Key Management Service:Konfigurasikan kluster HSM untuk instans perangkat keras KMS

Langkah 1: Beli kluster HSM

Kluster HSM mengelompokkan instans HSM di zona berbeda dalam satu wilayah dan menyediakan ketersediaan tinggi, load balancing, serta skalabilitas horizontal untuk operasi kriptografi.

1. Masuk ke Konsol Cloud Hardware Security Module. Di bilah navigasi atas, pilih wilayah.

2. Pada tab VSMs, klik Create HSM.

3. Di halaman pembelian CloudHSM, konfigurasikan parameter pada tabel berikut, klik Buy Now, lalu selesaikan pembayaran.

   Parameter	Description
   Region	Pilih wilayah untuk instans HSM. Penting Instans HSM, VPC Anda, dan instans manajemen kunci perangkat keras KMS harus berada di wilayah yang sama.
   Crypto service type	Pilih General-purpose Server HSM GVSM.
   Deployment mode	Pilih Dual-zone Deployment.
   Cluster name	Masukkan nama dengan panjang 1 hingga 24 karakter. Nama harus dimulai dengan huruf, angka, atau karakter Tionghoa, dan boleh mengandung angka, garis bawah (_), serta tanda hubung (-).
   VPC	Pilih VPC tempat HSM berada.
   Whitelist	Pilih Yes. HSM menambahkan segmen jaringan VPC ke daftar putih kluster sehingga semua alamat IP di VPC dapat mengakses kluster HSM.
   vSwitch	Pilih dua hingga empat vSwitch di zona berbeda.
   generate_cert	Pilih Yes. HSM secara otomatis menghasilkan sertifikat untuk komunikasi terenkripsi dan menyelesaikan konfigurasi sertifikat. KMS mengambil sertifikat tersebut dan menyelesaikan konfigurasi klien secara otomatis — Anda tidak perlu mengelola proses ini. Sertifikat berlaku selama 10 tahun dan secara otomatis diputar sebelum kedaluwarsa. Penting Jangan mendaftarkan administrator UKEY untuk HSM. Jika Anda mendaftarkan administrator UKEY, rotasi sertifikat otomatis akan gagal.
   Data backup and restore	Aktifkan fitur ini untuk mencadangkan dan memulihkan data instans HSM. Setiap cadangan menyimpan data dari satu HSM. Jika HSM dilepas, citra cadangannya disimpan selama 90 hari sebelum dihapus secara otomatis. Replikasi citra lintas wilayah juga tersedia untuk disaster recovery. Untuk informasi lebih lanjut, lihat Data backup and recovery.
   Image quota	Jumlah maksimum citra cadangan. Setiap citra menyimpan satu cadangan HSM. Saat kuota tercapai, citra tertua akan ditimpa secara otomatis.
   Quantity	Nilai default adalah 2. Pertahankan nilai ini.
   Subscription period	Pilih durasi langganan. Untuk mencegah kehilangan kunci permanen akibat kedaluwarsa layanan, pilih Auto-renewal. Saat perpanjangan otomatis diaktifkan, Alibaba Cloud akan menagih akun pembayaran Anda 9 hari kalender sebelum layanan kedaluwarsa. Pastikan saldo akun pembayaran Anda mencukupi.

4. Baca Terms of Service, klik Buy Now, lalu klik Subscribe untuk menyelesaikan pembelian.

Setelah pembelian, instans HSM akan muncul di halaman VSMs. Kluster dibuat dalam waktu sekitar 5 menit.

Langkah 2: Sinkronkan data kluster

Periksa mode sinkronisasi kluster untuk menentukan apakah sinkronisasi manual diperlukan.

Kluster sinkronisasi otomatis

Data disinkronkan secara otomatis ke semua HSM dalam kluster. Tidak diperlukan tindakan tambahan.

Kluster sinkronisasi manual

Setelah membuat dan mengaktifkan kluster untuk pertama kali, sinkronkan data secara manual dari HSM utama ke HSM sekunder. Saat Anda melakukan penskalaan kluster di kemudian hari, data akan disinkronkan secara otomatis ke instans HSM baru.

