Tous les produits
Search

Ce produit

    Key Management Service:Gestion des sauvegardes KMS

    Centre de documentation

    Key Management Service:Gestion des sauvegardes KMS

    Dernière mise à jour :Aug 27, 2026

    La gestion des sauvegardes KMS protège vos clés et secrets contre les suppressions accidentelles et les scénarios de sinistre, vous aidant ainsi à respecter les exigences de conservation réglementaires et à minimiser le temps de reprise. Cette rubrique explique comment activer les sauvegardes automatiques et manuelles, ainsi que la procédure pour restaurer, étendre, réinitialiser et télécharger les données de sauvegarde.

    Périmètre

    Types d'instances pris en charge

    Les instances de gestion logicielle des clés et les instances de gestion matérielle des clés prennent toutes deux en charge la sauvegarde. Pour plus d'informations, consultez la section Gestion des clés.

    • Instances de gestion logicielle des clés : elles permettent la sauvegarde des métadonnées de clé, du matériel de clé et des données secrètes.

    • Instances de gestion matérielle des clés :

      • Périmètre de la sauvegarde : seules les métadonnées des clés matérielles sont sauvegardées. Le matériel de clé n'est pas inclus ; il est sauvegardé par le cluster HSM associé. Pour plus d'informations, consultez les sections Sauvegarde et restauration des données.

        Important

        Pour protéger intégralement les données de clé dans une instance matérielle, vous devez activer à la fois la sauvegarde KMS et la sauvegarde HSM.

      • Version d'image requise : les instances de gestion matérielle des clés nécessitent une version d'image 3.9.1 ou ultérieure pour utiliser la fonctionnalité de sauvegarde. Pour effectuer la mise à niveau, consultez la section Mise à niveau de la version d'image d'une instance KMS.

    Portée cible de la restauration

    • Compte unique : restaurez les données vers n'importe quelle instance de gestion logicielle des clés au sein de votre compte.

    • Partage multi-comptes : seules les opérations de sauvegarde et de restauration peuvent être effectuées par le propriétaire de la ressource.

      • Ressources créées par le propriétaire de la ressource : elles peuvent être restaurées vers n'importe quelle instance de gestion logicielle des clés appartenant au propriétaire de la ressource.

      • Ressources créées par un consommateur de ressources : elles ne peuvent être restaurées que vers l'instance KMS partagée d'origine. Après la restauration, les deux parties peuvent utiliser la ressource.

        Remarque

        La restauration n'est pas prise en charge après la résiliation de la relation de partage.

    • Instances de gestion matérielle des clés : la restauration des données vers l'instance d'origine n'est actuellement pas prise en charge. Les données ne peuvent être restaurées que vers une nouvelle instance.

    Cas d'utilisation

    • Récupérer une instance de gestion logicielle des clés ou une instance de gestion matérielle des clés après sa libération.

    • Restaurer des clés ou des secrets supprimés accidentellement.

    • Copier des clés ou des secrets vers d'autres régions afin d'assurer la reprise après sinistre ou de réduire la latence lorsque votre activité s'étend sur plusieurs régions.

    Fonctionnalités

    Chaque sauvegarde permet de sauvegarder les données d'une seule instance KMS. KMS propose deux modes de sauvegarde : la sauvegarde automatique et la sauvegarde manuelle.

    Élément

    Description

    Sauvegarde automatique

    Sauvegarde manuelle

    Sauvegarde par défaut

    Sauvegarde achetée

    Coût

    Indique si des frais supplémentaires s'appliquent.

    Gratuit.

    Gratuit.

    Payant.

    Les frais dépendent de la durée d'achat et du nombre configuré de jours consultables.

    Politique de suppression des sauvegardes

    Moment par défaut auquel les données de sauvegarde sont supprimées.

    Le cycle de vie de la sauvegarde dépend de l'instance KMS associée. Les données de sauvegarde sont supprimées 90 jours après la libération de l'instance KMS.

    La suppression manuelle des données de sauvegarde n'est pas prise en charge.

