Key Management Service:Bagikan instans KMS ke beberapa akun

Langkah 1: Siapkan Resource Directory dan aktifkan resource sharing

Set up Resource Directory:

1. Masuk ke Konsol Resource Management menggunakan akun manajemen.

2. Di panel navigasi kiri, buka Resource Directory > Enable Resource Directory, lalu klik Enable Resource Directory. Untuk detailnya, lihat Aktifkan direktori resource.

3. Buat folder untuk mengelompokkan anggota: buka Resource Directory > Management, klik Resource Organization View di pojok kanan atas, pilih folder target di pohon direktori, lalu pada tab Member, klik Create Folder. Masukkan Folder Name dan klik OK. Untuk detailnya, lihat Buat folder.

4. Tambahkan anggota ke folder: pada tab Member, klik Create Member atau Invite Member. Konfigurasikan parameter berikut:

   Undang anggota

   Parameter	Deskripsi
   Account ID or logon email address	Masukkan Account ID atau email login yang digunakan untuk mendaftarkan akun tersebut. Pisahkan beberapa Account ID dengan koma untuk mengundang secara batch. Untuk menemukan Account ID, lihat How do I view the ID of an Alibaba Cloud account?
   Remarks	Catatan untuk membantu penerima undangan memverifikasi keaslian undangan.
   Tag	Tag untuk mengikat anggota guna memudahkan manajemen.
   Parent folder	Folder tempat akun yang diundang ditempatkan. Secara default adalah folder root. Klik Modify untuk mengubahnya.

   Buat anggota

   Parameter	Deskripsi
   Alibaba Cloud account name	Pengenal unik untuk anggota dalam direktori resource. Harus terdiri dari 2–50 karakter dan dapat berisi huruf, angka, serta _.-. Harus dimulai dan diakhiri dengan huruf atau angka, serta tidak boleh mengandung karakter khusus berurutan.
   Display name	2–50 karakter; mendukung karakter Tionghoa, huruf, angka, dan _.-.
   Billing account	Pilih siapa yang membayar biaya anggota baru: akun manajemen, anggota yang sudah ada, atau anggota baru itu sendiri.
   Tag	Tag untuk mengikat anggota guna memudahkan manajemen.
   Parent folder	Secara default adalah folder root. Klik Modify untuk mengubahnya.

Enable resource sharing:

1. Masuk ke Konsol Resource Sharing menggunakan akun manajemen. Di panel navigasi kiri, buka Resource Sharing > Settings.

2. Klik Enable, lalu klik OK di kotak dialog Resource Sharing Service-Linked Role.

   Sistem secara otomatis membuat peran terkait layanan bernama AliyunServiceRoleForResourceSharing untuk mengambil informasi organisasi dari Resource Directory. Untuk detailnya, lihat Peran terkait layanan untuk Resource Sharing.

Langkah 2: Bagikan instans KMS

1. Masuk ke Konsol Key Management Service sebagai pemilik instans. Pilih wilayah di bilah menu atas, lalu klik Instances di panel navigasi kiri.

2. Temukan instans KMS target dan klik Share Resources di kolom Actions. Di panel RD Multi-account Sharing Settings, pilih mode berbagi.

3. Di panel Select resource share, pilih cara mengonfigurasi Bagian Sumber Daya:

   Peringatan

   Menambahkan instans KMS ke Bagian Sumber Daya yang sudah ada memberikan akses otomatis ke semua principal saat ini dalam bagian tersebut ke instans baru. Hal ini mengonsumsi Kuota Manajemen Akses instans dan dapat menyebabkan eskalasi izin yang tidak disengaja. Lanjutkan dengan hati-hati.

   	Buat (disarankan)	Pilih Bagian Sumber Daya yang sudah ada
   Gunakan saat	Berbagi untuk pertama kali, atau saat Anda memerlukan isolasi izin per instans	Menambahkan instans saat ini ke bagian yang sudah ada untuk menggunakan kembali principal dan izinnya
   Cakupan izin	Hanya instans KMS saat ini; hanya akun yang baru ditambahkan yang mendapatkan akses	Semua principal yang sudah ada secara otomatis mendapatkan akses ke instans baru; perubahan izin memengaruhi semua resource dalam bagian tersebut

4. Konfigurasikan parameter bagian sumber daya, lalu klik OK.

   Jika membuat Bagian Sumber Daya baru:

   • Resource share name — Maksimal 50 karakter; mendukung karakter Tionghoa, huruf, angka, dan ._-.