1. Pada kolom Actions, klik Synchronize Cluster. Status kluster berubah menjadi Synchronizing selama proses berlangsung.

   

2. Setelah sinkronisasi selesai, periksa apakah digest HSM identik. Lihat digest di halaman produk HSM. Jika digest kedua HSM sesuai, kluster telah dikonfigurasi dengan benar. Jika berbeda, ulangi sinkronisasi. Jika digest tetap berbeda setelah diulang, hubungi kami.

   

Langkah 1: Beli dua instans HSM

1. Masuk ke Konsol Cloud Hardware Security Module. Di bilah navigasi atas, pilih wilayah.

2. Pada tab VSMs, klik Create HSM.

3. Di halaman pembelian CloudHSM, konfigurasikan parameter pada tabel berikut dan klik Buy Now.

   Parameter	Description
   Region	Pilih wilayah untuk instans HSM. Penting Instans HSM, VPC Anda, dan instans manajemen kunci perangkat keras KMS harus berada di wilayah yang sama.
   Crypto service type	Pilih GVSM.
   Deployment mode	Pilih Dual-zone deployment. Zona spesifik ditetapkan oleh HSM.
   Data backup and restore	Setiap cadangan menyimpan data dari satu HSM. Setelah mengaktifkan fitur ini, pilih jumlah citra. Untuk informasi lebih lanjut, lihat Data backup and recovery.
   Quantity	Nilai default adalah 2. Pertahankan nilai ini.
   Subscription period	Pilih durasi langganan yang sama dengan instans manajemen kunci perangkat keras KMS Anda. Catatan Pilih Auto-renewal untuk mencegah kehilangan kunci permanen jika layanan kedaluwarsa tanpa diperpanjang. Saat perpanjangan otomatis diaktifkan, Alibaba Cloud akan mendebet biaya dari akun pembayaran Anda sembilan hari kalender sebelum layanan kedaluwarsa.

4. Baca Terms of Service, klik Buy Now, lalu klik Pay untuk menyelesaikan pembelian.

Langkah 2: Aktifkan instans HSM

Aktifkan hanya HSM utama. HSM sekunder tidak perlu diaktifkan secara terpisah.

1. Buka halaman VSMs di Konsol Cloud Hardware Security Module. Di bilah navigasi atas, pilih wilayah.

2. Aktifkan HSM utama. Di kotak dialog HSM Instance Configuration, konfigurasikan parameter pada tabel berikut dan klik OK. Status instans HSM berubah menjadi Enabled.

   Parameter	Description
   VPC ID	Pilih VPC tempat Anda ingin menyambungkan instans HSM. VPC harus sesuai dengan VPC instans manajemen kunci perangkat keras KMS.
   VPC subnet	Pilih subnet VPC (vSwitch) tempat instans HSM berada.
   Private IP address	Tetapkan alamat IP pribadi dalam Blok CIDR subnet VPC yang dipilih. Penting Jangan gunakan alamat IP yang berakhiran 253, 254, atau 255 — alamat ini dicadangkan oleh sistem.
   Configure HSM whitelist	Biarkan kosong. Daftar putih kluster memiliki prioritas lebih tinggi daripada daftar putih HSM individual, sehingga Anda akan mengonfigurasi daftar putih saat membuat kluster.

Langkah 3: Buat dan aktifkan kluster

Kluster HSM mengelompokkan instans HSM di zona berbeda dalam satu wilayah dan menyediakan ketersediaan tinggi, load balancing, serta skalabilitas horizontal untuk operasi kriptografi.

Gunakan HSM utama untuk membuat kluster, lalu tambahkan HSM sekunder.

