Todos os produtos
Search

Este produto

    Key Management Service:Gerenciamento de backup do KMS

    Central de documentação

    Key Management Service:Gerenciamento de backup do KMS

    Última atualização: Aug 27, 2026

    O Gerenciamento de Backup do KMS protege suas chaves e segredos contra exclusões acidentais e cenários de desastre. Ele ajuda a cumprir requisitos de retenção por conformidade e minimiza o tempo de recuperação. Este tópico descreve como ativar backups automáticos e manuais, além de restaurar, estender, redefinir e baixar dados de backup.

    Escopo

    Tipos de instância compatíveis

    Instâncias de gerenciamento de chaves de software e de hardware oferecem suporte a backup. Para mais informações, consulte Gerencie keys.

    • Instâncias de gerenciamento de chaves de software: Oferecem suporte a backup de metadados de chave, material de chave e dados de segredo.

    • Instâncias de gerenciamento de chaves de hardware:

      • Escopo do backup: O sistema faz backup apenas dos metadados das chaves de hardware. O material da chave não está incluído; o cluster HSM associado realiza esse backup. Para mais informações, consulte Data backup and restoration.

        Importante

        Para proteger totalmente os dados de chave em uma instância de hardware, ative tanto o backup do KMS quanto o backup do HSM.

      • Requisito de versão de imagem: Instâncias de gerenciamento de chaves de hardware exigem a versão de imagem 3.9.1 ou posterior para usar o recurso de backup. Para atualizar, consulte Upgrade the image version of a KMS instance.

    Escopo do destino de recuperação

    • Conta única: Restaure em qualquer instância de gerenciamento de chaves de software na sua conta.

    • Compartilhamento entre várias contas: Somente o proprietário do recurso pode executar operações de backup e restauração.

      • Recursos criados pelo proprietário: É possível restaurá-los em qualquer instância de gerenciamento de chaves de software pertencente ao proprietário do recurso.

      • Recursos criados por um consumidor: A restauração ocorre apenas na instância KMS compartilhada original. Após a restauração, ambas as partes podem usar o recurso.

        Nota

        Não há suporte para restauração após o término do relacionamento de compartilhamento.

    • Instâncias de gerenciamento de chaves de hardware: Atualmente, não há suporte para restauração de dados na instância original. Os dados só podem ser restaurados em uma nova instância.

    Casos de uso

    • Recupere uma instância de gerenciamento de chaves de software ou de hardware após a liberação.

    • Restaure chaves ou segredos excluídos acidentalmente.

    • Copie chaves ou segredos para outras regiões visando recuperação de desastres ou acesso de baixa latência quando seus negócios abrangem múltiplas regiões.

    Recursos

    Cada backup pode armazenar os dados de uma instância KMS. O KMS oferece dois modos de backup: automático e manual.

    Item

    Descrição

    Backup Automático

    Backup Manual

    Backup Padrão

    Backup Comprado

    Custo

    Indica se há cobranças adicionais.

    Gratuito.

    Gratuito.

    Pago.

    As cobranças baseiam-se na duração da compra e no número configurado de dias visualizáveis.

    Política de exclusão de backup

    Momento padrão em que o sistema exclui os dados de backup.

    O ciclo de vida do backup depende da instância KMS associada. O sistema exclui os dados de backup 90 dias após a liberação da instância KMS.

    Não há suporte para exclusão manual dos dados de backup.

    Permanece válido indefinidamente. Suporta exclusão manual por meio da operação de redefinição.

    O ciclo de vida do backup depende da duração da compra. O sistema libera e exclui os backups 15 dias após o vencimento.

    Também há suporte para exclusão manual via operação de redefinição.

    Importante

    Nenhuma operação é suportada após o vencimento do backup. No entanto, você pode renovar um backup expirado para reativá-lo e usá-lo antes da liberação. As taxas de renovação são iguais às da compra de um novo backup com a mesma especificação.

    Dias visualizáveis

    Número de dias de dados de backup disponíveis para visualização.