    Reste valide indéfiniment. Prend en charge la suppression manuelle via l'opération de réinitialisation.

    Le cycle de vie de la sauvegarde dépend de la durée d'achat. Les sauvegardes sont libérées et supprimées 15 jours après leur expiration.

    La suppression manuelle via l'opération de réinitialisation est également prise en charge.

    Important

    Aucune opération n'est prise en charge après l'expiration de la sauvegarde. Toutefois, vous pouvez renouveler une sauvegarde expirée pour la réactiver et l'utiliser avant qu'elle ne soit libérée. Les frais de renouvellement sont identiques à ceux de l'achat d'une nouvelle sauvegarde de même spécification.

    Jours consultables

    Nombre de jours de données de sauvegarde que vous pouvez consulter.

    Par exemple, si vous définissez les jours consultables à 50 pour une sauvegarde achetée et que les données de sauvegarde datent de 80 jours, seuls les 50 jours les plus récents de données de sauvegarde sont visibles. Pour afficher les données antérieures, vous devez augmenter le nombre de jours consultables.

    Remarque

    Configurez le nombre de jours consultables en fonction de votre calendrier de rotation des clés et de vos exigences de reprise après sinistre.

    90 jours. Ne peut pas être étendu.

    7 jours. Ne peut pas être étendu.

    Sélectionnez entre 7 et 600 jours lors de l'achat.

    Vous pouvez également augmenter le nombre de jours consultables après l'achat, mais la réduction n'est pas prise en charge.

    Planification de la sauvegarde

    Heure de la journée à laquelle les sauvegardes sont effectuées.

    Une sauvegarde complète est effectuée lors de la première exécution. Ensuite, une sauvegarde complète s'exécute quotidiennement à 00:00, et des sauvegardes incrémentielles s'exécutent toutes les 5 minutes après chaque achèvement de sauvegarde complète.

    Type de sauvegarde

    Distingue les sources de sauvegarde pour une identification rapide.

    System Created

    Default

    Paid

    Sauvegarder des données

    Avant de commencer

    L'instance cible doit remplir les conditions suivantes avant que vous puissiez restaurer une sauvegarde.

    • L'instance cible dispose d'un quota suffisant pour les clés ou les secrets.

    • Aucune clé ni aucun secret portant le même nom n'existe dans la région cible. Pour écraser les données lors de la restauration, supprimez d'abord la clé ou le secret existant dans la région cible.

    • Lors de la restauration d'un secret, la clé utilisée pour chiffrer ce secret doit déjà exister dans l'instance cible.

    Sauvegarde automatique

    Après avoir activé une instance de gestion logicielle des clés ou une instance de gestion matérielle des clés, KMS crée automatiquement une sauvegarde pour cette instance. Pour plus d'informations sur l'activation d'une instance, consultez la section Achat et activation d'une instance KMS.

    Une fois l'instance activée, KMS génère automatiquement une sauvegarde. Consultez-la sur la page Backups. Les sauvegardes créées par KMS ont le champ Backup Type défini sur System Created et le champ Backup Object correspondant à votre instance de gestion des clés.

    Sauvegarde manuelle

    1. Connectez-vous à la console KMS.

    2. (Facultatif) Achetez une sauvegarde.

      Remarque

      Ignorez cette étape si vous utilisez la sauvegarde par défaut.

      1. Sur la page Backups, cliquez sur Create Backup, configurez les paramètres selon vos besoins, puis cliquez sur Buy Now.

        Paramètre

        Description

        Key Management Type

        Sélectionnez Key Value-Added Service.

        Key Value-Added Service

        Sélectionnez Instance Backup.

        Région

        Doit correspondre à la même région que l'instance de gestion logicielle des clés que vous souhaitez sauvegarder.

        Viewable Days

        Nombre de jours de données de sauvegarde que vous pouvez consulter.

        Quantité

        Nombre de sauvegardes à acheter.

        Remarque

        Chaque sauvegarde permet de sauvegarder les données d'une seule instance KMS.