1. Buka halaman VSMs di Konsol Cloud Hardware Security Module. Di bilah navigasi atas, pilih wilayah.

2. Temukan instans HSM utama dan klik Create Cluster di kolom Actions.

3. Di panel Create and Activate Cluster, lengkapi ①Create Cluster dan klik Next.

   Configuration item	Description
   Cluster name	Masukkan nama unik hingga 24 karakter.
   Configure whitelist	Masukkan alamat IP dan Blok CIDR yang diizinkan mengakses kluster. Gunakan satu entri per baris, maksimal 10 entri. Sertakan hal berikut: Blok CIDR vSwitch tempat instans HSM berada (misalnya, 172.16.1.0/24 dan 172.16.2.0/24), alamat IP pribadi instans ECS, dan Blok CIDR vSwitch tempat instans KMS disambungkan. Penting Daftar putih kluster menggantikan daftar putih HSM individual. Jangan masukkan 0.0.0.0/0 — jika Anda perlu mengizinkan semua alamat IP, biarkan daftar putih kosong.
   Specify vSwitches	Pilih vSwitch tempat instans HSM sekunder disambungkan.

4. Di panel Create and Activate Cluster, lengkapi ②Activate Cluster. a. Impor sertifikat kluster Download command (langkah 1):

   1. Di bagian Upload Cluster Certificate, klik Cluster CSR Certificate untuk mengunduh file permintaan penandatanganan sertifikat (CSR). Unggah ke instans ECS dan simpan sebagai cluster.csr.

   2. Hasilkan kunci privat dengan passphrase: ``bash openssl genrsa -aes256 -out issuerCA.key 2048 ``

   3. Buat Sertifikat tanda tangan sendiri: ``bash openssl req -new -x509 -days 3652 -key issuerCA.key -out issuerCA.crt ``

   4. Tandatangani CSR kluster menggunakan cluster.csr, issuerCA.key, dan issuerCA.crt. Sertifikat kluster yang ditandatangani disimpan sebagai cluster.crt: ``bash openssl x509 -req -in cluster.csr -days 3652 -CA issuerCA.crt -CAkey issuerCA.key -set_serial 01 -out cluster.crt ``

   5. Kembali ke konsol CloudHSM, impor sertifikat, lalu klik Submit:

      • Di Enter the issuer certificate in the PEM format, tempel konten issuerCA.crt.

      • Di Enter the issued cluster certificate in the PEM format, tempel konten cluster.crt.

   b. Inisialisasi instans HSM utama

   Step	Description
   1. Download the HSM management tool	Penting Tool manajemen HSM hanya berjalan di Linux. Unduh dengan salah satu metode berikut: langsung dari tautan ini, dengan menjalankan perintah di bawah pada instans ECS yang memiliki akses internet, dengan mengklik spesifikasi instans di halaman VSMs lalu mengklik , atau dengan mengklik Download HSM Management Tool di halaman Activate Cluster.
   2. Install the HSM management tool	Jalankan perintah berikut untuk menginstal tool ke /opt/hsm:
   3. Modify the client configuration file	Di /opt/hsm/etc/hsm_mgmt_tool.cfg, atur name dan hostname ke alamat IP pribadi HSM utama, dan atur owner_cert_path ke path issuerCA.crt.
   4. Log on to the master HSM and view the user list	Jalankan tool dan daftar pengguna untuk mengonfirmasi status awal.
   5. Change the PRECO user to a CO user	Masuk sebagai pengguna Pre-Crypto Officer (PRECO) dan ubah kata sandi. Mengubah kata sandi mengonversi pengguna PRECO menjadi pengguna Crypto Officer (CO).
   6. Create a Crypto User (CU)	Peringatan Buat Crypto User (CU) sebelum menambahkan HSM sekunder. Jika tidak, CU tidak akan disinkronkan ke HSM sekunder secara otomatis. Untuk keamanan, instans manajemen kunci perangkat keras KMS mengakses kluster HSM sebagai pengguna CU bernama kmsuser. Ingat kata sandi awal; Anda akan membutuhkannya saat mengaktifkan instans manajemen kunci perangkat keras KMS.
   7. Verify the master HSM status	Kembali ke konsol CloudHSM. Di halaman Activate Cluster, klik ikon refresh untuk memperbarui status HSM, lalu klik Next.

