Key Management Service:Sincronizar recursos entre instâncias do KMS

Como funciona

As instâncias do KMS suportam sincronização de recursos entre regiões, concluindo o processo em poucos minutos. Após configurar a sincronização entre regiões, as aplicações de negócios que utilizam chaves do KMS para criptografia alcançam redundância geográfica: as aplicações na região primária acessam a instância primária do KMS para operações criptográficas, enquanto, em um cenário de recuperação de desastres, as aplicações na região réplica acessam a instância réplica local.

Escopo

• Requisitos da instância primária:

  • Status de sincronização: A instância deve pertencer à conta atualmente conectada e não pode ter sido sincronizada com nenhuma instância réplica.

  • Tipo de instância: Somente instâncias de Gerenciamento de Chaves de Software ou Gerenciamento de Chaves de Hardware com método de pagamento por Assinatura (Pré-pago) são suportadas. Instâncias com pagamento conforme o uso não são aceitas como instâncias primárias.

• Restrições da instância réplica:

  • Quantidade: Cada instância primária pode ser associada a até três instâncias réplica.

  • Região: A instância primária e todas as instâncias réplica devem residir em regiões diferentes.

  • Recursos: A instância réplica não deve possuir chaves ou segredos criados. Não é possível associar uma instância que já contenha recursos.

  • Cota: As cotas de chaves e de segredos da instância réplica devem ser maiores ou iguais às da instância primária.

  • Tipo de instância: A instância réplica deve utilizar o método de faturamento por assinatura.

  • Versão: Para sincronizar segredos, tanto a instância primária quanto a réplica devem estar na versão 3.11.0 ou posterior.

• Limitações de versão e recurso:

  • Sincronização de segredos:

    • Instâncias de Gerenciamento de Chaves de Hardware: Estas instâncias NÃO suportam sincronização de segredos.

    • Instâncias de Gerenciamento de Chaves de Software: Para sincronizar segredos, ambas as instâncias (primária e réplica) devem estar na versão ≥ 3.11.0.

  • