Key Management Service:Achat et activation d'une instance KMS

Purchased without HSM configured

1. Accédez à la console CloudHSM pour configurer un cluster HSM pour l'instance KMS. Configurez un cluster HSM.

   Avertissement

   Pour ajouter ultérieurement des HSM au cluster, contactez le support technique d'Alibaba Cloud afin de passer la méthode de synchronisation en mode automatique et d'éviter les échecs.

2. Connectez-vous à la console Key Management Service. Dans la barre de navigation supérieure, sélectionnez une région. Dans le volet de navigation de gauche, choisissez Resource > Instances.

3. Cliquez sur l'onglet Hardware Key Management, recherchez l'instance de gestion matérielle des clés cible, puis cliquez sur Enable dans la colonne Actions.

4. Dans le panneau Connect to HSM, configurez les paramètres, puis cliquez sur Connect to HSM pour spécifier le cluster HSM.

   • Instance Name : Nom personnalisé pour l'instance KMS. Le nom peut contenir des lettres, des chiffres et les caractères spéciaux suivants : _/+=.@-.

   • Select Cluster : Sélectionnez le cluster HSM que vous avez configuré dans CloudHSM.

     Remarque

     Une instance de gestion matérielle des clés ne peut être liée qu'à un seul cluster HSM.

   • Configure HSM Access Secret. :

     Chinese mainland HSM

     • Générer automatiquement les certificats : Si vous sélectionnez Automatically generate certificates lors de l'achat d'un HSM en Chine continentale, le HSM génère automatiquement les certificats requis.

     • Générer manuellement les certificats : Si la génération automatique des certificats n'a pas été configurée, vous devez configurer un certificat client (PKCS#12 avec mot de passe de protection) et un certificat de domaine de sécurité (certificat CA au format PEM pour le certificat de serveur TLS du cluster HSM). Générez des certificats et configurez l'authentification mutuelle TLS.

       • Client Protection Password : Le mot de passe de protection que vous avez défini lors de la génération du certificat client client.p12. Si vous utilisez l'outil de génération de certificats (hsm_certificate_generate), le mot de passe par défaut est 12345678.

       • Client Certificate : Un certificat PKCS#12. Cliquez sur Select File et sélectionnez le fichier client.p12 généré pour le télécharger.

       • Security Domain Certificate : Un certificat CA au format PEM. Cliquez sur Select File et sélectionnez le fichier rootca.pem généré pour le télécharger.

     International HSM

     • Générer automatiquement les certificats : Si vous sélectionnez Automatically generate certificates lors de l'achat d'un HSM en dehors de la Chine continentale, le HSM génère et déploie les certificats sur le HSM côté serveur. Vous devez uniquement configurer les certificats correspondants sur le SDK client.

     • Générer manuellement les certificats : Si la génération automatique des certificats n'a pas été configurée, configurez manuellement le certificat client. Importez un certificat de cluster GVSM (NIST FIPS).

       • Username : Le nom d'utilisateur de l'opérateur HSM. Cette valeur est fixe : kmsuser.

       • Password : Le mot de passe de l'opérateur HSM. Il s'agit du mot de passe que vous avez défini lors de la création d'un opérateur HSM (utilisateur CU).

       • Security Domain Certificate : Un certificat au format PEM. Connectez-vous à la console CloudHSM, cliquez sur l'ID de n'importe quelle instance HSM du cluster, accédez à l'onglet Instance Details et recherchez la section HSM Certificate. Cliquez sur ClusterOwnerCertificate et copiez le contenu, ou enregistrez-le sous forme de fichier PEM, puis téléchargez le fichier.

   • VPC : Cette valeur correspond par défaut à l'ID du VPC lié au HSM et ne peut pas être modifiée.

   • Configure Zone and vSwitch : Dépend du mode de déploiement. Les déploiements à double zone et multi-zones sont pris en charge. Chaque vSwitch doit disposer d'au moins quatre adresses IP disponibles.

     Les déploiements multi-zones prennent en charge jusqu'à trois zones de disponibilité.

     Remarque

     Les déploiements multi-zones offrent une haute disponibilité, une reprise après sinistre et un équilibrage de charge. Les différences de latence et de performances entre les zones sont négligeables.

   • Après la configuration, attendez que le système traite la demande. L'instance est activée lorsque son statut passe à Enabled.

     Remarque

     L'activation prend environ 30 minutes avec un quota de secrets, ou environ 10 minutes sans. Actualisez la page pour voir le statut mis à jour.

   Activer une instance de gestion externe des clés

   Prérequis

   • Exigences de configuration HSM :

     • Vous avez acheté un HSM hors cloud.

     • Vous avez configuré un proxy externe XKI Proxy. Les méthodes de connexion suivantes sont prises en charge. Pour des instructions spécifiques, contactez votre fournisseur HSM.

       Remarque

       XKI Proxy Server.

       • Connexion par réseau public : Une connexion directe est établie via Internet public.

       • Connexion par point de terminaison VPC : Créez d'abord un service de point de terminaison.

         • Les deux zones de disponibilité du service de point de terminaison doivent correspondre aux zones de disponibilité sélectionnées pour l'instance KMS.