    Por exemplo, se você definir os dias visualizáveis como 50 para um backup comprado e os dados tiverem 80 dias, apenas os 50 dias mais recentes ficarão visíveis. Para ver dados anteriores, estenda os dias visualizáveis.

    Nota

    Configure os dias visualizáveis com base no cronograma de rotação de chaves e nos requisitos de recuperação de desastres.

    90 dias. Não pode ser estendido.

    7 dias. Não pode ser estendido.

    Selecione de 7 a 600 dias no momento da compra.

    Você também pode estender os dias visualizáveis após a compra, mas não há suporte para downgrade.

    Cronograma de backup

    Horário do dia em que o sistema executa os backups.

    O sistema realiza um backup completo na primeira execução. Depois disso, um backup completo roda diariamente às 00:00, e backups incrementais ocorrem a cada 5 minutos após a conclusão de cada backup completo.

    Tipo de backup

    Distingue as origens de backup para identificação rápida.

    System Created

    Default

    Paid

    Fazer backup de dados

    Antes de começar

    A instância de destino deve atender às seguintes condições antes da restauração de um backup.

    • A instância de destino possui cota suficiente para chaves ou segredos.

    • Não existe nenhuma chave ou segredo com o mesmo nome na região de destino. Para sobrescrever durante a restauração, exclua primeiro a chave ou o segredo existente na região de destino.

    • Ao restaurar um segredo, a chave usada para criptografar esse segredo já deve existir na instância de destino.

    Backup automático

    Após ativar uma instância de gerenciamento de chaves de software ou de hardware, o KMS cria automaticamente um backup para essa instância. Para mais informações sobre como ativar uma instância, consulte Purchase and enable a KMS instance.

    Depois que a instância é ativada, o KMS gera um backup automaticamente. Visualize-o na página Backups. Os backups criados pelo KMS têm o campo Backup Type definido como System Created e o campo Backup Object correspondente à sua instância de gerenciamento de chaves.

    Backup manual

    1. Faça logon no console do KMS.

    2. (Opcional) Compre um backup.

      Nota

      Pule esta etapa se estiver usando o backup padrão.

      1. Na página Backups, clique em Create Backup, configure os parâmetros conforme necessário e clique em Buy Now.

        Parâmetro

        Descrição

        Key Management Type

        Selecione Key Value-Added Service.

        Key Value-Added Service

        Selecione Instance Backup.

        Region

        Deve ser a mesma região da instância de gerenciamento de chaves de software da qual você deseja fazer backup.

        Viewable Days

        Número de dias de dados de backup disponíveis para visualização.

        Quantity

        Número de backups a serem comprados.

        Nota

        Cada backup pode armazenar os dados de uma instância KMS.

        Duration

        Duração da compra do backup.

      2. Na página Confirm Order, revise o acordo de service e conclua o pagamento.

    3. Ative o backup.

      Importante

      O sistema realiza um backup completo quando você ativa um backup pela primeira vez. Posteriormente, um backup completo roda diariamente às 00:00, e backups incrementais ocorrem a cada 5 minutos após a conclusão de cada backup completo.

      1. Na página Backups, localize o backup desejado e clique em Enable na coluna Actions.

      2. Na caixa de diálogo Enable Backup, configure os parâmetros e clique em OK.

        Parâmetro

        Descrição

        Backup Type

        Selecione Software Key Management ou Hardware Key Management. Ao alternar o tipo, o sistema redefine o campo de destino do backup.

        Backup Object

        Selecione a instância de gerenciamento de chaves para backup. A lista mostra apenas instâncias ativadas cujas especificações correspondem à especificação de dados de backup selecionada.

        Backup Data

        Valor padrão: Keys e Secrets. Este parâmetro não pode ser modificado.

        Backup Alias

        Um alias personalizado para o backup.

    4. (Opcional) Visualize os dados de backup.

      Na coluna Actions do backup desejado, clique em View Data, selecione uma data e visualize os dados de backup daquele dia.

      Tipo de Dados

      Descrição

      Fully Backed up Keys

      Todas as chaves com backup realizado às 00:00 do dia selecionado.

      Incrementally Backed up Keys

      Chaves recém-adicionadas no dia selecionado.

