Instans manajemen kunci eksternal dari Key Management Service (instans kunci eksternal KMS) memungkinkan Anda mengaitkan kunci KMS dengan kunci yang disimpan di infrastruktur manajemen kunci eksternal (KMI). Layanan atau aplikasi Alibaba Cloud merujuk ID kunci pada instans kunci eksternal KMS untuk mengenkripsi atau mendekripsi data. Selama operasi enkripsi dan dekripsi, kunci dalam KMI eksternal tidak melewati batas KMI. Fitur ini dikenal sebagai Hold Your Own Key (HYOK). Topik ini menjelaskan cara membuat kunci eksternal di instans kunci eksternal KMS.
Anda bertanggung jawab atas pemeliharaan KMI eksternal dan menanggung biaya terkait untuk memastikan keamanan, ketersediaan, dan stabilitas KMI tersebut. Jika instans manajemen kunci perangkat lunak atau instans manajemen kunci perangkat keras KMS dapat memenuhi persyaratan keamanan dan manajemen Anda, kami sarankan menggunakan salah satu dari kedua opsi tersebut.
Cara instans kunci eksternal KMS berkomunikasi dengan KMI eksternal
Instans kunci eksternal KMS terhubung ke KMI eksternal melalui External Key Instance Proxy Servers (server proxy XKI). Server proxy XKI mentransfer permintaan dari instans kunci eksternal KMS ke KMI eksternal dan mengembalikan respons dari KMI eksternal ke instans kunci eksternal KMS. Untuk informasi lebih lanjut, lihat server proxy XKI.
Instans kunci eksternal KMS dapat terhubung ke server proxy XKI melalui Internet atau layanan titik akhir Virtual Private Cloud (VPC).
Gunakan Internet: Instans kunci eksternal KMS terhubung ke server proxy XKI melalui Internet. Fitur akses Internet harus diaktifkan untuk server proxy XKI.
Gunakan layanan titik akhir VPC: Instans kunci eksternal KMS menggunakan layanan titik akhir VPC yang disediakan oleh PrivateLink untuk terhubung ke server proxy XKI.
Tindakan pencegahan
Kunci eksternal KMS harus berupa kunci simetris.
Jika Anda lupa atau menghapus kunci eksternal KMS yang disimpan di KMI, teks sandi yang dienkripsi oleh kunci eksternal tersebut tidak dapat didekripsi.
Instans kunci eksternal KMS tidak mendukung impor materi kunci, rotasi kunci, manajemen cadangan, atau sinkronisasi kunci lintas wilayah.
Kunci pada instans kunci eksternal KMS disimpan di KMI eksternal, dan hanya metadata kunci yang disimpan di instans kunci eksternal KMS. Versi kunci juga dikelola oleh KMI eksternal. Oleh karena itu, Anda tidak dapat memanggil operasi API KMS yang terkait dengan versi kunci. Operasi API KMS tersebut meliputi:
Untuk melakukan operasi kriptografi pada instans kunci eksternal KMS, pastikan persyaratan berikut terpenuhi:
Kunci pada instans kunci eksternal KMS harus dalam status
Enabled.Server proxy XKI harus berjalan sesuai harapan, dikonfigurasi dengan benar, dan dalam status
Connected.Kunci di server proxy XKI harus dalam status
ENABLED.
Prasyarat
Buat kunci eksternal
Operasi terkait
Untuk informasi tentang cara menonaktifkan kunci, mengaktifkan perlindungan penghapusan kunci, menjadwalkan penghapusan kunci, memeriksa asosiasi kunci, mengonfigurasi alias untuk kunci eksternal, dan mengikat tag ke kunci eksternal, lihat Kelola kunci.