Key Management Service:Comprar e ativar uma instância do KMS

Etapa 1: Comprar uma instância do KMS

1. Faça login no console do Key Management Service. Na barra de navegação superior, selecione uma região. No painel de navegação à esquerda, escolha Resources > Instances.

2. Na página Instances, clique em Create Instance, selecione um método de faturamento e as especificações da instância, e clique em Buy Now.

   Subscription

   Parâmetro	Descrição
   Site	O site onde a região da instância está localizada. Opções: International regions e Chinese mainland regions.
   Tipo de gerenciamento de chaves	O KMS fornece chaves padrão gratuitas (chaves de serviço e chaves mestras do cliente) para criptografia de produtos cloud em cada região. As chaves padrão possuem recursos limitados e não exigem a compra de uma instância. Você paga apenas por serviços de valor agregado, como rotação de chaves. Antes de comprar, consulte Selecionar um tipo de instância do KMS. Comprar uma instância do KMS Uma instância de gerenciamento de chaves por software atende à maioria dos casos de uso. Escolha uma instância de gerenciamento de chaves por hardware caso necessite de segurança em nível físico ou conformidade rigorosa, como regulamentações financeiras. Software Key Management: As chaves são armazenadas em um banco de dados dedicado à sua instância. Hardware Key Management: A geração, armazenamento, criptografia e descriptografia de chaves dependem de um Módulo de Segurança de Hardware (HSM) dedicado, compatível com padrões criptográficos nacionais chineses ou FIPS 140-3 Nível 3. Ao selecionar este tipo, é necessário adquirir também um HSM. Configure um cluster de HSM para uma instância de gerenciamento de chaves por hardware. Adquirir serviços de valor agregado para chaves Instance Backup: Exclusivo para instâncias de gerenciamento de chaves por software. O KMS oferece backups de dados gratuitos por 90 dias por padrão. Se isso não atender às suas necessidades, adquira o serviço Instance Backup. Gerenciamento de backup. Rotação de chave padrão: Apenas chaves padrão gratuitas exigem este serviço de valor agregado. Rotação de chave padrão. Se você adquiriu uma instância do KMS, as chaves nela contidas suportam rotação por padrão e não requerem este serviço adicional.
   Região	Selecione a mesma região dos seus serviços implantados. Regiões e zonas de disponibilidade.
   Modo de implantação	As instâncias do KMS suportam configurações de zona dupla ou multizona para alta disponibilidade, recuperação de desastres e balanceamento de carga. Nota Nas regiões Philippines (Manila) e Thailand (Bangkok), apenas uma única zona está disponível, portanto, as instâncias do KMS são implantadas em uma única zona por padrão. Uma implantação multizona pode ser configurada com até três zonas. Para obter informações sobre o número de zonas em cada região, consulte {{XREF_3}}.
   Desempenho de computação	Especificações de desempenho da instância. Por exemplo, 2000 significa até 2.000 QPS para operações simétricas e 300 QPS para operações assimétricas, independentemente. Nota Caso necessite de uma instância de gerenciamento de chaves por software com desempenho de computação de 10.000 ou 20.000, entre em contato conosco.
   Cota de chaves	Cota destinada às chaves. O padrão é 1.000. A contagem é feita por versões de chave, não por chaves. Por exemplo, uma chave com cinco versões consome cinco unidades de cota.
   Cota de segredos	Cota destinada aos segredos. O padrão é 0. A contagem é feita por segredos, independentemente do número de versões. Nota Ignore esta opção se não utilizar segredos. É possível adicionar uma cota de segredos posteriormente por meio de upgrade.
   Cota de chaves de dados	Cota para chaves de dados (DK). O padrão é 0. A contagem é feita por versões de chave de dados, não por chaves de dados. Por exemplo, uma chave de dados (DK) com cinco versões consome cinco unidades de cota.
   Contagem de gerenciamento de acesso	Esta cota aplica-se a dois recursos: Acessar uma instância do KMS a partir de múltiplas VPCs na mesma região: Permite que várias VPCs na mesma região acessem recursos do KMS. Uma unidade de cota é necessária para cada VPC. Compartilhar uma instância do KMS entre várias contas: O número de unidades de cota necessário equivale ao número de contas do Alibaba Cloud com as quais você compartilha a instância. Exemplo: associar três VPCs e compartilhar com duas contas exige uma cota de pelo menos 5. Padrão: 1 (a VPC vinculada).
   Análise de logs	Define se a análise de logs deve ser ativada. Visão geral do Log Service. Aviso A análise de logs não pode ser desativada após a ativação. Verifique os custos envolvidos.
   Capacidade de armazenamento de logs	Mínimo de 1.000 GB, expansível em incrementos de 1.000 GB. Para avaliação de capacidade, consulte {{XREF_4}}.
   Quantidade	Número de instâncias do KMS a serem adquiridas. Importante Uma única instância é suficiente para a maioria dos casos de uso. Para adquirir múltiplas instâncias, entre em contato conosco.
   Duração	Duração da assinatura. Nota Você pode selecionar Auto-renewal on expiration para renovação automática.