      Rotated Keys

      Chaves que passaram por rotação no dia selecionado.

      Fully Backed up Secrets

      Todos os segredos com backup realizado às 00:00 do dia selecionado.

      Incrementally Backed up Secrets

      Segredos recém-adicionados no dia selecionado.

      Rotated Secrets

      Segredos que passaram por rotação no dia selecionado.

    Restaurar dados

    Restaurar uma instância de software

    1. Faça logon no console do KMS.

    2. Na coluna Actions do backup desejado, clique em Extend Queryable Range para selecionar a data até a qual deseja restaurar os dados.

      Importante

      Para backups comprados, se os dados a serem restaurados estiverem fora do intervalo atual de dias visualizáveis, estenda os dias visualizáveis primeiro e depois restaure. Não é possível restaurar dados anteriores à ativação do backup, mesmo estendendo os dias visualizáveis.

      Por exemplo: backup ativado em 1º de maio de 2024 com 10 dias visualizáveis. Para restaurar dados de 5 de maio em 20 de maio de 2024, estenda os dias visualizáveis para 16.

      Tipo de Dados

      Procedimento

      Chaves

      1. Selecione Data Type (por exemplo, Fully Backed up Keys), localize a chave desejada e clique em Upload Backup na coluna Actions.

      2. Na caixa de diálogo Upload Backup, selecione a região de destino e as informações da instância, e clique em OK.

      Segredos

      1. Restaure a chave que criptografa o segredo.

        Nota

        A instância de destino deve possuir a chave que criptografa o segredo. Se tiver certeza de que a chave já existe na instância de destino, pule esta etapa e vá diretamente para a restauração do segredo.

        1. Selecione Data Type (por exemplo, Fully Backed up Keys), localize a chave associada ao segredo e clique em Upload Backup na coluna Actions.

        2. Na caixa de diálogo Upload Backup, selecione a região de destino e as informações da instância, e clique em OK.

      2. Restaure o segredo.

        1. Selecione Data Type (por exemplo, Fully Backed up Secrets), localize o segredo desejado e clique em Upload Backup na coluna Actions.

        2. Na caixa de diálogo Upload Backup, selecione a região de destino e as informações da instância, e clique em OK.

    Restaurar uma instância de hardware

    Notas sobre a operação

    • Atualmente, não há suporte para restauração de dados na instância original. Os dados só podem ser restaurados em uma nova instância.

    • Para garantir a consistência eventual dos dados, defina o horário de backup do HSM um dia após o horário de backup do KMS.

    Etapa 1: Fazer backup dos dados do HSM

    Se você ativou o backup e recuperação de dados para a associated HSM instance ao comprar a instância de hardware, pule esta etapa.

    1. Na página VSMs, localize o HSM desejado e clique em Upgrade.

      Nota

      Se Upgrade não estiver disponível, o HSM pode já ter o backup e recuperação ativados.

    2. Na página de alteração de configuração, ative o backup e recuperação de dados e selecione o número de imagens espelhadas. Revise o acordo de service, marque a caixa de seleção e clique em Buy Now para concluir a compra.

      Importante

      Mantenha o número de mirror images consistente com os Viewable Days configurados para o backup da instância KMS. Caso contrário, o backup pode ficar incompleto. Por exemplo, se os dias visualizáveis estiverem definidos como 30, você precisa comprar 30 imagens espelhadas.

    3. Após a compra bem-sucedida, o sistema cria backups automaticamente conforme o cronograma. Você pode visualizar os nomes dos backups gerados na página Backups.

    Etapa 2: Criar uma instância de gerenciamento de chaves de hardware e restaurar dados

    1. Restaurar dados: Após a geração dos dados de backup do HSM, siga as instruções abaixo para restaurar os dados.

      1. Preparar a instância HSM:

        1. Compre uma instância HSM na mesma região onde deseja restaurar a instância de gerenciamento de chaves de hardware.

        2. O gerenciamento de backup suporta apenas HSMs implantados em modo de cluster. Na compra, selecione pelo menos dois HSMs em zonas de disponibilidade duplas. Para mais informações, consulte Purchase an HSM instance.