        Durée

        Durée d'achat de la sauvegarde.

      2. Sur la page Confirm Order, examinez le contrat de service et effectuez le paiement.

    3. Activez la sauvegarde.

      Important

      Une sauvegarde complète est effectuée lors de la première activation d'une sauvegarde. Ensuite, une sauvegarde complète s'exécute quotidiennement à 00:00, et des sauvegardes incrémentielles s'exécutent toutes les 5 minutes après chaque achèvement de sauvegarde complète.

      1. Sur la page Backups, localisez la sauvegarde cible et cliquez sur Enable dans la colonne Actions.

      2. Dans la boîte de dialogue Enable Backup, configurez les paramètres, puis cliquez sur OK.

        Paramètre

        Description

        Backup Type

        Sélectionnez Software Key Management ou Hardware Key Management. Lorsque vous changez de type, le champ de cible de sauvegarde est réinitialisé.

        Backup Object

        Sélectionnez l'instance de gestion des clés à sauvegarder. La liste affiche uniquement les instances activées dont les spécifications correspondent aux spécifications de données de sauvegarde sélectionnées.

        Backup Data

        Valeur par défaut : Keys et Secrets. Ce paramètre ne peut pas être modifié.

        Backup Alias

        Alias personnalisé pour la sauvegarde.

    4. (Facultatif) Consultez les données de sauvegarde.

      Dans la colonne Actions de la sauvegarde cible, cliquez sur View Data, sélectionnez une date, puis consultez les données de sauvegarde de ce jour.

      Type de données

      Description

      Fully Backed up Keys

      Toutes les clés sauvegardées à 00:00 le jour sélectionné.

      Incrementally Backed up Keys

      Clés nouvellement ajoutées le jour sélectionné.

      Rotated Keys

      Clés ayant fait l'objet d'une rotation le jour sélectionné.

      Fully Backed up Secrets

      Tous les secrets sauvegardés à 00:00 le jour sélectionné.

      Incrementally Backed up Secrets

      Secrets nouvellement ajoutés le jour sélectionné.

      Rotated Secrets

      Secrets ayant fait l'objet d'une rotation le jour sélectionné.

    Restaurer des données

    Restaurer une instance logicielle

    1. Connectez-vous à la console KMS.

    2. Dans la colonne Actions de la sauvegarde cible, cliquez sur Extend Queryable Range pour sélectionner la date à laquelle vous souhaitez restaurer les données.

      Important

      Pour les sauvegardes achetées, si les données à restaurer se situent en dehors de la plage actuelle de jours consultables, étendez d'abord le nombre de jours consultables avant de procéder à la restauration. Vous ne pouvez pas restaurer des données antérieures à l'activation de la sauvegarde, même en augmentant le nombre de jours consultables.

      Par exemple : sauvegarde activée le 1er mai 2024 avec 10 jours consultables. Pour restaurer des données du 5 mai le 20 mai 2024, étendez la période consultable à 16 jours.

      Data Type

      Procedure

      Keys

      1. Sélectionnez Data Type (par exemple, Fully Backed up Keys), localisez la clé cible et cliquez sur Upload Backup dans la colonne Actions.

      2. Dans la boîte de dialogue Upload Backup, sélectionnez la région cible et les informations de l'instance, puis cliquez sur OK.

      Secrets

      1. Restaurez la clé qui chiffre le secret.

        Remarque

        L'instance cible doit disposer de la clé qui chiffre le secret. Si vous êtes certain que la clé existe déjà dans l'instance cible, ignorez cette étape et passez directement à la restauration du secret.

        1. Sélectionnez Data Type (par exemple, Fully Backed up Keys), localisez la clé associée au secret et cliquez sur Upload Backup dans la colonne Actions.

        2. Dans la boîte de dialogue Upload Backup, sélectionnez la région cible et les informations de l'instance, puis cliquez sur OK.

      2. Restaurez le secret.

        1. Sélectionnez Data Type (par exemple, Fully Backed up Secrets), localisez le secret cible et cliquez sur Upload Backup dans la colonne Actions.

