Topik ini menjelaskan cara mengaktifkan, melihat, meningkatkan, dan memperbarui instans Layanan Manajemen Kunci (KMS), serta cara mengaktifkan audit keamanan untuk instans tersebut.
Perhatikan masa berlangganan tersisa dari instans KMS Anda. Perbarui instans sebelum masa berlangganannya habis untuk mencegah gangguan bisnis. Untuk informasi lebih lanjut, lihat Aturan kadaluarsa.
Mengaktifkan instans KMS
Setelah membeli instans KMS, Anda harus mengaktifkannya sebelum dapat menggunakan fitur manajemen kunci dan kredensialnya.
Mengaktifkan instans manajemen kunci perangkat lunak
Prasyarat
Anda harus memiliki satu VPC dan satu vSwitch.
Disarankan untuk masuk ke Konsol Manajemen VPC terlebih dahulu untuk melihat VPC, vSwitch, dan zona tempat vSwitch berada sebelum mengaktifkan instans KMS. Anda juga bisa membuat VPC dan vSwitch baru. Untuk informasi lebih lanjut, lihat Buat VPC dan vSwitch atau Buat vSwitch.
Aktifkan Cloud DNS PrivateZone secara manual jika Anda menggunakan akun Situs Alibaba Cloud China (aliyun.com) untuk membeli instans KMS di luar daratan Tiongkok, atau jika Anda menggunakan akun Situs internasional Alibaba Cloud untuk membeli instans KMS di daratan Tiongkok. Untuk informasi lebih lanjut, lihat Aktifkan PrivateZone.
CatatanJika Anda menggunakan akun Situs Alibaba Cloud China (aliyun.com) untuk membeli instans KMS di daratan Tiongkok, atau menggunakan akun Situs internasional Alibaba Cloud untuk membeli instans KMS di luar daratan Tiongkok, Alibaba Cloud secara otomatis mengaktifkan PrivateZone. Anda tidak perlu mengaktifkannya secara manual.
KMS menanggung biaya resolusi nama domain untuk instans KMS. Anda tidak perlu membayar biaya kepada PrivateZone.
Prosedur
Aktifkan instans manajemen kunci perangkat keras
Prasyarat
Anda harus telah mengonfigurasi kluster cryptor yang dapat dihubungkan oleh instans KMS. Untuk informasi lebih lanjut, lihat Konfigurasikan kluster cryptor untuk instans manajemen kunci perangkat keras KMS.
PeringatanJika Anda berencana untuk memperluas jumlah HSM dalam kluster HSM, hubungi dukungan teknis Alibaba Cloud untuk mengubah metode sinkronisasi kluster menjadi sinkronisasi otomatis. Ini membantu mencegah kegagalan sinkronisasi.
Pastikan setiap zona yang dikonfigurasikan untuk instans KMS memiliki vSwitch. Bagian berikut menggunakan penyebaran dua zona sebagai contoh.
(Direkomendasikan) Gunakan dua vSwitch yang terpasang pada instans HSM. Dalam kasus ini, Anda tidak perlu membuat vSwitch. Pastikan empat alamat IP yang tersedia dicadangkan untuk setiap vSwitch.
Jika Anda tidak menggunakan dua vSwitch yang terpasang pada instans HSM, Anda harus membuat dua vSwitch di zona berbeda. Pastikan empat alamat IP yang tersedia dicadangkan untuk setiap vSwitch. Untuk informasi lebih lanjut, lihat Buat vSwitch.
Anda dapat masuk ke Konsol VPC, klik vSwitch target di halaman vSwitches, dan lihat jumlah alamat IP yang tersedia di halaman detail.
Aktifkan Cloud DNS PrivateZone secara manual jika Anda menggunakan akun Situs Alibaba Cloud China (aliyun.com) untuk membeli instans KMS di luar daratan Tiongkok, atau jika Anda menggunakan akun Situs internasional Alibaba Cloud untuk membeli instans KMS di daratan Tiongkok. Untuk informasi lebih lanjut, lihat Aktifkan PrivateZone.
