zonas que admite la especificación de su instancia. Si necesita configurar tres zonas, adquiera una especificación de instancia compatible con despliegue multizona.

  • Escenario 2: Parámetro de vSwitch incorrecto

    Este error se activa cuando envía varios valores de vswitch_ids en una llamada a la API ConnectKmsInstance de DKMS o en una configuración de terraform. La API ConnectKmsInstance solo acepta un único identificador de vSwitch.

    Solución: Modifique su configuración para enviar un solo identificador de vSwitch (vswitch_id) y vuelva a intentar la operación.