        2. Dans la boîte de dialogue Upload Backup, sélectionnez la région cible et les informations de l'instance, puis cliquez sur OK.

    Restaurer une instance matérielle

    Remarques relatives aux opérations

    • La restauration des données vers l'instance d'origine n'est pas prise en charge actuellement. Les données ne peuvent être restaurées que vers une nouvelle instance.

    • Afin de garantir la cohérence finale des données, définissez l'heure de sauvegarde du HSM un jour après l'heure de sauvegarde de KMS.

    Étape 1 : Sauvegarder les données du HSM

    Si vous avez activé la sauvegarde et la récupération des données pour l'instance HSM associée lors de l'achat de l'instance matérielle, ignorez cette étape.

    1. Sur la page VSMs, recherchez le HSM cible et cliquez sur Upgrade.

      Remarque

      Si l'option Upgrade n'est pas disponible, cela signifie que la sauvegarde et la récupération sont probablement déjà activées pour le HSM.

    2. Sur la page de modification de la configuration, activez la sauvegarde et la récupération des données, puis sélectionnez le nombre d'images miroir. Consultez le contrat de service, cochez la case appropriée, puis cliquez sur Buy Now pour finaliser l'achat.

      Important

      Maintenez le nombre d'images miroir cohérent avec le paramètre Viewable Days configuré pour la sauvegarde de l'instance KMS. Dans le cas contraire, la sauvegarde risque d'être incomplète. Par exemple, si le nombre de jours consultables est défini sur 30, vous devez acheter 30 images miroir.

    3. Une fois l'achat effectué avec succès, des sauvegardes sont automatiquement créées selon la planification définie. Vous pouvez consulter les noms des sauvegardes générées sur la page Backups.

    Étape 2 : Créer une instance de gestion des clés matérielles et restaurer les données

    1. Restaurer les données : une fois les données de sauvegarde du HSM générées, suivez les instructions ci-dessous pour procéder à la restauration.

      1. Préparer l'instance HSM :

        1. Achetez une instance HSM dans la même région que celle où vous souhaitez restaurer l'instance de gestion des clés matérielles.

        2. La gestion des sauvegardes prend uniquement en charge les HSM déployés en mode cluster. Lors de l'achat, vous devez sélectionner au moins deux HSM répartis sur deux zones de disponibilité distinctes. Pour plus d'informations, consultez la rubrique Acheter une instance HSM.

          Avertissement

          Après l'achat, n'activez pas l'instance HSM. Si le HSM cible est déjà utilisé, contactez le support technique d'Alibaba Cloud afin de désactiver et de réinitialiser l'instance HSM au préalable.

      2. Restaurer les données du HSM :

        1. Connectez-vous à la console Encryption Service Management.

        2. Sur la page Backups, sélectionnez les données de sauvegarde du HSM associé à l'instance de gestion des clés matérielles (le champ Backup Type affiche Auto Create).

          Remarque

          Sélectionnez la sauvegarde la plus récente.

        3. Cliquez sur View Image dans la colonne Actions de la sauvegarde cible.

        4. Sur la page des détails de la sauvegarde d'image, cliquez sur Upload Backup dans la colonne Actions de l'image cible.

        5. Dans la boîte de dialogue Upload Backup, sélectionnez Restore Instance (l'instance HSM achetée à l'étape précédente), puis cliquez sur OK.

      3. Acheter et activer l'instance de gestion des clés matérielles :

        1. Connectez-vous à la console KMS.

        2. Sous l'onglet Hardware Key Management, cliquez sur Create Instance, sélectionnez la spécification souhaitée pour l'instance de gestion des clés matérielles, puis cliquez sur Buy Now.

        3. Revenez sous l'onglet Hardware Key Management, repérez l'instance de gestion des clés matérielles nouvellement achetée et cliquez sur Enable dans la colonne Actions.

        4. Dans le panneau Connect to HSM, section Select Cluster, sélectionnez l'instance HSM achetée à l'étape 1, puis cliquez sur Connect to HSM.