         • Vous devez ajouter votre compte Alibaba Cloud actuel à la liste d'autorisation du service de point de terminaison.

         • Le paramètre Automatically Accept Endpoint Connections du service de point de terminaison doit être défini sur Yes.

   • Exigences de configuration PrivateZone : Si vous utilisez un compte Alibaba Cloud pour le site de Chine continentale (aliyun.com) afin d'acheter une instance KMS dans une région en dehors de la Chine continentale, ou si vous utilisez un compte Alibaba Cloud pour le site international (alibabacloud.com) afin d'acheter une instance KMS dans une région en Chine continentale, vous devez activer manuellement PrivateZone. Activez PrivateZone.

     Remarque

     • Si vous utilisez un compte Alibaba Cloud pour le site de Chine continentale (aliyun.com) afin d'acheter une instance KMS dans une région en Chine continentale, ou si vous utilisez un compte Alibaba Cloud pour le site international (alibabacloud.com) afin d'acheter une instance KMS dans une région en dehors de la Chine continentale, PrivateZone est activé automatiquement.

     • KMS prend en charge les frais de résolution DNS, donc PrivateZone ne vous facture pas.

   Procédure

   1. Connectez-vous à la console Key Management Service. Dans la barre de navigation supérieure, sélectionnez une région. Dans le volet de navigation de gauche, choisissez Resource > Resource.

   2. Cliquez sur l'onglet Instances, recherchez l'instance cible, puis cliquez sur External Key Management dans la colonne Enable.

   3. Dans le panneau Actions, configurez les paramètres, puis cliquez sur Connect to HSM pour spécifier le cluster HSM.

      Parameter	Description
      Connect to HSM	Nom personnalisé pour l'instance KMS. Le nom peut contenir des lettres, des chiffres et les caractères spéciaux suivants : _/+=.@-.
      Instance Name	Sélectionnez un VPC à lier à l'instance KMS.
      VPC	Dépend de votre mode de déploiement. Les déploiements à double zone et multi-zones (jusqu'à trois) sont pris en charge. Zone Configuration : Configurez une zone de disponibilité et un vSwitch. Assurez-vous que le vSwitch dispose d'au moins une adresse IP disponible. Zone and vSwitch : Attribuez les zones de disponibilité de manière aléatoire ou spécifiez-les manuellement. Remarque Certaines régions ne disposent que d'une seule zone de disponibilité, ce qui limite le déploiement à une zone unique. Les déploiements multi-zones offrent une haute disponibilité, une reprise après sinistre et un équilibrage de charge. Les différences de latence et de performances entre les zones sont négligeables.
      Other Zones	External Proxy Connectivity : L'instance KMS se connecte au proxy externe XKI Proxy via Internet public. Public Endpoint Connectivity : L'instance KMS se connecte au proxy externe XKI Proxy à l'aide d'un service de point de terminaison VPC.
      VPC Endpoint Service Connectivity	Ce paramètre est requis uniquement si vous définissez Domain Name of External Proxy sur External Proxy Connectivity. Saisissez le nom de domaine du proxy externe XKI Proxy.
      Public Endpoint Connectivity	Ce paramètre est requis uniquement si vous définissez Endpoint Service sur External Proxy Connectivity. Sélectionnez un service de point de terminaison. Les zones de disponibilité sélectionnées pour l'instance KMS doivent être identiques aux zones de disponibilité du service de point de terminaison.
      VPC Endpoint Service Connectivity	External Proxy Configuration : Configurez manuellement le Manual Configuration, l'External Proxy Path, l'ID AccessKey et la clé secrète AccessKey du proxy XKI. Certificate Fingerprint : Configurez les paramètres en téléchargeant un fichier de configuration.

      L'activation prend environ 30 minutes avec un quota de secrets, ou environ 10 minutes sans. Actualisez la page. L'instance est activée lorsque son statut passe à Configuration File Upload.

   Résiliation d'une instance KMS

   KMS prend en charge la résiliation avec remboursement partiel pour les instances en état Pending Enable ou Enabled. Les remboursements complets ne sont pas disponibles.

   1. Accédez à la page Refund sous Expenses > Refunds dans la console Alibaba Cloud.

   2. Sur l'onglet Resources, définissez Product sur Key Management Service (KMS), recherchez l'instance cible, puis cliquez sur Unsubscribe dans la colonne Actions.

   3. Vérifiez les informations sur la ressource, les conditions de remboursement et le montant du remboursement sur la page de confirmation.

   4. Cochez les cases de confirmation (confirmer le montant du remboursement et confirmer que les données ont été sauvegardées et migrées) en bas à gauche, puis cliquez sur Confirm Unsubscription.

   Avertissement

   La résiliation est irréversible. Assurez-vous de sauvegarder vos clés et vos secrets avant de procéder.