CatatanJika Anda menggunakan akun Situs Alibaba Cloud China (aliyun.com) untuk membeli instans KMS di daratan Tiongkok, atau menggunakan akun Situs internasional Alibaba Cloud untuk membeli instans KMS di luar daratan Tiongkok, Alibaba Cloud secara otomatis mengaktifkan PrivateZone. Anda tidak perlu mengaktifkannya secara manual.
KMS menanggung biaya resolusi nama domain untuk instans KMS. Anda tidak perlu membayar biaya kepada PrivateZone.
Prosedur
Anda hanya dapat mengaktifkan instans manajemen kunci perangkat keras di konsol. Anda tidak dapat mengaktifkannya menggunakan API KMS atau Terraform.
Masuk ke Konsol KMS. Di bilah navigasi atas, pilih wilayah. Di panel navigasi kiri, pilih .
Klik tab Hardware Key Management, temukan instans manajemen kunci perangkat keras yang dituju, dan klik Enable di kolom Actions.
Di panel Connect to HSM, lengkapi konfigurasi, lalu klik Connect to HSM untuk menentukan kluster HSM.
Item Konfigurasi
Deskripsi
Instance Name
Masukkan nama kustom untuk instans KMS. Nama tersebut dapat berisi huruf, angka, dan karakter khusus
_/+=.@-.Select Cluster
Pilih kluster HSM yang Anda konfigurasikan di CloudHSM.
CatatanInstans manajemen kunci perangkat keras hanya dapat disambungkan ke satu kluster HSM.
Configure HSM Access Secret.
Kluster HSM di daratan Tiongkok
Instans manajemen kunci perangkat keras KMS menggunakan otentikasi TLS dua arah untuk menghubungkan ke HSM. Anda dapat memilih untuk menghasilkan sertifikat secara otomatis saat membeli HSM. Jika ya, HSM akan secara otomatis menghasilkan sertifikat. Anda hanya perlu mengonfigurasi sertifikat di sisi SDK klien, dan HSM secara otomatis menerapkannya ke mesin enkripsi sisi server. Jika Anda tidak mengonfigurasi HSM untuk menghasilkan sertifikat secara otomatis, Anda harus mengonfigurasi sertifikat klien (sertifikat format PKCS12 dengan token keamanan) dan sertifikat domain keamanan (sertifikat CA dalam format PEM yang digunakan untuk menerbitkan sertifikat TLS sisi server untuk kluster HSM). Untuk informasi lebih lanjut tentang cara menghasilkan sertifikat, lihat Konfigurasikan otentikasi TLS dua arah untuk instans HSM utama.
Client Protection Password: Kata sandi perlindungan yang Anda atur saat menghasilkan sertifikat klien
client.p12. Jika Anda menggunakan alat pembuatan sertifikat (hsm_certificate_generate), kata sandi default adalah12345678.Client Certificate: Sertifikat PKCS12. Klik Select File dan pilih file
client.p12yang dihasilkan untuk diunggah.Security Domain Certificate: Sertifikat CA dalam format PEM. Klik Select File dan pilih file
rootca.pemyang dihasilkan untuk diunggah.
Kluster HSM di luar daratan Tiongkok
Username: Nama pengguna operator HSM (tetap sebagai
kmsuser).Password: Kata sandi akses untuk operator HSM. Ini adalah kata sandi yang Anda atur saat membuat operator HSM.
Security Domain Certificate: Sertifikat CA dalam format PEM. Masuk ke Konsol CloudHSM, klik ID instans HSM apa pun di kluster, dan temukan ClusterOwnerCertificate di bagian bawah tab Instance Details. Ini adalah sertifikat domain keamanan. Anda dapat menyalin kontennya langsung atau menyimpannya sebagai file PEM lalu mengunggahnya.
