Como fazer backup e restaurar dados de HSMs fora da China continental - Key Management Service: Central de Documentação do Alibaba Cloud

O recurso de backup e restauração de dados permite restaurar uma instância HSM para um estado anterior ou recuperar seus dados em outra instância HSM, na mesma região ou em uma região diferente. Esse recurso é útil para recuperação de dados e implantação de serviços entre regiões.

Visão geral

Cada operação de backup cria uma imagem completa dos dados em uma instância HSM. O HSM permite ativar o backup e a restauração de dados para todas as instâncias HSM de um cluster ou para uma única instância HSM.

Dados incluídos no backup

Dados do backup	Descrição
Informações do usuário	Senhas de contas de usuário e tipos de identidade.
Informações de certificado	Certificados de cluster e certificados autoassinados.
Chaves	Chaves e seus atributos, incluindo identificador da chave, tipo da chave, finalidade da chave, status da chave, informações do proprietário da chave, identificador KCV, tipo de curva elíptica (apenas para chaves ECC) e parâmetros CRT (apenas para chaves RSA).

Nota

Uma chave mestra do cliente (CMK) do KMS depende de um HSM. Ela consiste no material da chave (chaves do HSM) e nos metadados da chave. Um HSM pode fazer backup do material da chave de chaves protegidas por hardware, mas não de seus metadados.

O material da chave refere-se aos parâmetros principais de uma chave gerados e hospedados pelo KMS no ambiente fisicamente isolado de um HSM.
Os metadados da chave referem-se a dados comerciais armazenados no KMS, como o ID da chave, a instância KMS à qual a chave pertence, o ARN e a política da chave.

Método e agendamento de backup

O sistema suporta apenas backups completos. Backups incrementais não são suportados.

Se você ativar o recurso de backup e restauração de dados no dia T, o primeiro backup será criado às 00:00 (UTC+8) do dia T+1. Os backups subsequentes serão criados diariamente às 00:00 (UTC+8). Cada operação de backup gera uma imagem. Se todas as imagens disponíveis estiverem em uso, a nova imagem gerada substituirá a mais antiga.

Nota

Antes de gerar uma imagem, o HSM compara o resumo dos dados atuais do HSM com o resumo da imagem anterior. Se os resumos forem idênticos, isso indica que os dados do HSM não foram alterados. Nesse caso, o sistema não gera uma nova imagem para conservar sua cota de imagens.

Restrições de download e exclusão

Não é possível baixar ou inspecionar detalhadamente os backups e suas imagens. Essa limitação reduz o risco de replicação ou vazamento não autorizado de dados.

Também não é possível excluir backups e suas imagens manualmente. O sistema exclui os backups automaticamente 90 dias após a liberação da instância HSM, o que também libera todos os dados de imagem associados. Antes da exclusão de um backup, ainda é possível realizar operações de cópia entre regiões e restauração de instâncias.

Auditoria

Consulte as operações de backup e restauração no ActionTrail.

Faturamento

A cobrança pelo recurso de backup de dados baseia-se no número de imagens selecionadas. Cada imagem custa 10 USD.

Fluxo de trabalho de backup e restauração

Cenário 1: Restaurar um cluster HSM inteiro

Para restaurar os dados das instâncias HSM em um cluster, remova primeiro todas as instâncias HSM do cluster e, em seguida, use uma imagem para restaurar os dados nas instâncias HSM antes de recriar o cluster. Esse processo exclui todos os dados do cluster. O fluxo de trabalho a seguir serve apenas como referência. Recomendamos entrar em contato com o suporte técnico antes de prosseguir.

Cenário 2: Replicar dados para um cluster entre regiões

O fluxo de trabalho geral é descrito a seguir. Observe que, ao adquirir instâncias HSM na Região B, você deve comprar pelo menos duas instâncias, pois o HSM suporta apenas implantação em zona dupla. Após a compra, não é necessário ativar ou inicializar as instâncias HSM.

Procedimento

Fazer backup dos dados da instância

Antes de fazer o backup dos dados, verifique se a instância HSM está no estado Enabled.

É possível ativar o backup e a restauração de dados durante a aquisição de uma instância HSM. Nesse caso, selecione pelo menos duas instâncias HSM em duas zonas diferentes, pois o HSM suporta apenas implantações em cluster. Isso ativa o recurso de backup e restauração de dados para todas as instâncias HSM. Alternativamente, adquira uma instância sem esse recurso e ative-o posteriormente para uma única instância HSM.

