Key Management Service:KMS インスタンスの購入と有効化

ステップ 1： KMS インスタンスの購入

1. Key Management Service (KMS) コンソールにログインします。上部のナビゲーションバーで、リージョンを選択します。左側のナビゲーションウィンドウで、リソース > インスタンス管理を選択します。

2. インスタンス管理ページで、インスタンスの作成をクリックし、課金方法とインスタンスの仕様を選択して、[今すぐ購入] をクリックします。

   サブスクリプション

   パラメーター	説明
   サイト	インスタンスのリージョンが所在するサイト。オプション：[国際リージョン] と [中国本土リージョン]。
   キー管理タイプ	KMS は、各リージョンでクラウド製品の暗号化のために無料のデフォルトキー (サービスキーとカスタマーマスターキー) を提供します。デフォルトキーは機能が制限されており、インスタンスの購入は不要です。キーのローテーションなどの付加価値サービスに対してのみ料金が発生します。 購入前に、「KMS インスタンスタイプの選択」をご確認ください。 KMS インスタンスの購入 ソフトウェアキー管理インスタンスは、ほとんどのユースケースに適しています。物理レベルのセキュリティや金融規制などの厳格なコンプライアンスが必要な場合は、ハードウェアキー管理インスタンスを選択してください。 ソフトウェアキー管理：キーはインスタンス専用のデータベースに保存されます。 ハードウェアキー管理：キーの生成、保存、暗号化、復号は、中国国家暗号標準または FIPS 140-3 Level 3 に準拠した専用のハードウェアセキュリティモジュール (HSM) に依存します。このタイプを選択した場合、HSM も購入する必要があります。ハードウェアキー管理インスタンス用に HSM クラスターを設定します。 キーの付加価値サービスの購入 インスタンスバックアップ：ソフトウェアキー管理インスタンスのみ。KMS はデフォルトで 90 日間の無料データバックアップを提供します。これが要件を満たさない場合は、インスタンスバックアップサービスを購入してください。バックアップ管理。 デフォルトキーのローテーション：無料のデフォルトキーのみがこの付加価値サービスを必要とします。デフォルトキーのローテーション。KMS インスタンスを購入した場合、インスタンス内のキーはデフォルトでローテーションをサポートしており、この付加価値サービスは不要です。
   リージョン	デプロイしたサービスと同じリージョンを選択します。リージョンとアベイラビリティゾーン。
   デプロイモード	KMS インスタンスは、高可用性、ディザスタリカバリ、および負荷分散のために、デュアルゾーンまたはマルチゾーン構成をサポートします。 説明 フィリピン (マニラ) およびタイ (バンコク) リージョンでは、単一のゾーンのみが利用可能であるため、KMS インスタンスはデフォルトでシングルゾーンにデプロイされます。 マルチゾーンデプロイは、最大 3 つのゾーンで構成できます。 各リージョンのゾーン数については、「リージョンとゾーン」をご参照ください。
   コンピューティングパフォーマンス	インスタンスのパフォーマンス仕様。たとえば、2000 は、対称操作で最大 2,000 QPS、非対称操作で独立して最大 300 QPS を意味します。 説明 コンピューティングパフォーマンスが 10,000 または 20,000 のソフトウェアキー管理インスタンスが必要な場合は、お問い合わせください。
   キーのクォータ	キーのクォータ。デフォルトは 1,000 です。 キーではなく、キーバージョンでカウントされます。たとえば、5 つのバージョンを持つ 1 つのキーは、5 つのクォータユニットを使用します。
   シークレットのクォータ	シークレットのクォータ。デフォルトは 0 です。 バージョン数に関係なく、シークレットでカウントされます。 説明 シークレットを使用しない場合は、これをスキップしてください。後でアップグレードしてシークレットのクォータを追加できます。
   データキーのクォータ	データキー (DK) のクォータ。デフォルトは 0 です。 データキーではなく、データキーバージョンでカウントされます。たとえば、5 つのバージョンを持つ 1 つのデータキー (DK) は、5 つのクォータユニットを使用します。
   アクセス管理数	このクォータは 2 つの機能に適用されます： 同じリージョン内の複数の VPC から KMS インスタンスにアクセスする：同じリージョン内の複数の VPC が KMS リソースにアクセスできるようにします。VPC ごとに 1 つのクォータユニットが必要です。 複数のアカウントで KMS インスタンスを共有する：必要なクォータユニット数は、インスタンスを共有する Alibaba Cloud アカウントの数と同じです。 例：3 つの VPC に関連付け、2 つのアカウントと共有する場合、少なくとも 5 のクォータが必要です。 デフォルト：1 (バインドされた VPC)。
   ログ分析	ログ分析を有効にするかどうか。Log Service の概要。 警告 ログ分析は一度有効にすると無効にできません。費用を確認してください。
   ログストレージ容量	最小 1,000 GB、1,000 GB 単位で拡張可能。容量の評価については、「ストレージ容量の見積もり」をご参照ください。
   数量	購入する KMS インスタンスの数。 重要 ほとんどのユースケースでは 1 つのインスタンスで十分です。複数のインスタンスを購入するには、お問い合わせください。
   期間	サブスクリプション期間。 説明 自動更新のために [有効期限切れ時の自動更新] を選択できます。

