Key Management Service:Sinkronkan resource di berbagai instans KMS

Cara kerja

Instans KMS mendukung sinkronisasi resource cross-region dan menyelesaikan proses sinkronisasi dalam hitungan menit. Setelah sinkronisasi cross-region dikonfigurasi, aplikasi bisnis yang menggunakan kunci KMS untuk enkripsi dapat mencapai geo-redundansi: aplikasi di wilayah primary mengakses instans KMS primary untuk operasi kriptografi, sedangkan dalam skenario pemulihan bencana, aplikasi di wilayah replika mengakses instans replika lokal.

Cakupan

• Persyaratan instans primary:

  • Instans harus dimiliki oleh akun yang sedang login dan belum pernah disinkronkan ke instans replika mana pun.

  • Instans harus merupakan instans manajemen kunci perangkat lunak dengan metode penagihan subscription.

• Batasan instans replika:

  • Jumlah: Setiap instans primary dapat dikaitkan dengan maksimal tiga instans replika.

  • Wilayah: Instans primary dan semua instans replika harus berada di wilayah yang berbeda.

  • Resource: Instans replika tidak boleh memiliki kunci atau rahasia yang telah dibuat. Anda tidak dapat mengaitkan instans yang sudah berisi resource.

  • Kuota: Kuota kunci dan kuota rahasia pada instans replika harus lebih besar dari atau sama dengan kuota pada instans primary.

  • Penagihan: Instans replika harus menggunakan metode penagihan subscription.

  • Versi: Untuk menyinkronkan rahasia, baik instans primary maupun replika harus menggunakan versi 3.11.0 atau lebih baru.

• Batasan lintas batas negara: Sinkronisasi lintas batas negara tidak didukung. Instans primary dan semua instans replika harus berada dalam batas geografis yang sama. Misalnya, jika instans primary berada di wilayah dalam Tiongkok daratan, semua instans replika juga harus berada di wilayah dalam Tiongkok daratan.

Detail sinkronisasi resource

Prosedur

1. Beli dan aktifkan instans replika. Untuk informasi selengkapnya, lihat Beli instans KMS.

2. Login ke Konsol Key Management Service. Di bilah navigasi atas, pilih wilayah. Di panel navigasi kiri, pilih Security Operations > Disaster Recovery > Cross-region Synchronization.

3. Di panel navigasi kiri, pilih Cross-region Synchronization, lalu klik Add Replica Instance.

4. Di halaman Configure Replica Instance, pilih instans primary dan instans replika, lalu klik Next.

   Catatan

   Synchronization Policy hanya mendukung ignore, yang melewati resource duplikat ketika ID kunci atau nama rahasia yang sama ditemukan dan melanjutkan sinkronisasi resource yang tersisa.

5. Di halaman Synchronize Resources, pilih jenis sinkronisasi untuk kunci dan rahasia, lalu klik Next.

   • Key Sync Type: Mendukung pemilihan ganda. Namun, Anda tidak dapat memilih Full Synchronization dan Synchronization of Selected Resources secara bersamaan.

     Jenis sinkronisasi	Deskripsi
     Full Synchronization	Hanya menyinkronkan kunci yang saat ini ada di instans primary. Kunci yang dibuat setelahnya tidak disinkronkan. Perubahan pada kunci yang telah disinkronkan akan disinkronkan secara otomatis.
     Incremental Key Synchronization	Kunci yang sudah ada di instans primary tidak disinkronkan. Hanya kunci yang dibuat setelahnya yang disinkronkan.
     Synchronization of Selected Resources	Hanya kunci yang Anda pilih yang disinkronkan. Perubahan pada kunci tersebut akan disinkronkan secara otomatis. Di panel resource kunci yang diperluas, pilih kunci yang akan disinkronkan dari sisi kiri.

   • Secret Sync Type: Mendukung pemilihan ganda. Namun, Anda tidak dapat memilih Full Synchronization dan Synchronization of Selected Resources secara bersamaan.

     Penting

     Sinkronisasi rahasia memerlukan instans primary dan replika menggunakan versi 3.11.0 atau lebih baru. Jika pemeriksaan versi gagal, tugas sinkronisasi rahasia tidak dapat dibuat. Tingkatkan versi instans terlebih dahulu.

     Jenis sinkronisasi	Deskripsi
     Full Synchronization	Menyinkronkan semua rahasia yang saat ini ada di instans primary. Rahasia yang dibuat setelahnya tidak disinkronkan.
     Incremental Secret Sync	Rahasia yang sudah ada di instans primary tidak disinkronkan. Hanya rahasia yang dibuat setelahnya yang disinkronkan.
     Synchronization of Selected Resources	Hanya rahasia yang Anda pilih yang disinkronkan. Perubahan pada rahasia tersebut akan disinkronkan secara otomatis. Di panel resource rahasia yang diperluas, pilih rahasia yang akan disinkronkan dari sisi kiri.

6. Konfirmasi konfigurasi dan klik Done. Proses sinkronisasi membutuhkan waktu sekitar 3 hingga 5 menit.

7. Di halaman hasil sinkronisasi, lihat hasil sinkronisasi dan alasan kegagalan (jika ada) di tab Result pada instans replika target.

8. Klik Close untuk kembali ke daftar tugas Cross-region Synchronization. Periksa progres sinkronisasi di kolom Synchronization Task pada instans primary target.

   Catatan

   Sistem secara otomatis menyinkronkan progres setiap menit. Progres sinkronisasi = (Jumlah kunci yang disinkronkan + Jumlah rahasia yang disinkronkan) / (Jumlah kunci yang akan disinkronkan + Jumlah rahasia yang akan disinkronkan) × 100%.

Langkah selanjutnya

Setelah membuat kredensial akses, aplikasi di wilayah primary dan replika dapat menggunakan kunci dari instans KMS masing-masing untuk operasi kriptografi. Untuk informasi selengkapnya, lihat Buat kredensial akses.

• Alibaba Cloud SDK: Buat hanya satu kredensial akses. Hanya peran RAM yang entitas tepercayanya adalah layanan Alibaba Cloud yang didukung.

• KMS Instance SDK (tidak direkomendasikan): Buat kredensial akses terpisah untuk instans primary dan setiap instans replika. Hanya ClientKey dari titik akses aplikasi (AAP) yang didukung. Untuk informasi selengkapnya, lihat Gunakan KMS Instance SDK.