VPC ID
Secara default, ini adalah ID VPC yang terpasang ke HSM. Tidak dapat diubah.
Configure Zone and vSwitch
Ini terkait dengan mode penyebaran yang dipilih saat pembelian instans. Penyebaran dua zona atau multi-zona didukung. Empat alamat IP yang tersedia harus dicadangkan untuk vSwitch di setiap zona.
Untuk penyebaran multi-zona, Anda dapat mengonfigurasi hingga tiga zona.
CatatanPenyebaran dua zona atau multi-zona digunakan untuk mencapai ketersediaan tinggi, pemulihan bencana, dan penyeimbangan beban untuk KMS. Perbedaan latensi dan performa antara memilih zona tempat layanan Anda berada dan zona tempat mereka tidak berada sangatlah kecil. Anda dapat membuat pilihan berdasarkan kebutuhan Anda.
Jika Anda memilih kuota kredensial saat membeli instans, tunggu sekitar 30 menit lalu segarkan halaman. Jika Anda tidak memilih kuota kredensial, tunggu sekitar 10 menit lalu segarkan halaman. Instans manajemen kunci perangkat keras diaktifkan ketika statusnya berubah menjadi Enabled.
Aktifkan instans manajemen kunci eksternal
Prasyarat
Anda harus telah membeli HSM eksternal dan mengonfigurasi proxy XKI. Untuk informasi lebih lanjut, hubungi penyedia HSM Anda.
CatatanUntuk informasi lebih lanjut, lihat Server Proxy XKI.
Anda dapat menghubungkan KMS ke proxy XKI menggunakan titik akhir publik atau layanan titik akhir VPC. Untuk menggunakan titik akhir VPC, Anda harus terlebih dahulu membuat layanan titik akhir. Untuk informasi lebih lanjut, lihat Buat dan kelola layanan titik akhir. Perhatikan hal berikut saat membuat layanan titik akhir:
Dua zona dari layanan titik akhir harus sama dengan zona yang dipilih saat mengaktifkan instans KMS.
Anda harus menambahkan Akun Alibaba Cloud saat ini ke daftar putih layanan titik akhir.
Pengaturan Auto-accept Connection untuk layanan titik akhir harus diatur ke Yes.
Aktifkan PrivateZone secara manual jika Anda menggunakan akun Situs Alibaba Cloud China (aliyun.com) untuk membeli instans KMS di luar daratan Tiongkok, atau jika Anda menggunakan akun Situs internasional Alibaba Cloud untuk membeli instans KMS di daratan Tiongkok. Untuk informasi lebih lanjut, lihat Aktifkan PrivateZone.
CatatanJika Anda menggunakan akun Situs Alibaba Cloud China (aliyun.com) untuk membeli instans KMS di daratan Tiongkok, atau menggunakan akun Situs internasional Alibaba Cloud untuk membeli instans KMS di luar daratan Tiongkok, Alibaba Cloud secara otomatis mengaktifkan PrivateZone. Anda tidak perlu mengaktifkannya secara manual.
KMS menanggung biaya resolusi nama domain untuk instans KMS. Anda tidak perlu membayar biaya kepada PrivateZone.
Prosedur
Anda hanya dapat mengaktifkan instans manajemen kunci eksternal di konsol. Anda tidak dapat mengaktifkannya menggunakan API KMS atau Terraform.
Masuk ke Konsol KMS. Di bilah navigasi atas, pilih wilayah. Di panel navigasi kiri, pilih .
Klik tab External Key Management, temukan instans yang dituju, dan klik Enable di kolom Actions.
Di panel Connect to HSM, lengkapi konfigurasi, lalu klik Connect to HSM untuk menentukan kluster HSM.
Item Konfigurasi
Deskripsi
Instance Name
Masukkan nama kustom untuk instans KMS. Nama tersebut dapat berisi huruf, angka, dan karakter khusus
_/+=.@-.VPC ID
Pilih VPC untuk disambungkan ke instans KMS.
