Key Management Service:Clés d'accès dans une instance KMS via le réseau public

Précautions

• Quel que soit le nombre de requêtes par seconde (QPS) sélectionné lors de l'achat d'une instance KMS, le QPS pour les opérations cryptographiques via le réseau public est plafonné à 1 000. Pour plus d'informations, consultez Métriques de performance. Si votre application a des exigences élevées en matière de performances, utilisez l'accès au réseau VPC.

• Par défaut, les identifiants d'une instance KMS sont accessibles via le réseau public et depuis un VPC. Si vous accédez aux identifiants uniquement depuis le réseau interne, vous n'avez pas besoin d'activer l'accès au réseau public.

• L'accès au réseau public ne peut être activé que dans la console ; il n'est pas possible de l'activer en appelant des opérations OpenAPI.

• Dans un scénario multi-comptes où une instance KMS est partagée, seul le propriétaire de l'instance peut activer l'accès au réseau public.

• Un environnement de développement local ne peut pas se connecter directement au point de terminaison interne (point de terminaison VPC) d'une instance KMS. Si vous passez de l'accès au réseau public au point de terminaison interne pour effectuer des opérations cryptographiques depuis un environnement de développement local, établissez d'abord la connectivité réseau entre votre environnement local et le VPC qui héberge l'instance. Vous pouvez par exemple utiliser Cloud Enterprise Network (CEN) ou VPN Gateway. Dans le cas contraire, les connexions au point de terminaison interne échouent ou expirent.

Activer l'accès au réseau public

1. Connectez-vous à la console Key Management Service. Dans la barre de navigation supérieure, sélectionnez une région. Dans le volet de navigation de gauche, choisissez Resources > Instances.

2. Dans la liste des instances, cliquez sur l'ID de l'instance cible. Sur la page des détails, activez l'interrupteur Public Network Access dans la section RD Multi-Account.

   Remarque

   Si une instance KMS est partagée entre plusieurs comptes Alibaba Cloud, vous pouvez définir les permissions d'accès au réseau public pour chaque compte.

3. Sur l'onglet Basic Information de la page des détails de l'instance, repérez le Public Endpoint. Le point de terminaison s'affiche après l'activation de l'accès au réseau public et suit un format similaire à kms.cn-hangzhou.aliyuncs.com.

Étapes suivantes

Utilisez un kit de développement logiciel (SDK) Alibaba Cloud pour effectuer des opérations cryptographiques via le réseau public. Pour plus d'informations, consultez SDK Alibaba Cloud.

FAQ

Si vous n'avez pas configuré de point d'accès applicatif (AAP), comment accéder à une instance KMS via un point de terminaison VPC et configurer le certificat ?

Scénarios : Vous accédez aux clés via la passerelle dédiée interne d'une instance KMS et n'avez pas configuré de point d'accès applicatif (AAP). Dans ce cas, vous devez configurer vous-même la confiance du certificat avant de pouvoir effectuer des opérations cryptographiques.

1. Connectez-vous à la console Key Management Service et accédez à la page des détails de l'instance cible. Sur l'onglet Basic Information, repérez Instance CA Certificate et cliquez sur Download pour télécharger le fichier de certificat. Le nom du fichier utilise le format PrivateKmsCA_{InstanceID}.pem, où {InstanceID} correspond à l'ID de votre instance KMS.

2. Ouvrez le fichier de certificat téléchargé et copiez son contenu intégral, y compris la ligne d'en-tête -----BEGIN CERTIFICATE----- et la ligne de pied de page -----END CERTIFICATE-----. Transmettez le contenu sous forme de chaîne à l'élément de configuration de confiance du certificat CA du kit de développement logiciel (SDK) Alibaba Cloud. Ainsi, le SDK fera confiance au certificat TLS du point de terminaison VPC de l'instance KMS.

3. Définissez le point de terminaison sur le VPC Endpoint to Access Instance de l'instance, que vous pouvez consulter sur l'onglet Basic Information de la page des détails de l'instance. Ce point de terminaison diffère du point de terminaison public décrit précédemment dans cette rubrique, dont le format est similaire à kms.cn-hangzhou.aliyuncs.com.