   Pay-as-you-go

   Parâmetro	Descrição
   Site	O site onde a região da instância está localizada. Opções: International regions e Chinese mainland regions.
   Tipo de gerenciamento de chaves	Uma instância de gerenciamento de chaves por software atende à maioria dos casos de uso. Escolha uma instância de gerenciamento de chaves por hardware caso necessite de segurança em nível físico ou conformidade rigorosa, como regulamentações financeiras. Software Key Management: As chaves são armazenadas em um banco de dados dedicado à sua instância. Hardware Key Management: A geração, armazenamento, criptografia e descriptografia de chaves dependem de um Módulo de Segurança de Hardware (HSM) dedicado, compatível com padrões criptográficos nacionais chineses ou FIPS 140-3 Nível 3. Ao selecionar este tipo, é necessário adquirir também um HSM. Para mais informações, consulte Configurar um cluster de HSM para uma instância de gerenciamento de chaves por hardware.
   Região	Selecione a mesma região dos seus serviços implantados. Regiões e zonas de disponibilidade.
   Desempenho de computação	Especificações de desempenho da instância.
   Cota de chaves	Cota destinada às chaves. O padrão é 1.000. A contagem é feita por versões de chave, não por chaves.
   Cota de segredos	Cota destinada aos segredos. O padrão é 0. Nota Ignore esta opção se não utilizar segredos. É possível adicionar uma cota de segredos posteriormente por meio de upgrade.

   Após a compra, acesse a página Instances para ativar a instância.

   1. Faça login no console do Key Management Service. Na barra de navegação superior, selecione uma região. No painel de navegação à esquerda, escolha Resources > Instances.

   2. Na página Instances, clique em Create Instance, localize a instância do KMS desejada e clique em Enable na coluna Actions.

   3. No painel Connect to HSM, configure as definições e clique em Connect to HSM para especificar o cluster de HSM.

      1. Instance Name: Um nome personalizado para a instância do KMS. O nome pode conter letras, dígitos e os seguintes caracteres especiais: _/+=.@-.

      2. Select Cluster: Selecione o cluster de HSM que você configurou no CloudHSM.

         Nota

         Uma instância de gerenciamento de chaves por hardware pode ser vinculada a apenas um cluster de HSM.

   4. A ativação leva cerca de 30 minutos. Atualize a página para confirmar se o status da instância mudou para Enabled.

Etapa 2: Ativar uma instância do KMS

Após adquirir uma instância do KMS, é necessário ativá-la antes de utilizar os recursos de gerenciamento de chaves e segredos.

Cancelar assinatura de uma instância do KMS

O KMS suporta cancelamento de assinatura com reembolso parcial para instâncias nos estados Pending Enable ou Enabled. Reembolsos integrais não estão disponíveis.

1. Acesse a página Refund em Expenses > Refunds no console do Alibaba Cloud.

2. Na aba Resources, defina Product como Key Management Service (KMS), localize a instância desejada e clique em Unsubscribe na coluna Actions.

3. Revise as informações do recurso, termos de reembolso e valor do reembolso na página de confirmação.

4. Marque as caixas de confirmação (confirme o valor do reembolso e confirme que os dados foram copiados e migrados) no canto inferior esquerdo e clique em Confirm Unsubscription.

Solução de problemas

FAQ

• O que é um HSM gerenciado pelo KMS?

  Um HSM gerenciado pelo KMS é uma instância de HSM que o KMS cria automaticamente quando você adquire uma instância de gerenciamento de chaves por hardware, com base na configuração de HSM fornecida no momento da compra.

• Posso escalar horizontalmente um cluster de HSM gerenciado pelo KMS?

  Não. Você só pode realizar operações de backup. Todas as outras operações não são suportadas.

• Por que a instância continua mostrando "Connecting" durante a ativação?

  Ao ativar uma instância do KMS (incluindo instâncias de gerenciamento de chaves por software e por hardware), aguarde cerca de 30 minutos e atualize a página. Quando o status da instância mudar para Enabled, a instância do KMS estará ativada.

• O que fazer se eu vir "Connection failed" ao ativar uma instância de gerenciamento de chaves por hardware?

  Verifique se as credenciais de acesso ao HSM estão corretas. Para mais informações sobre credenciais de acesso ao HSM, consulte {{XREF_12}}.

• O que fazer se eu receber um erro "ZoneIds is not valid" ou "vswitch_ids invalid" ao ativar uma instância do KMS usando IAC ou API?

  Esse erro geralmente ocorre quando os parâmetros de zona ou vSwitch passados não correspondem às especificações da instância do KMS. Abaixo estão dois cenários comuns e suas soluções:

  • Cenário 1: Incompatibilidade na contagem de zonas de disponibilidade

    Esse erro é acionado quando você adquire uma instância do KMS de zona dupla, mas passa três IDs de zona (ZoneIds) em um Stack IAC ou chamada de API.

    Solução: Verifique o número de zonas suportado pela especificação da sua instância. Se precisar configurar três zonas, adquira uma especificação de instância que suporte implantação multizona.

  • Cenário 2: Parâmetro de vSwitch incorreto

    Esse erro é acionado quando você passa múltiplos valores vswitch_ids em uma chamada de API DKMS ConnectKmsInstance ou configuração Terraform. A API ConnectKmsInstance aceita apenas um único ID de vSwitch.

    Solução: Modifique sua configuração para passar apenas um único ID de vSwitch (vswitch_id) e tente novamente a operação.