   wget -O hsm-client-v2.03.15.10-1.x86_64.rpm 'https://yundun-hsm4.oss-ap-southeast-1.aliyuncs.com/hsm-client-v2.03.15.10-1.x86_64.rpm'

   Perintah instalasi (Langkah 2):

   sudo yum install -y hsm-client-v2.03.15.10-1.x86_64.rpm

   Contoh file konfigurasi (langkah 3):

   {
   	"servers": [{
   		"name": "172.16.XX.XX",
   		"hostname": "172.16.XX.XX",
   		"port": 2225,
   		"certificate": "/opt/hsm/etc/client.crt",
   		"pkey": "/opt/hsm/etc/client.key",
   		"CAfile": "",
   		"CApath": "/opt/hsm/etc/certs",
   		"ssl_ciphers": "",
   		"server_ssl": "yes",
   		"enable": "yes",
   		"owner_cert_path": "<issuerCA.crt file path>"
   	}],
   	"scard": {
   		"enable": "no",
   		"port": 2225,
   		"ssl": "no",
   		"ssl_ciphers": "",
   		"certificate": "cert-sc",
   		"pkey": "pkey-sc",
   	}
   }

   Masuk dan daftar pengguna (langkah 4):

   /opt/hsm/bin/hsm_mgmt_tool /opt/hsm/etc/hsm_mgmt_tool.cfg

   cloudmgmt>listUsers
   Users on server 0(172.16.XX.XX):
   Number of users found:2
   
       User Id            User Type          User Name                     MofnPubKey       LoginFailureCnt            2FA
            1             PRECO          admin                                       NO               0                     NO
            2             AU             app_user                                    NO               0                     NO

   Konversi PRECO ke CO (langkah 5): Masuk sebagai pengguna PRECO:

   server0>loginHSM PRECO admin password
   loginHSM success

   Ubah kata sandi untuk mengonversi PRECO ke CO:

   cloudmgmt>changePswd PRECO admin <NewPassword>
   
   *************************CAUTION********************************
   This is a CRITICAL operation, should be done on all nodes in the
   cluster. Cav server does NOT synchronize these changes with the
   nodes on which this operation is not executed or failed, please
   ensure this operation is executed on all nodes in the cluster.
   ****************************************************************
   
   Do you want to continue(y/n)?y
   Changing password for admin(PRECO) on 1 nodes

   Verifikasi konversi:

   cloudmgmt>listUsers
   Users on server 0(172.16.XX.XX):
   Number of users found:2
   
       User Id            User Type          User Name                     MofnPubKey       LoginFailureCnt            2FA
            1             CO             admin                                       NO               0                     NO
            2             AU             app_user                                    NO               0                     NO

   Buat kmsuser (langkah 6):

   createUser CU kmsuser <enter password>

   Verifikasi bahwa pengguna CU telah dibuat:

   cloudmgmt>listUsers
   Users on server 0(172.16.XX.XX):
   Number of users found:3
   
       User Id         User Type       User Name                  MofnPubKey    LoginFailureCnt         2FA
            1          CO          admin                                    NO               0               NO
            2          AU          app_user                                 NO               0               NO
            3          CU          kmsuser                                  NO               0               NO

   Keluar dari tool manajemen:

   cloudmgmt>quit
   disconnecting from servers, please wait...

5. Di halaman ③Add HSM, tambahkan HSM sekunder ke kluster sesuai petunjuk dan klik Complete. Setelah menambahkan HSM sekunder, kluster secara otomatis menyinkronkan data kunci utama — termasuk kmsuser — ke HSM sekunder. Periksa apakah informasi digest kedua HSM dalam kluster identik. Jika digest berbeda, hubungi kami.

   Jika instans HSM memiliki status Initialized, instans tersebut tidak dapat ditambahkan ke kluster. Dalam kasus ini, hubungi kami.