   • Principals — Tentukan akun mana yang dapat menggunakan instans KMS ini. Setiap principal yang ditambahkan mengonsumsi Access Management Quota instans. Menambahkan atau menghapus principal dari Bagian Sumber Daya yang sudah ada memengaruhi semua resource dalam bagian tersebut. Tiga jenis principal didukung:

     Jenis principal	Cakupan
     Alibaba Cloud Account	Membagikan resource hanya ke Account ID yang ditentukan
     Resource Directory Organization	Membagikan resource ke semua akun anggota dalam seluruh direktori resource, termasuk anggota yang ditambahkan nanti
     Folder (organizational unit)	Membagikan resource ke semua anggota dalam folder yang ditentukan (format: fd-xxxxxxxx), termasuk anggota yang ditambahkan nanti. Untuk menemukan ID folder, lihat View the basic information of a folder.

     Tambahkan principal berdasarkan folder atau Alibaba Cloud Account untuk kontrol detail halus.

   • Permissions — Pilih AliyunRSDefaultPermissionKMSInstance (disarankan). Tersedia dua versi (v1 dan v2); bagian baru secara default menggunakan v2. Untuk memverifikasi versi yang digunakan, lihat View permission details. Izin AliyunRSPermissionKMSInstanceReadWrite sudah tidak digunakan lagi dan tidak disarankan untuk bagian baru.

   Jika memilih Bagian Sumber Daya yang sudah ada:

   • Select resource share — Konsol menampilkan semua Bagian Sumber Daya di akun Anda. Lihat Create a resource share sebagai referensi.

   • Shared resources — Hanya-baca. Menampilkan resource yang sudah ada dalam bagian yang dipilih. Setelah operasi ini, instans KMS saat ini ditambahkan.

   • Principals dan Permissions — Opsi yang sama seperti saat membuat bagian baru. Catatan: AliyunRSPermissionKMSInstanceReadWrite sudah tidak digunakan lagi; jika sebelumnya digunakan, terus gunakan hanya untuk bagian tersebut.

Ubah principal dari Bagian Sumber Daya

Dari Konsol KMS:

1. Masuk ke Konsol Key Management Service sebagai pemilik instans. Pilih wilayah, lalu klik Instances di panel navigasi kiri.

2. Di halaman Instances, buka tab Software Key Management atau Hardware Key Management sesuai tipe instans.

3. Temukan instans dan klik Share Resources di kolom Actions.

4. Di panel RD Multi-account Share Settings, pilih Resource Share. Pada bagian Principals, klik Edit untuk menambahkan atau menghapus pihak yang berwenang, lalu klik OK.

Dari Konsol Resource Sharing:

Untuk petunjuk detail, lihat Modify a resource share.

Cabut pembagian untuk instans KMS

Mencabut pembagian berarti menghapus Bagian Sumber Daya. Setelah dihapus, semua principal kehilangan akses ke resource dalam bagian tersebut.

Lakukan operasi ini hanya dari Konsol Resource Sharing:

1. Masuk ke Konsol Resource Sharing menggunakan akun manajemen.

2. Di panel navigasi kiri, buka Resource Sharing > Resources I Share, lalu temukan bagian sumber daya target dan klik ID-nya.

3. Klik Delete Resource Share di pojok kanan atas. Di kotak dialog konfirmasi, klik OK.

Konektivitas jaringan

Jika aplikasi principal berjalan di VPC dan perlu mengakses KMS melalui gerbang privat, pemilik instans harus menyambungkan VPC principal ke instans KMS yang dibagikan. Untuk petunjuknya, lihat Access a KMS instance from multiple VPCs in the same region.

Audit dan kepatuhan

• Pemilik resource: Aktifkan ActionTrail untuk mencatat semua operasi manajemen pada instans yang dibagikan dan semua operasi kunci yang dilakukan oleh principal.

• Principal: Aktifkan ActionTrail untuk mencatat semua pemanggilan API dalam akun Anda.

Manajemen perubahan

• Mencabut pembagian: Sebelum mencabut pembagian, principal harus menghapus semua kunci dan rahasia yang mereka buat dalam instans yang dibagikan. Jika masih ada resource yang tersisa, pencabutan akan gagal. Untuk petunjuknya, lihat Revoke sharing for a KMS instance.

• Memodifikasi principal: Menambah atau menghapus principal dari Bagian Sumber Daya memengaruhi semua resource dalam bagian tersebut. Buat Bagian Sumber Daya terpisah untuk skenario bisnis atau tim yang berbeda untuk menghindari konflik izin. Untuk petunjuknya, lihat Modify the principals of a resource share.