          Aviso

          Após a compra, não ative a instância HSM. Se o HSM de destino já estiver em uso, entre em contato com o suporte técnico da Alibaba Cloud para desativar e redefinir a instância HSM primeiro.

      2. Restaurar dados do HSM:

        1. Faça logon no console de Gerenciamento do Serviço de Criptografia.

        2. Na página Backups, selecione os dados de backup do HSM associated with the hardware key management instance (Backup Type é Auto Create).

          Nota

          Selecione o backup mais recente.

        3. Clique em View Image na coluna Actions do backup desejado.

        4. Na página de detalhes do backup de imagem, clique em Upload Backup na coluna Actions da imagem desejada.

        5. Na caixa de diálogo Upload Backup, selecione Restore Instance (a instância HSM comprada na etapa anterior) e clique em OK.

      3. Comprar e ativar a instância de gerenciamento de chaves de hardware:

        1. Faça logon no console do KMS.

        2. Na aba Hardware Key Management, clique em Create Instance, selecione a especificação para a instância de gerenciamento de chaves de hardware e clique em Buy Now.

        3. Retorne à aba Hardware Key Management, localize a instância de gerenciamento de chaves de hardware recém-comprada e clique em Enable na coluna Actions.

        4. No painel Connect to HSM, na seção Select Cluster, selecione a instância HSM comprada na etapa 1 e clique em Connect to HSM.

      4. Restaurar os dados da instância de gerenciamento de chaves de hardware:

        1. Faça logon no console do KMS.

        2. Na coluna Actions do backup desejado, clique em Extend Queryable Range para selecionar a data até a qual deseja restaurar os dados.

          Importante

          Para backups comprados, se os dados a serem restaurados estiverem fora do intervalo atual de dias visualizáveis, estenda os dias visualizáveis primeiro e depois restaure. Não é possível restaurar dados anteriores à ativação do backup, mesmo estendendo os dias visualizáveis.

          Por exemplo: backup ativado em 1º de maio de 2024 com 10 dias visualizáveis. Para restaurar dados de 5 de maio em 20 de maio de 2024, estenda os dias visualizáveis para 16.

          Tipo de Dados

          Procedimento

          Chaves

          1. Selecione Data Type (por exemplo, Fully Backed up Keys), localize a chave desejada e clique em Upload Backup na coluna Actions.

          2. Na caixa de diálogo Upload Backup, selecione a região de destino e as informações da instância, e clique em OK.

          Segredos

          1. Restaure a chave que criptografa o segredo.

            Nota

            A instância de destino deve possuir a chave que criptografa o segredo. Se tiver certeza de que a chave já existe na instância de destino, pule esta etapa e vá diretamente para a restauração do segredo.

            1. Selecione Data Type (por exemplo, Fully Backed up Keys), localize a chave associada ao segredo e clique em Upload Backup na coluna Actions.

            2. Na caixa de diálogo Upload Backup, selecione a região de destino e as informações da instância, e clique em OK.

          2. Restaure o segredo.

            1. Selecione Data Type (por exemplo, Fully Backed up Secrets), localize o segredo desejado e clique em Upload Backup na coluna Actions.

            2. Na caixa de diálogo Upload Backup, selecione a região de destino e as informações da instância, e clique em OK.

    Mais operações

    Estender dias visualizáveis

    Importante

    Apenas backups comprados suportam a extensão de dias visualizáveis, e somente upgrades (não downgrades) são permitidos.

    1. Faça logon no console do KMS.

    2. Na coluna Actions do backup desejado, clique em View Data.

    3. Na página de detalhes do backup, clique em Upgrade, selecione o novo número de dias visualizáveis, clique em Buy Now e conclua o pagamento.

    Redefinir backup

    Apenas backups padrão e comprados suportam a operação de redefinição. Redefinir exclui todos os dados de backup e desvincula o backup da instância de gerenciamento de chaves de software.

    Aviso

    A redefinição exclui permanentemente todos os dados copiados por este backup. Proceda com cautela.

