Migrasi instans KMS 1.0 - Key Management Service - Alibaba Cloud Documentation Center

Jika Anda menggunakan Alibaba Cloud Key Management Service (KMS) 1.0, Anda dapat memigrasikan resource Anda ke instans manajemen kunci perangkat lunak atau instans manajemen kunci perangkat keras KMS 3.0 di wilayah yang sama untuk meningkatkan performa dan pengalaman pengguna. Setelah migrasi, kunci dan rahasia Anda akan disimpan di instans KMS tersebut. Kunci bersifat unik dalam satu wilayah, sedangkan rahasia bersifat unik dalam satu Akun Alibaba Cloud dan instans KMS di wilayah tersebut. Topik ini menjelaskan cara memigrasikan resource dari KMS 1.0 ke instans KMS 3.0.

Mengapa melakukan migrasi

Untuk memberikan pengalaman produk yang lebih baik, Alibaba Cloud berencana memulai fase End of Support and Fixes (EOSF) untuk KMS 1.0 mulai pukul 00:00:00 (GMT+8) pada 30 Maret 2025. KMS 1.0 kemudian akan memasuki fase End of Support (EOS) pada pukul 00:00:00 (GMT+8) tanggal 30 September 2025. Untuk mencegah gangguan operasional, segera migrasikan resource KMS 1.0 Anda ke instans KMS 3.0. Migrasi ke instans KMS 3.0 memberikan manfaat berikut:

Keamanan tinggi: KMS 3.0 menggunakan arsitektur isolasi penyewa (tenant isolation) dan instans khusus (dedicated instance) yang canggih, sehingga menyediakan isolasi keamanan jauh lebih baik dibandingkan KMS 1.0.
Peningkatan fitur komprehensif: KMS 3.0 mendukung berbagi instans KMS antar beberapa akun dan pencadangan resource instans. Layanan ini juga terintegrasi dengan Simple Log Service dan sistem manajemen peringatan untuk memberikan pengalaman pengguna yang lebih kuat dan komprehensif.
Kontrol akses granular: KMS 3.0 mendukung kebijakan kontrol akses berbasis identitas maupun berbasis resource, sehingga cocok untuk skenario yang melibatkan berbagai jenis resource dengan properti berbeda-beda.
Performa dan keandalan lebih tinggi:
- Enkripsi dan dekripsi berperforma tinggi: Instans KMS 3.0 menawarkan performa lebih tinggi. Untuk operasi enkripsi dan dekripsi, KMS 1.0 menyediakan 1.000 permintaan per detik (QPS). Dengan instans KMS 3.0, Anda dapat memilih 1.000, 2.000, atau 4.000 QPS untuk memenuhi berbagai kebutuhan performa.
- Redundansi dan toleransi kesalahan: Instans KMS 3.0 menggunakan arsitektur penerapan multi-zona dan mendukung cadangan data, sehingga menyediakan stabilitas 99,95% dan ketersediaan data 99,9999% untuk membantu mengatasi potensi kegagalan. Dengan memastikan ketersediaan KMS secara berkelanjutan, instans ini mengurangi risiko kegagalan enkripsi atau dekripsi data akibat gangguan sistem.

Dampak migrasi

Dampak bisnis

Migrasi memengaruhi aspek-aspek berikut dari bisnis Anda:
- Ketersediaan layanan: Migrasi KMS memisahkan operasi lapisan kontrol (control plane) dari operasi bidang data (data plane). Proses migrasi itu sendiri tidak memengaruhi operasi bisnis Anda. Pemanggilan rahasia, enkripsi produk cloud, dan enkripsi aplikasi tetap berjalan seperti biasa.
  Penting
  Selama jendela migrasi—mulai dari awal hingga selesainya proses migrasi—Anda tidak dapat melakukan operasi lapisan kontrol seperti membuat, mengubah, atau menghapus resource pada kunci, rahasia, atau instans KMS. Pembatasan ini mencegah kegagalan migrasi akibat masalah konsistensi data. Kami menyarankan agar migrasi dilakukan selama jam sepi.
- Kompatibilitas Terraform: Jika Anda menggunakan Terraform untuk mengelola KMS, properti ID instans akan ditambahkan ke resource Anda setelah migrasi. Untuk mencegah resource dilepas saat Anda melakukan operasi lapisan kontrol berikutnya, Anda harus memodifikasi konfigurasi Terraform setelah migrasi selesai. Untuk informasi lebih lanjut, lihat Modifikasi konfigurasi dalam skenario Terraform setelah migrasi.
Migrasi tidak memengaruhi aspek-aspek berikut dari bisnis Anda:
- Kompatibilitas SDK: Setelah migrasi, aplikasi kustom dapat terus menggunakan kit pengembangan perangkat lunak (SDK) yang ada tanpa perubahan kode atau aplikasi. Jika Anda menggunakan SDK produk lain, seperti Function Compute, untuk enkripsi dan dekripsi bisnis, Anda tidak perlu memodifikasi SDK tersebut. Hal ini memastikan migrasi yang efisien, lancar, dan mulus.
- Dampak performa: Jika sebelum migrasi Anda mengakses kunci dan rahasia melalui jaringan publik, Anda dapat terus menggunakan SDK yang ada setelah migrasi. Performa tetap tidak berubah. Untuk meningkatkan performa, Anda dapat beralih dari akses jaringan publik ke akses VPC. Setelah beralih, performa akan bergantung pada tipe instans.
- Kebijakan kontrol akses: Anda dapat terus menggunakan kebijakan kontrol akses yang ada setelah migrasi tanpa perubahan apa pun.
Dampak lainnya:
ID versi kunci simetris dan asimetris berubah setelah migrasi. Jika aplikasi kustom Anda mencakup logika yang memvalidasi ID versi kunci, Anda harus mengevaluasi dan menghapus logika tersebut sebelum migrasi. Jika tidak, perubahan ini akan menyebabkan logika validasi aplikasi Anda gagal.
Catatan
Jika Anda menggunakan OpenAPI, panggilan yang menggunakan ID versi kunci lama tetap berhasil setelah migrasi. Anda tidak perlu mengubah kode bisnis Anda.