   Dépannage

   Dépanner les erreurs d'activation des clés logicielles

   Error message	Possible cause	Solution
   Your VSwitches don't have enough ip address create dedicate kms instance.	Nombre insuffisant d'adresses IP disponibles dans le vSwitch. L'établissement du lien de communication en réseau privé pour une instance KMS consomme une adresse IP du vSwitch. Le vSwitch actuel ne dispose d'aucune adresse IP disponible. Remarque Connectez-vous à la console VPC, cliquez sur le vSwitch cible sur la page vSwitch et consultez le nombre d'adresses IP disponibles sur la page des détails.	Sélectionnez un autre vSwitch et assurez-vous qu'il dispose d'au moins une adresse IP disponible.
   500:Internal Failure	PrivateZone n'est pas activé. KMS active généralement PrivateZone automatiquement, mais une activation manuelle est requise dans les scénarios suivants : Utiliser un compte Alibaba Cloud pour le site de Chine continentale (aliyun.com) afin d'acheter une instance de gestion logicielle des clés KMS en dehors de la Chine continentale. Utiliser un compte Alibaba Cloud pour le site international (alibabacloud.com) afin d'acheter une instance de gestion logicielle des clés KMS en Chine continentale.	Activez manuellement PrivateZone. Pour plus d'informations, consultez la section Activate Alibaba Cloud DNS PrivateZone. Remarque KMS prend en charge les frais de résolution DNS. Vous n'êtes pas facturé par PrivateZone.

   Dépanner les erreurs d'activation des clés matérielles

   Error message	Possible cause	Solution
   Your VSwitches don't have enough ip address create dedicate kms instance.	Nombre insuffisant d'adresses IP disponibles dans le vSwitch. L'établissement du lien de communication en réseau privé pour une instance KMS consomme une adresse IP du vSwitch. KMS crée 2 à 4 ENI pour la communication entre l'instance KMS et le cluster HSM. Chaque ENI occupe une adresse IP dans le vSwitch. Remarque Connectez-vous à la console VPC, cliquez sur le vSwitch cible sur la page vSwitch et consultez le nombre d'adresses IP disponibles sur la page des détails.	Sélectionnez un autre vSwitch et assurez-vous qu'il dispose d'au moins cinq adresses IP disponibles.
   500:Internal Failure	PrivateZone n'est pas activé. KMS active généralement PrivateZone automatiquement, mais une activation manuelle est requise dans les scénarios suivants : Utiliser un compte Alibaba Cloud pour le site de Chine continentale (aliyun.com) afin d'acheter une instance de gestion matérielle des clés KMS en dehors de la Chine continentale. Utiliser un compte Alibaba Cloud pour le site international (alibabacloud.com) afin d'acheter une instance de gestion matérielle des clés KMS en Chine continentale.	Activez manuellement PrivateZone. Pour plus d'informations, consultez la section Activate Alibaba Cloud DNS PrivateZone. Remarque KMS prend en charge les frais de résolution DNS. Vous n'êtes pas facturé par PrivateZone.

   FAQ

   • Qu'est-ce qu'un HSM géré par KMS ?

     Un HSM géré par KMS est une instance HSM que KMS crée automatiquement lorsque vous achetez une instance de gestion matérielle des clés, en fonction de la configuration HSM que vous fournissez lors de l'achat.

   • Puis-je étendre horizontalement un cluster HSM géré par KMS ?

     Non. Vous ne pouvez effectuer que des opérations de sauvegarde. Toutes les autres opérations ne sont pas prises en charge.

   • Pourquoi l'instance affiche-t-elle continuellement « Connecting » lors de l'activation ?

     Lors de l'activation d'une instance KMS (y compris les instances de gestion logicielle des clés et les instances de gestion matérielle des clés), attendez environ 30 minutes, puis actualisez la page. Lorsque le statut de l'instance passe à Enabled, l'instance KMS est activée.

   • Que faire si je vois « Connection failed » lors de l'activation d'une instance de gestion matérielle des clés ?

     Vérifiez si les identifiants d'accès HSM sont corrects. Pour plus d'informations sur les identifiants d'accès HSM, consultez Créer et activer un cluster.

   • Que faire si j'obtiens une erreur « ZoneIds is not valid » ou « vswitch_ids invalid » lors de l'activation d'une instance KMS via IAC ou API ?

     Cette erreur se produit généralement lorsque les paramètres de zone ou de vSwitch que vous transmettez ne correspondent pas aux spécifications de l'instance KMS. Voici deux scénarios courants et leurs solutions :

     • Scénario 1 : Incompatibilité du nombre de zones de disponibilité

       Cette erreur est déclenchée lorsque vous achetez une instance KMS à double zone, mais que vous transmettez trois ID de zone (ZoneIds) dans un appel IAC Stack ou API.

       Solution : Vérifiez le nombre de zones prises en charge par la spécification de votre instance. Si vous devez configurer trois zones, achetez une spécification d'instance prenant en charge le déploiement multi-zones.

     • Scénario 2 : Paramètre vSwitch incorrect

       Cette erreur est déclenchée lorsque vous transmettez plusieurs valeurs vswitch_ids dans un appel API DKMS ConnectKmsInstance ou une configuration Terraform. L'API ConnectKmsInstance n'accepte qu'un seul ID de vSwitch.

       Solution : Modifiez votre configuration pour ne transmettre qu'un seul ID de vSwitch (vswitch_id), puis réessayez l'opération.