    1. Faça logon no console do KMS.

    2. Na coluna Actions do backup desejado, clique em Reset.

    3. Leia atentamente os avisos na caixa de diálogo Reset e clique em OK.

      Após a redefinição, o status do backup muda para Disabled. Em seguida, você pode vinculá-lo novamente a uma instância de gerenciamento de chaves de software.

    Renovar backup

    Apenas backups comprados suportam renovação.

    1. Faça logon no console do KMS.

    2. Na coluna Actions do backup desejado, clique em Renew.

    3. Na página de renovação, selecione a duração da compra, revise o acordo de service e conclua o pagamento.

    Baixar arquivos de dados de backup

    Importante

    Após baixar o arquivo de dados de backup, armazene-o com segurança. O arquivo de dados de backup só pode ser usado para restaurar dados no console do KMS.

    1. Faça logon no console do KMS.

    2. Na coluna Actions do backup desejado, clique em Download.

    3. Na caixa de diálogo Download, selecione Backup Date e clique em OK.

      Nota

      Se os dados de backup estiverem fora do intervalo de Viewable Days, estenda os dias visualizáveis antes de baixar.

    4. Salve os dados de backup.

      • Clique no ícone Copy icon ao lado de Decryption Key para copiar a chave e salve-a localmente.

      • Clique em Download ao lado de Backup Data para baixar o arquivo de dados de backup e salvá-lo com segurança.

      Importante

      A chave de criptografia de dados é usada para descriptografar o arquivo de dados de backup baixado. O KMS não armazena a Data Encryption Key nem o Backup Data File. Mantenha-os seguros para evitar vazamento de dados.

    Carregar arquivos de dados de backup

    Importante

    Se estiver carregando arquivos de dados de backup entre fronteiras, certifique-se de cumprir as leis e regulamentos relevantes sobre exportação de dados.

    1. Faça logon no console do KMS.

    2. Na página Backups, clique em Import Backup Data.

    3. Na caixa de diálogo Import Backup Data, insira a Decryption Key e o Backup Name, e clique em OK.

    4. Na caixa de diálogo de seleção de arquivo, selecione o arquivo de dados de backup e clique em Open.

      Após o upload bem-sucedido, você pode visualizar os dados carregados na página Backups. O campo Backup Type é exibido como Upload.

    Visualizar informações associadas do HSM

    Nota

    Essas informações ajudam a identificar o cluster HSM que precisa de backup. Defina o horário de backup do HSM um dia após o horário de backup do KMS para garantir a consistência dos dados.

    1. Faça logon no console do KMS.

    2. Na página Backups, clique em Extend Queryable Range na coluna Actions do backup desejado.

    3. No painel de informações básicas da página de detalhes do backup, visualize os seguintes campos relacionados ao HSM:

      • Cluster ID: O ID do cluster HSM associado à instância de hardware.

      • Primary HSM: O ID do HSM primário no cluster HSM.

    Perguntas frequentes

    • Como visualizo os dias visualizáveis de um backup?

      Na página Backups, visualize o campo Queryable Range.

    • O que devo fazer se a restauração falhar devido a cota insuficiente?

      Se a restauração falhar porque a instância de destino atingiu seu limite de cota para chaves ou segredos, exclua chaves ou segredos não utilizados da instância de destino para liberar espaço ou faça upgrade da instância de destino para uma especificação superior. Após resolver o problema de cota, tente a restauração novamente.

    • O que devo fazer se ocorrer um conflito de nomes durante a restauração?

      A restauração exige que não exista nenhuma chave ou segredo com o mesmo nome na instância de destino. Se ocorrer um conflito, exclua primeiro o recurso conflitante na instância de destino e tente novamente. Para preservar o recurso existente, renomeie-o antes de excluir ou restaure em uma instância de destino diferente.

    • Como lido com um backup expirado?

      Para backups comprados, nenhuma operação é suportada após o vencimento. Se o backup ainda não tiver sido liberado (dentro de 15 dias após o vencimento), você pode renová-lo para reativá-lo. As taxas de renovação são iguais às da compra de um novo backup com a mesma especificação. Backups automáticos não podem ser renovados e dependem do ciclo de vida da instância KMS associada.