cloud Hardware Security Module, backup e restauração de dados - Key Management Service: Central de Documentação do Alibaba Cloud

O recurso de backup e restauração de dados permite restaurar um HSM para um estado anterior ou replicar seus dados para outro HSM na mesma região ou em uma região diferente. Esse recurso é útil para recuperação de dados ou para implantar services em várias regiões.

Recursos

Cada operação de backup executa um backup completo dos dados do HSM e gera uma imagem. Se você usar uma imagem existente para realizar um novo backup, os dados dessa imagem serão sobrescritos. Ative o backup e restauração de dados para todos os HSMs em um cluster ou faça backup de uma única instância de HSM.

Conteúdo do backup

Dados de backup	Descrição
Informações do usuário	Contas de usuário, senhas e tipos de identidade.
Informações de certificado	Certificados de cluster e certificados autoassinados.
keys	Chaves e seus atributos, como identificadores de chave, tipos de chave, uso da chave, status da chave, informações do proprietário, identificadores de Key Check Value (KCV), tipos de curva elíptica (apenas para chaves ECC) e parâmetros CRT (apenas para chaves RSA).

Nota

Uma hardware-protected key do KMS é um tipo de chave que depende de um HSM. Ela contém tanto o material da chave (a chave gerenciada pelo HSM) quanto os metadados da chave. O HSM pode fazer backup do material da chave, mas não dos metadados.

O material da chave consiste nos parâmetros criptográficos principais gerados e gerenciados pelo KMS dentro do ambiente fisicamente isolado do HSM.
Os metadados da chave incluem informações relacionadas ao negócio armazenadas no KMS, como o ID da chave, a instância associada do KMS, ARN e política da chave.

Método e cronograma de backup

Apenas backups completos são suportados. Backups incrementais não são suportados.

Se você ative o recurso de backup e restauração de dados no Dia T, o sistema executará o primeiro backup às 00:00 (UTC+8) no Dia T+1. Os backups subsequentes são realizados diariamente às 00:00 (UTC+8). Cada backup gera uma imagem. Se a cota de imagens for atingida, a imagem recém-gerada sobrescreverá a mais antiga.

Backups não podem ser baixados ou excluídos

Não é possível baixar backups e suas imagens, nem visualize os dados detalhados dentro de uma imagem. Esse design reduz o risco de cópia não autorizada ou violação de dados.

Não é possível excluir manualmente backups ou suas imagens. Os backups e todos os dados de suas imagens são excluídos automaticamente 90 dias após a liberação da instância de HSM associada. Antes que um backup seja excluído, ainda é possível execute operações de cópia entre regiões ou restauração de instância.

Auditoria de operações

Todas as operações de backup e restauração são registradas e podem ser consultadas no ActionTrail.

Faturamento

Ao ative o recurso de backup e restauração de dados para uma instância de HSM, a cobrança é baseada no número de imagens selecionadas. Cada imagem custa USD 10.

Fluxos de trabalho de backup e restauração

Caso de uso 1: Restaurar todos os HSMs em um cluster

Para restaurar os dados de um cluster de HSM, remova primeiro todos os HSMs do cluster, recrie os HSMs a partir de uma imagem e reimplemente o cluster. Esse processo exclui todos os dados no cluster. O fluxo de trabalho a seguir serve apenas como referência. Recomendamos entrar em contato com o suporte técnico antes de execute esta operação.

Caso de uso 2: Replicar dados para um cluster em outra região

O fluxo de trabalho a seguir descreve o processo. Como os HSMs exigem implantação em zona de disponibilidade dupla, compre pelo menos dois HSMs na Região B. Após a compra, não ative nem inicialize os HSMs.

Procedimento

Fazer backup de dados do HSM

Antes de fazer backup dos dados, verifique se o status da instância do HSM é Enabled.

Ative o backup e restauração de dados ao comprar uma instância de HSM. Nesse caso, como os HSMs exigem implantação em cluster, compre pelo menos dois HSMs em duas zonas de disponibilidade. Este método ativa o backup e restauração de dados para todos os HSMs adquiridos. Alternativamente, ative o recurso para um único HSM posteriormente, caso não o tenha feito no momento da compra.