Zone Configuration
Ini terkait dengan mode penyebaran yang dipilih saat pembelian instans. Penyebaran dua zona atau multi-zona didukung. Untuk penyebaran multi-zona, Anda dapat mengonfigurasi hingga tiga zona.
Zone and vSwitch: Konfigurasikan zona dan vSwitch. Pastikan bahwa vSwitch memiliki setidaknya satu alamat IP yang tersedia.
Other Zones: Anda dapat memiliki zona yang ditetapkan secara acak atau menentukannya secara manual.
CatatanBeberapa wilayah hanya menyediakan satu zona. Instans KMS di wilayah-wilayah ini hanya dapat ditempatkan di zona tunggal.
Penyebaran dua zona atau multi-zona digunakan untuk mencapai ketersediaan tinggi, pemulihan bencana, dan penyeimbangan beban untuk KMS. Perbedaan latensi dan performa antara memilih zona tempat layanan Anda berada dan zona tempat mereka tidak berada sangatlah kecil. Anda dapat membuat pilihan berdasarkan kebutuhan Anda.
External Proxy Connectivity
Public Endpoint Connectivity: Instans KMS terhubung ke proxy XKI melalui Internet.
VPC Endpoint Service Connectivity : Instans KMS terhubung ke proxy XKI menggunakan layanan titik akhir VPC.
Domain Name of External Proxy
Ini hanya diperlukan saat External Proxy Connectivity diatur ke Public Endpoint Connectivity. Masukkan nama domain proxy XKI.
Endpoint Service
Ini hanya diperlukan saat External Proxy Connectivity diatur ke VPC Endpoint Service Connectivity . Pilih layanan titik akhir.
Zona yang dipilih untuk mengaktifkan instans KMS harus sama dengan zona layanan titik akhir.
External Proxy Configuration
Manual Configuration: Secara manual konfigurasikan External Proxy Path, Certificate Fingerprint, ID AccessKey, dan rahasia AccessKey dari proxy XKI.
Configuration File Upload: Konfigurasikan dengan mengunggah file.
Jika Anda memilih kuota kredensial saat membeli instans, tunggu sekitar 30 menit lalu segarkan halaman. Jika Anda tidak memilih kuota kredensial, tunggu sekitar 10 menit lalu segarkan halaman. Instans manajemen kunci eksternal diaktifkan ketika statusnya berubah menjadi Enabled.
Tetapkan alias untuk instans KMS
Alias untuk instans KMS harus memiliki panjang 1 hingga 128 karakter dan hanya boleh berisi huruf, angka, serta karakter khusus berikut: /_+=.@-.
Masuk ke Konsol KMS. Di bilah navigasi atas, pilih wilayah. Di panel navigasi kiri, pilih .
Klik tab untuk instans target. Di bawah ID instans, klik ikon
edit untuk mengatur alias.
Lihat detail instans KMS
Setelah mengaktifkan instans Layanan Manajemen Kunci (KMS), Anda dapat melihat detailnya, seperti ID instans, alamat VPC, dan virtual private cloud (VPC) terkait.
Masuk ke Konsol KMS. Di bilah navigasi atas, pilih wilayah. Di panel navigasi kiri, pilih .
Pada halaman Instances, klik tab tipe instans berdasarkan kebutuhan bisnis Anda.
Temukan instans KMS yang dituju dan klik Details di kolom Actions. Halaman detail instans akan muncul.
Tingkatkan instans KMS
Jika tipe instans saat ini dari instans Layanan Manajemen Kunci (KMS) Anda tidak memenuhi kebutuhan bisnis Anda, Anda dapat meningkatkan instans. Misalnya, Anda dapat meningkatkan performa komputasi atau jumlah kredensial dan kunci. Proses peningkatan tidak memengaruhi layanan Anda.
Masuk ke Konsol KMS. Di bilah navigasi atas, pilih wilayah. Di panel navigasi kiri, pilih .