Dampak biaya

Logika penagihan untuk instans KMS 3.0 berbeda dari KMS 1.0. Sebelum migrasi, Anda harus memahami biaya yang terkait dengan instans KMS 3.0. Untuk informasi lebih lanjut, lihat Penagihan langganan dan Bayar sesuai penggunaan.

Catatan tentang migrasi kunci

KMS memigrasikan metadata dan bahan kunci dari customer master key (CMK). Metadata mencakup ID kunci, status kunci, perlindungan penghapusan, alias, dan tag. Data ini tetap tidak berubah setelah migrasi.

Kunci layanan

Kunci layanan tidak perlu dimigrasikan. Anda dapat terus menggunakannya seperti biasa. Anda dapat melihat kunci layanan di Konsol baru setelah login. Kunci layanan dibuat secara otomatis oleh produk cloud saat Anda mengonfigurasi Enkripsi sisi server. Alias-nya memiliki format alias/acs/<CloudProduct>.

Kunci master pelanggan

Hanya kunci dalam status Enabling yang dapat dimigrasikan. Kunci dalam status lain, seperti Disabled atau Schedule Deletion, tidak dapat dimigrasikan.

Tingkat proteksi: Software

Tabel berikut menunjukkan tipe instans tujuan yang didukung untuk migrasi.

Penting

Bring-Your-Own-Key (BYOK): Migrasi didukung. KMS langsung memigrasikan bahan kunci. Anda tidak perlu mengunggahnya secara manual.
Kunci multi-versi: Migrasi didukung. KMS memigrasikan semua versi kunci.
Jika rotasi otomatis diaktifkan untuk suatu kunci, Anda harus menonaktifkannya secara manual sebelum migrasi untuk memastikan konsistensi versi. Untuk informasi lebih lanjut, lihat Rotasi kunci otomatis.
Pada instans manajemen kunci perangkat keras, kunci dapat disimpan di database atau HSM. Kunci yang dimigrasikan ke instans manajemen kunci perangkat keras disimpan di database secara default karena kunci yang disimpan di database mendukung rotasi. Pengaturan ini tidak dapat diubah.

Spesifikasi kunci untuk dimigrasikan	Instans manajemen kunci perangkat lunak	Instans manajemen kunci perangkat keras
Aliyun_AES_256 (versi tunggal)	Didukung	Didukung
Aliyun_AES_256 (multi-versi)	Didukung	Didukung
RSA_2048 (versi tunggal)	Didukung	Tidak didukung
EC_P256 (versi tunggal)	Didukung	Tidak didukung
EC_P256K (versi tunggal)	Didukung	Tidak didukung

Tingkat proteksi: HSM

Penting

Hanya kunci di Tiongkok daratan yang dapat dimigrasikan. Kunci di luar Tiongkok daratan tidak dapat dimigrasikan. Jika Anda memiliki kunci yang tidak dapat dimigrasikan, hubungi kami.
bring-your-own-key (BYOK): Migrasi didukung. KMS langsung memigrasikan bahan kunci, sehingga Anda tidak perlu mengunggahnya secara manual.
Kunci multi-versi: Migrasi didukung untuk beberapa tipe kunci. KMS memigrasikan semua versi kunci.
Jika rotasi otomatis diaktifkan untuk suatu kunci, Anda harus menonaktifkannya secara manual sebelum migrasi untuk memastikan konsistensi versi. Untuk informasi lebih lanjut, lihat Rotasi kunci otomatis.
Pada instans manajemen kunci perangkat keras, kunci dapat disimpan di database atau HSM. Kunci yang dimigrasikan ke instans manajemen kunci perangkat keras disimpan di database secara default karena kunci yang disimpan di database mendukung rotasi. Pengaturan ini tidak dapat diubah.