   従量課金

   パラメーター	説明
   サイト	インスタンスのリージョンが所在するサイト。オプション：[国際リージョン] と [中国本土リージョン]。
   キー管理タイプ	ソフトウェアキー管理インスタンスは、ほとんどのユースケースに適しています。物理レベルのセキュリティや金融規制などの厳格なコンプライアンスが必要な場合は、ハードウェアキー管理インスタンスを選択してください。 ソフトウェアキー管理：キーはインスタンス専用のデータベースに保存されます。 ハードウェアキー管理：キーの生成、保存、暗号化、復号は、中国国家暗号標準または FIPS 140-3 Level 3 に準拠した専用のハードウェアセキュリティモジュール (HSM) に依存します。このタイプを選択した場合、HSM も購入する必要があります。詳細については、「ハードウェアキー管理インスタンス用に HSM クラスターを設定する」をご参照ください。
   リージョン	デプロイしたサービスと同じリージョンを選択します。リージョンとアベイラビリティゾーン。
   コンピューティングパフォーマンス	インスタンスのパフォーマンス仕様。
   キーのクォータ	キーのクォータ。デフォルトは 1,000 です。 キーではなく、キーバージョンでカウントされます。
   シークレットのクォータ	シークレットのクォータ。デフォルトは 0 です。 説明 シークレットを使用しない場合は、これをスキップしてください。後でアップグレードしてシークレットのクォータを追加できます。

   購入後、インスタンス管理ページに移動してインスタンスを有効化します。

   1. KMS コンソールにログインします。上部のナビゲーションバーで、リージョンを選択します。左側のナビゲーションウィンドウで、リソース > インスタンス管理を選択します。

   2. インスタンス管理ページで、インスタンスの作成をクリックし、ターゲットの KMS インスタンスを見つけて、操作列の 有効化をクリックします。

   3. Connect to HSMパネルで、設定を構成し、Connect to HSMをクリックして HSM クラスターを指定します。

      1. Instance Name：KMS インスタンスのカスタム名。名前には、文字、数字、および次の特殊文字を含めることができます：_/+=.@-。

      2. Select Cluster：CloudHSM で設定した HSM クラスターを選択します。

         説明

         ハードウェアキー管理インスタンスは、1 つの HSM クラスターにのみバインドできます。

   4. 有効化には約 30 分かかります。ページを更新して、インスタンスのステータスが Enabledに変わることを確認します。

ステップ 2： KMS インスタンスの有効化

KMS インスタンスを購入した後、キー管理およびシークレット管理機能を使用する前に有効化する必要があります。

KMS インスタンスのサブスクリプション解除

KMS は、[有効化待ち] または [有効] 状態のインスタンスに対して、一部返金のサブスクリプション解除をサポートしています。全額返金は利用できません。

1. Alibaba Cloud コンソールの [費用] > [返金] の下の [返金] ページに移動します。

2. [リソース] タブで、[製品] を [Key Management Service (KMS)] に設定し、ターゲットのインスタンスを見つけて、[操作] 列の [サブスクリプションの解除] をクリックします。

3. 確認ページで、リソース情報、返金条件、および返金額を確認します。

4. 左下の確認チェックボックス (返金額の確認とデータのバックアップおよび移行の確認) を選択し、[サブスクリプション解除の確認] をクリックします。

トラブルシューティング

よくある質問

• KMS 管理の HSM とはなんですか？

  KMS 管理の HSM は、ハードウェアキー管理インスタンスを購入する際に、購入時に提供した HSM 設定に基づいて KMS が自動的に作成する HSM インスタンスです。

• KMS 管理の HSM クラスターをスケールアウトできますか？

  いいえ。バックアップ操作のみ実行できます。他のすべての操作はサポートされていません。

• 有効化中にインスタンスが「接続中」と表示され続けるのはなぜですか？

  KMS インスタンス (ソフトウェアキー管理インスタンスおよびハードウェアキー管理インスタンスを含む) を有効化する際は、約 30 分待ってからページを更新してください。インスタンスのステータスが「有効」に変わると、KMS インスタンスは有効になります。

• ハードウェアキー管理インスタンスを有効化する際に「接続に失敗しました」と表示された場合はどうすればよいですか？

  HSM のアクセス認証情報が正しいかどうかを確認してください。HSM のアクセス認証情報の詳細については、クラスターの作成とアクティブ化をご参照ください。

• IaC または API を使用して KMS インスタンスを有効化する際に「ZoneIds is not valid」または「vswitch_ids invalid」というエラーが表示された場合はどうすればよいですか？

  このエラーは通常、渡したゾーンまたは vSwitch パラメーターが KMS インスタンスの仕様と一致しない場合に発生します。以下に、2 つの一般的なシナリオとその解決策を説明します：

  • シナリオ 1：アベイラビリティゾーン数の不一致

    このエラーは、デュアルゾーンの KMS インスタンスを購入したにもかかわらず、IaC スタックまたは API 呼び出しで 3 つのゾーン ID (ZoneIds) を渡した場合にトリガーされます。

    解決策：インスタンス仕様でサポートされているゾーンの数を確認してください。3 つのゾーンを設定する必要がある場合は、マルチゾーンデプロイをサポートするインスタンス仕様を購入してください。

  • シナリオ 2：不正な vSwitch パラメーター

    このエラーは、DKMS ConnectKmsInstance API 呼び出しまたは Terraform 設定で複数の vswitch_ids 値を渡した場合にトリガーされます。ConnectKmsInstance API は単一の vSwitch ID のみを受け入れます。

    解決策：単一の vSwitch ID (vswitch_id) のみを渡すように設定を変更し、操作を再試行してください。