Método 1: Ativar backup e restauração de dados ao comprar uma instância de HSM.

Para mais informações, consulte Purchase an HSM instance. Após a conclusão da compra, os backups são criados automaticamente conforme o cronograma. Visualize os backups na página Data Backup and Restoration.
Método 2: Ativar o recurso de backup e restauração de dados para uma instância de HSM existente.
1. Acesse a página Virtual HSM Instances do console CloudHSM. Na barra de navegação superior, selecione a região de destino.
2. Localize o HSM desejado e, na coluna Actions, clique em Upgrade.
  
  Nota
  Se a opção Upgrade não estiver disponível, o recurso de backup e restauração de dados já pode estar ativado para este HSM.
3. Na página Upgrade, ative o backup e restauração de dados, selecione o número de imagens, leia e aceite os termos de service e clique em Buy Now. Siga as instruções para concluir o pagamento.
  
  Após a conclusão da compra, os backups são criados automaticamente conforme o cronograma. Veja o nome do backup gerado na página Data Backup and Restoration.

Copiar uma imagem entre regiões

A cópia de imagens é permitida apenas entre regiões na china continental. Após copiar uma imagem, um novo backup com Backup Type definido como Cross-region Copy é criado automaticamente na região de destino. Este novo backup contém a imagem copiada. Por exemplo, copie uma imagem da região china (Hangzhou) para a região china (Shanghai).

Acesse a página Data Backup and Restore Management do console CloudHSM. Na barra de navegação superior, selecione a região de destino.
Localize o backup desejado e clique em View Image na coluna Actions.
Encontre o Image ID alvo e clique em Cross-region Copy na coluna Actions.
Na caixa de diálogo Copy Image, selecione uma Destination Region e clique em OK.
Mude para a região de destino e visualize a imagem na página Data Backup and Restoration.
1. Localize o backup cujo Backup Type seja Cross-region Copy e clique em View Image na coluna Actions.
  
  Nota
  Este backup contém todas as imagens copiadas de outras regiões e não expira.
2. Encontre a imagem copiada com base em sua data de criação.
  
  Passe o mouse sobre o ícone ao lado do ID da imagem para visualize o ID do backup original, ID da imagem original, ID da instância original e região original.

Restaurar dados do HSM a partir de uma imagem

Utilizando uma imagem, restaure os dados originais de um HSM ou crie um novo HSM idêntico.

Importante

O HSM de destino deve atender aos seguintes pré-requisitos:

A instância do HSM deve estar na mesma região do backup. Para uma restauração entre regiões, copie primeiro a imagem para a região de destino.
A instância do HSM deve ser do mesmo tipo que o HSM de source.
O HSM não faz parte de um cluster.
O status do HSM é Not Enabled ou Stopped.
O HSM não foi inicializado.

Prepare uma instância de HSM.
- Se nenhuma instância de HSM estiver disponível na região de destino, compre uma primeiro. Para mais informações, consulte Purchase an HSM instance.
  
  Importante
  Não ative a instância do HSM após a compra.
- Se o HSM de destino já estiver em uso, entre em contato com o suporte técnico da Alibaba cloud para parar e redefinir a instância.
Encontre a imagem desejada.
1. Acesse a página Data Backup and Restore Management do console CloudHSM. Na barra de navegação superior, selecione a região de destino.
2. Na página Data Backup and Restoration, encontre a imagem desejada.
  - Para restauração na mesma região: Localize o backup desejado e clique em View Image na coluna Actions.
  - Para restauração entre regiões: Localize o backup cujo Backup Type seja Cross-region Copy e clique em View Image na coluna Actions.
Localize o Image ID desejado e clique em Restore Instance na coluna Actions.
Na caixa de diálogo Restore Instance, selecione uma Instance e clique em OK.

Após a restauração bem-sucedida, os dados da imagem são copiados para o HSM de destino.