Pada halaman Instances, klik tab tipe instans berdasarkan kebutuhan bisnis Anda.
Temukan instans KMS yang dituju dan klik Upgrade di kolom Actions. Di halaman Tingkatkan/Turunkan, pilih tipe instans baru.
Baca Terms of Service, klik Buy Now, lalu selesaikan Payment.
Lepaskan instans KMS
Anda hanya dapat melepaskan instans Layanan Manajemen Kunci (KMS) bayar sesuai penggunaan secara manual. Instans langganan tidak dapat dilepaskan secara manual. Anda hanya dapat berhenti berlangganan instans langganan jika memenuhi kondisi tertentu. Untuk informasi lebih lanjut, lihat Aturan berhenti berlangganan.
Saat instans dilepaskan, semua sumber dayanya juga dilepaskan. Sumber daya yang dienkripsi oleh kunci dari instans tersebut tidak dapat didekripsi. Kredensial dari instans tersebut tidak dapat dipulihkan. Sebelum melepaskan instans, pastikan tidak ada data yang dienkripsi oleh kuncinya dan tidak ada layanan yang memanggil kredensialnya. Ini membantu mencegah gangguan layanan.
Jika instans Anda adalah instans manajemen kunci perangkat lunak, cadangkan sumber dayanya sebelum Anda melepaskannya. Anda kemudian dapat memulihkan sumber daya dari cadangan. Untuk informasi lebih lanjut, lihat Manajemen Cadangan.
Instans bayar sesuai penggunaan dibebankan harian. Setelah Anda melepaskan instans, tagihan untuk hari sebelumnya akan dihasilkan pada pukul 12:00 keesokan harinya.
Masuk ke Konsol KMS. Di bilah navigasi atas, pilih wilayah. Di panel navigasi kiri, pilih .
Pada halaman Instances, klik tab tipe instans berdasarkan kebutuhan bisnis Anda.
Temukan instans KMS dan klik Release di kolom Actions. Kemudian, konfirmasikan detailnya dan klik Release.
CatatanJika tombol Release tidak tersedia, perlindungan penghapusan mungkin diaktifkan untuk instans KMS. Nonaktifkan perlindungan penghapusan sebelum Anda melepaskan instans.
Aktifkan perlindungan penghapusan untuk instans KMS
Anda dapat mengaktifkan perlindungan penghapusan untuk instans Layanan Manajemen Kunci (KMS) untuk mencegahnya terhapus atau berhenti berlangganan secara tidak sengaja. Setelah fitur ini diaktifkan, Anda tidak dapat melepaskan atau berhenti berlangganan instans secara manual menggunakan konsol, API, atau baris perintah.
Masuk ke Konsol KMS. Di bilah navigasi atas, pilih wilayah. Di panel navigasi kiri, pilih .
Pada halaman Instances, klik tab tipe instans berdasarkan kebutuhan bisnis Anda.
Temukan instans KMS yang dituju, klik Enable Deletion Protection di kolom Actions, lalu klik Enable.
Aktifkan audit keamanan untuk instans KMS
Saat Anda mengakses instans KMS, log audit akan dihasilkan. Log ini mencatat data akses untuk instans tersebut, seperti informasi permintaan, informasi pengguna, informasi sumber daya yang diakses, dan hasil akses. Blok kode berikut menunjukkan contoh file log:
2021-10-19T212021-10-19T21:40:01 [INFO] - - 3dd60a7a-4587-4c57-8197-d749c3578974 CreateKey - TMP.3KfAHseF5DVULM2s8YUhdB8YvwM4nZA1wXr8AcAAhR7YhdyosXG2eSpsRFPMjYbvUArPRtsCWKzxEo88bC5w5LBfyp**** 111760096384**** 111760096384**** - kst-phzz6108e50c15333w**** - 37 - -40:01 [INFO] - - 3dd60a7a-4587-4c57-8197-d749c3578974 CreateKey - TMP.3KfAHseF5DVULM2s8YUhdB8YvwM4nZA1wXr8AcAAhR7YhdyosXG2eSpsRFPMjYbvUArPRtsCWKzxEo88bC5w5LBfyp**** 111760096384**** 111760096384**** - kst-phzz6108e50c15333w**** - 37 - -Setelah mengaktifkan audit keamanan, Layanan Manajemen Kunci (KMS) akan mengirimkan log audit ke bucket OSS yang Anda tentukan setiap jam. Ini membantu Anda memenuhi persyaratan regulasi dan bisnis. Sebelum mengaktifkan audit keamanan, Anda harus membuat bucket OSS. Untuk informasi lebih lanjut, lihat Buat bucket.