Método 1: Ative o backup e a restauração de dados ao adquirir uma instância HSM.

Para obter mais informações, consulte Adquirir uma instância HSM. Após a ativação da instância, o sistema faz o backup dos dados automaticamente nos horários agendados. Visualize os backups na página Data Backup and Restoration.
Método 2: Ative o backup e a restauração de dados para uma instância HSM existente.
1. Acesse a página Virtual HSM Instances do console CloudHSM. Na barra de navegação superior, selecione a região de destino.
2. Localize a instância HSM desejada e, na coluna Actions, clique em Upgrade.
  
  Nota
  Se a opção Upgrade não estiver disponível, o recurso de backup e restauração de dados talvez já esteja ativado para a instância HSM.
3. Na página Upgrade/Downgrade, ative o backup e a restauração de dados, selecione o número de imagens, leia e aceite os termos de serviço e clique em Buy Now. Siga as instruções para concluir a compra.
  
  Após a conclusão da compra, o sistema faz o backup dos dados automaticamente nos horários agendados. Os nomes dos backups gerados ficam visíveis na página Data Backup and Restoration. Na página Data Backup and Restoration Management, também é possível visualizar os registros de backup. Esses registros incluem detalhes como nome do backup, tipo de backup, objeto do backup, número de imagens e horário de exclusão. Clique em View Image para visualizar os detalhes das imagens associadas ao backup.

Cópia de imagem entre regiões

A cópia de imagens é permitida apenas entre regiões fora da China continental. Após a conclusão da cópia, o sistema cria automaticamente um backup com o Backup Type definido como Cross-region Copy na região de destino. A imagem copiada é armazenada nesse novo backup. Por exemplo, copie uma imagem da região de Singapura para a região da Malásia (Kuala Lumpur).

Acesse a página Data Backup and Restore Management do console CloudHSM. Na barra de navegação superior, selecione a região de destino.
Encontre o backup desejado e clique em View Image na coluna Actions.
Localize o Image ID desejado e clique em Cross-region Copy na coluna Actions.
Na caixa de diálogo Copy Image, selecione uma Destination Region e clique em OK.
Mude para a região de destino e visualize a imagem na página Data Backup and Restoration.
1. Encontre o backup com o Backup Type definido como Cross-region Copy e clique em View Image na coluna Actions.
  
  Nota
  Esse backup agrega todas as imagens copiadas de outras regiões e não possui data de expiração.
2. Localize a imagem copiada com base no horário da cópia.
  
  Passe o mouse sobre o ícone ao lado do ID da imagem para visualizar o ID do backup de source, o ID da imagem de source, o ID da instância de source e a região da imagem de source.

Restaurar uma instância a partir de uma imagem

O HSM suporta a restauração de dados para uma instância HSM na mesma região ou em uma região diferente. Ao restaurar a partir de uma imagem, recupere os dados originais de uma instância HSM ou preencha uma nova instância HSM com os mesmos dados.

Importante

A instância HSM de destino deve atender às seguintes condições:

A instância HSM deve estar na mesma região do backup. Para restauração entre regiões, copie primeiro a imagem para a região de destino.
O tipo da instância HSM deve corresponder ao tipo da instância HSM de source.
A instância HSM não deve estar em um cluster.
A instância HSM deve estar no estado Not Enabled ou Disabled.
A instância HSM não deve estar inicializada.

Prepare uma instância HSM.
- Se não houver nenhuma instância HSM na região de destino, adquira uma primeiro. Para obter mais informações, consulte Adquirir uma instância HSM.
  
  Importante
  Não ative a instância HSM após a compra.
- Se a instância HSM de destino estiver em uso, entre em contato com o suporte técnico da Alibaba Cloud para desativá-la e redefini-la.
Encontre a imagem desejada.
1. Acesse a página Data Backup and Restore Management do console CloudHSM. Na barra de navegação superior, selecione a região de destino.
2. Na página Data Backup and Restoration, localize a imagem desejada.
  - Restauração na mesma região: Encontre o backup com o Backup Type definido como Auto Create e clique em View Image na coluna Actions do backup desejado.
  - Restauração entre regiões: Encontre o backup com o Backup Type definido como Cross-region Copy e clique em View Image na coluna Actions.
Localize o Image ID desejado e clique em Restore Instance na coluna Actions.
Na caixa de diálogo Restore Instance, selecione a Instance desejada e clique em OK.

Após a restauração bem-sucedida, os dados da imagem são copiados para a instância HSM de destino.