      4. Restaurer les données de l'instance de gestion des clés matérielles :

        1. Connectez-vous à la console KMS.

        2. Dans la colonne Actions de la sauvegarde cible, cliquez sur Extend Queryable Range pour sélectionner la date à laquelle vous souhaitez restaurer les données.

          Important

          Pour les sauvegardes achetées, si les données à restaurer se situent en dehors de la plage actuelle de jours consultables, étendez d'abord le nombre de jours consultables avant de procéder à la restauration. Vous ne pouvez pas restaurer des données antérieures à l'activation de la sauvegarde, même en augmentant le nombre de jours consultables.

          Par exemple : sauvegarde activée le 1er mai 2024 avec 10 jours consultables. Pour restaurer des données du 5 mai le 20 mai 2024, étendez la période consultable à 16 jours.

          Data Type

          Procedure

          Keys

          1. Sélectionnez Data Type (par exemple, Fully Backed up Keys), localisez la clé cible et cliquez sur Upload Backup dans la colonne Actions.

          2. Dans la boîte de dialogue Upload Backup, sélectionnez la région cible et les informations de l'instance, puis cliquez sur OK.

          Secrets

          1. Restaurez la clé qui chiffre le secret.

            Remarque

            L'instance cible doit disposer de la clé qui chiffre le secret. Si vous êtes certain que la clé existe déjà dans l'instance cible, ignorez cette étape et passez directement à la restauration du secret.

            1. Sélectionnez Data Type (par exemple, Fully Backed up Keys), localisez la clé associée au secret et cliquez sur Upload Backup dans la colonne Actions.

            2. Dans la boîte de dialogue Upload Backup, sélectionnez la région cible et les informations de l'instance, puis cliquez sur OK.

          2. Restaurez le secret.

            1. Sélectionnez Data Type (par exemple, Fully Backed up Secrets), localisez le secret cible et cliquez sur Upload Backup dans la colonne Actions.

            2. Dans la boîte de dialogue Upload Backup, sélectionnez la région cible et les informations de l'instance, puis cliquez sur OK.

    Autres opérations

    Étendre le nombre de jours consultables

    Important

    Seules les sauvegardes achetées permettent d'étendre le nombre de jours consultables. Seule une mise à niveau (et non une rétrogradation) est prise en charge.

    1. Connectez-vous à la console KMS.

    2. Dans la colonne Actions de la sauvegarde cible, cliquez sur View Data.

    3. Sur la page des détails de la sauvegarde, cliquez sur Upgrade, sélectionnez le nombre supplémentaire de jours consultables souhaité, cliquez sur Buy Now, puis effectuez le paiement.

    Réinitialiser une sauvegarde

    Seules les sauvegardes par défaut et les sauvegardes achetées prennent en charge l'opération de réinitialisation. La réinitialisation supprime toutes les données sauvegardées et dissocie la sauvegarde de l'instance logicielle de gestion des clés.

    Avertissement

    La réinitialisation entraîne la suppression définitive de toutes les données sauvegardées par cette sauvegarde. Procédez avec prudence.

    1. Connectez-vous à la console KMS.

    2. Dans la colonne Actions de la sauvegarde cible, cliquez sur Reset.

    3. Lisez attentivement les messages affichés dans la boîte de dialogue Reset, puis cliquez sur OK.

      Après la réinitialisation, l'état de la sauvegarde passe à Disabled. Vous pouvez ensuite la lier à nouveau à une instance logicielle de gestion des clés.

    Renouveler une sauvegarde

    Seules les sauvegardes achetées peuvent être renouvelées.

    1. Connectez-vous à la console KMS.

    2. Dans la colonne Actions de la sauvegarde cible, cliquez sur Renew.

    3. Sur la page de renouvellement, sélectionnez la durée d'achat souhaitée, consultez le contrat de service, puis effectuez le paiement.

    Télécharger les fichiers de données de sauvegarde

    Important

    Après avoir téléchargé le fichier de données de sauvegarde, conservez-le en lieu sûr. Ce fichier ne peut servir qu'à restaurer des données via la console KMS.