Masuk ke Konsol KMS. Di bilah navigasi atas, pilih wilayah. Di panel navigasi kiri, pilih .
Pada halaman Instances, klik tab tipe instans berdasarkan kebutuhan bisnis Anda.
Temukan instans KMS yang dituju dan klik Actions di kolom Manage. Di halaman detail instans, aktifkan Security Audit.
Di kotak dialog Configure Security Audit, Anda dapat memilih Log Storage Bucket dan klik OK.
Setelah mengaktifkan audit keamanan, log audit akan dihasilkan dan dikirimkan dalam satu jam.
Perbarui instans KMS
Masuk ke Konsol KMS. Di bilah navigasi atas, pilih wilayah. Di panel navigasi kiri, pilih .
Klik tab Software Key Management atau tab Hardware Key Management. Temukan instans yang ingin diperbarui dan klik Renew di kolom Actions.
Di halaman Renew, atur Subscription Duration, baca perjanjian, lalu pilih Terms Of Service.
Klik Buy Now dan selesaikan Payment.
Anda juga dapat memperbarui instans di halaman Biaya dan Pengeluaran. Untuk informasi lebih lanjut, lihat Perbarui sumber daya yang akan kadaluarsa.
Tetapkan instans default
Fitur ini ditujukan untuk pengguna yang sedang bermigrasi dari KMS 1.0 ke KMS 3.0. Pengguna lain tidak perlu menetapkan instans default.
Untuk informasi lebih lanjut, lihat Migrasikan sumber daya KMS 1.0 ke instans KMS 3.0.
Tetapkan model berbagi untuk instans
Pemilik instans KMS (pemilik instans) dapat membagikan instans tersebut dengan akun Alibaba Cloud lainnya (pengguna instans). Untuk informasi lebih lanjut, lihat Bagikan instans KMS dengan beberapa akun. KMS mendukung dua mode berbagi berikut:
Instans baru secara default menggunakan mode Joint Ownership.
Dalam kedua mode, pengguna instans tidak dapat menggunakan atau mengelola kunci dan kredensial pemilik instans.
Fitur | Kepemilikan Mandiri | Kepemilikan Bersama |
Kasus Penggunaan | Dibutuhkan saat Anda memiliki rahasia lintas akun dengan nama yang sama atau perlu mengisolasi izin. | Ideal untuk kolaborasi internal di mana tim pusat (seperti IT atau keamanan) perlu mengelola dan mengaudit semua kunci dan rahasia. |
Karakteristik Utama | Kepemilikan Data Mandiri: Pemilik sumber daya tidak dapat mengelola atau menggunakan kunci dan rahasia yang dibuat oleh pihak utama. | Kepemilikan Data Bersama: Pemilik sumber daya dapat mengelola dan menggunakan kunci dan rahasia yang dibuat oleh pihak utama. |
Sumber Daya Lintas Akun dengan Nama yang Sama | Diizinkan. Pihak utama dan pemilik sumber daya dapat membuat rahasia dengan nama yang sama di dalam instans. | Tidak Diizinkan. Semua nama kunci dan rahasia di dalam instans harus unik. |
Perubahan Mode | Tidak dapat diubah menjadi kepemilikan bersama. | Dapat diubah menjadi kepemilikan mandiri. |