Tabel berikut menunjukkan tipe instans tujuan yang didukung untuk migrasi.

Spesifikasi kunci untuk dimigrasikan	Instans manajemen kunci perangkat lunak	Instans manajemen kunci perangkat keras
Aliyun_AES_256 (versi tunggal)	Didukung	Didukung
Aliyun_AES_256 (multi-versi)	Didukung	Didukung
Aliyun_SM4 (versi tunggal)	Tidak didukung	Didukung
Aliyun_SM4 (multi-versi)	Tidak didukung	Didukung
RSA_2048 (versi tunggal)	Didukung	Didukung
EC_P256 (versi tunggal)	Didukung	Didukung
EC_P256K (versi tunggal)	Didukung	Didukung
RSA_3072 (versi tunggal)	Didukung	Didukung
EC_SM2 (versi tunggal)	Tidak didukung	Didukung

Catatan tentang migrasi rahasia

Semua jenis instance dapat dimigrasikan.

Penting

Di KMS 3.0, rahasia harus unik dalam satu Akun Alibaba Cloud dan satu instans KMS di satu wilayah. Jika beberapa rahasia di KMS 1.0 memiliki nama yang sama, atau jika sudah ada rahasia dengan nama yang sama di instans KMS 3.0 tujuan, migrasi tidak didukung.

KMS memigrasikan metadata dan semua versi rahasia. Metadata mencakup nama rahasia, status, dan tag. Data ini tetap tidak berubah setelah migrasi.

Rahasia dengan rotasi otomatis yang diaktifkan dapat dimigrasikan. Untuk memastikan konsistensi versi, Anda harus menonaktifkan rotasi otomatis secara manual sebelum migrasi.
Saat Anda memigrasikan rahasia, Anda juga harus memigrasikan kunci master yang mengenkripsinya.
Rahasia yang dienkripsi dengan kunci yang dikelola sistem dapat dimigrasikan. Namun, fitur cadangan data tidak didukung untuk rahasia tersebut setelah migrasi. Untuk informasi lebih lanjut tentang fitur cadangan data, lihat Manajemen pemulihan bencana.

Periksa dengan cepat resource yang perlu dimigrasikan

Catatan

Metode ini hanya menampilkan kunci yang dapat dimigrasikan. Untuk kunci yang tidak dapat dimigrasikan, Anda dapat melihat kunci yang tersisa di Konsol lama setelah migrasi dan menghubungi dukungan teknis Alibaba Cloud untuk bantuan.

Masuk ke Konsol KMS 1.0. Di panel navigasi sebelah kiri, klik Migration Tool.
Jika tombol Migrate tersedia, artinya Anda memiliki kunci atau rahasia yang perlu dimigrasikan di wilayah saat ini.
Penting
Data ditampilkan berdasarkan wilayah. Pastikan Anda memeriksa data untuk semua wilayah agar tidak melewatkan resource apa pun.
Di halaman Migration Information, tinjau tabel untuk jumlah kunci dan rahasia di setiap wilayah, termasuk kolom Keys not migrated, Migrated keys, Secrets not migrated, dan Migrated secrets, serta status tugas. Di kolom Actions untuk wilayah target, klik Migrate.
Klik angka di kolom Keys Not Migrated, Migrated Keys, Secrets Not Migrated, dan Migrated Secrets untuk melihat ID kunci dan nama rahasia spesifik.

Pilih instans KMS 3.0 yang sesuai

Evaluasi aspek-aspek berikut untuk memilih instans KMS 3.0 yang sesuai.

Nilai kebutuhan bisnis: Pilih instans KMS yang sesuai berdasarkan tipe instans tujuan yang didukung untuk migrasi kunci Anda.
Nilai kebutuhan performa: Pertimbangkan frekuensi operasi enkripsi dan dekripsi data dalam bisnis Anda. Misalnya, jika bisnis Anda adalah platform E-dagang bertrafik tinggi yang memproses banyak pesanan setiap hari, Anda perlu mengenkripsi informasi pembayaran pengguna (seperti nomor kartu bank dan kata sandi pembayaran) serta data pesanan. Anda mungkin memerlukan instans KMS dengan QPS tinggi. Dalam kasus ini, pilih instans KMS yang mendukung 2.000 atau 4.000 QPS untuk memastikan operasi enkripsi dan dekripsi selesai tepat waktu serta menghindari penundaan atau kegagalan transaksi.
Nilai kebutuhan kepatuhan: Jika bisnis Anda perlu mematuhi sertifikasi FIPS, Anda harus membeli instans manajemen kunci perangkat keras.
Nilai anggaran biaya: Instans KMS menawarkan dua metode penagihan: langganan dan bayar sesuai penggunaan. Metode bayar sesuai penggunaan hanya direkomendasikan jika bisnis Anda menggunakan KMS semata-mata untuk enkripsi produk cloud. Untuk semua skenario lainnya, kami merekomendasikan penggunaan instans langganan.