    1. Connectez-vous à la console KMS.

    2. Dans la colonne Actions de la sauvegarde cible, cliquez sur Download.

    3. Dans la boîte de dialogue Download, sélectionnez la Backup Date, puis cliquez sur OK.

      Remarque

      Si les données de sauvegarde se trouvent en dehors de la plage Viewable Days, vous devez d'abord étendre le nombre de jours consultables avant de pouvoir effectuer le téléchargement.

    4. Enregistrez les données de sauvegarde.

      • Cliquez sur l'icône Icône de copieCopy icon située à côté de Decryption Key pour copier la clé, puis enregistrez-la localement.

      • Cliquez sur Download à côté de Backup Data pour télécharger le fichier de données de sauvegarde et conservez-le en sécurité.

      Important

      La clé de chiffrement des données sert à déchiffrer le fichier de données de sauvegarde téléchargé. KMS ne stocke ni la Data Encryption Key ni le Backup Data File. Conservez-les précieusement afin d'éviter toute fuite de données.

    Importer des fichiers de données de sauvegarde

    Important

    Si vous importez des fichiers de données de sauvegarde depuis l'étranger, assurez-vous de respecter les lois et réglementations applicables en matière d'exportation de données.

    1. Connectez-vous à la console KMS.

    2. Sur la page Backups, cliquez sur Import Backup Data.

    3. Dans la boîte de dialogue Import Backup Data, saisissez la Decryption Key et le Backup Name, puis cliquez sur OK.

    4. Dans la boîte de dialogue de sélection de fichier, choisissez le fichier de données de sauvegarde et cliquez sur Open.

      Une fois l'importation réussie, vous pouvez visualiser les données importées sur la page Backups. Le champ Backup Type affiche alors Upload.

    Afficher les informations relatives au HSM associé

    Remarque

    Ces informations vous aident à identifier le cluster HSM devant faire l'objet d'une sauvegarde. Définissez l'heure de sauvegarde du HSM un jour après celle de KMS afin de garantir la cohérence des données.

    1. Connectez-vous à la console KMS.

    2. Sur la page Backups, cliquez sur Extend Queryable Range dans la colonne Actions de la sauvegarde cible.

    3. Dans le panneau d'informations de base de la page des détails de la sauvegarde, vous pouvez consulter les champs suivants liés au HSM :

      • Cluster ID : identifiant du cluster HSM associé à l'instance matérielle.

      • Primary HSM : identifiant du HSM principal au sein du cluster HSM.

    FAQ

    • Comment consulter le nombre de jours consultables d'une sauvegarde ?

      Sur la page Backups, consultez le champ Queryable Range.

    • Que faire si la restauration échoue en raison d'un quota insuffisant ?

      Si la restauration échoue parce que l'instance cible a atteint sa limite de quota pour les clés ou les secrets, supprimez les clés ou secrets inutilisés de l'instance cible pour libérer de l'espace, ou bien mettez à niveau l'instance cible vers une spécification supérieure. Une fois le problème de quota résolu, relancez la restauration.

    • Que faire en cas de conflit de nom lors de la restauration ?

      La restauration exige qu'aucune clé ni aucun secret portant le même nom n'existe déjà dans l'instance cible. En cas de conflit, supprimez d'abord la ressource conflictuelle dans l'instance cible, puis réessayez. Pour préserver la ressource existante, renommez-la avant de la supprimer, ou effectuez la restauration vers une autre instance cible.

    • Comment gérer une sauvegarde expirée ?

      Pour les sauvegardes achetées, aucune opération n'est possible après l'expiration. Si la sauvegarde n'a pas encore été supprimée (dans les 15 jours suivant l'expiration), vous pouvez la renouveler pour la réactiver. Les frais de renouvellement sont identiques à ceux de l'achat d'une nouvelle sauvegarde de même spécification. Les sauvegardes automatiques ne peuvent pas être renouvelées ; leur cycle de vie dépend de l'instance KMS associée.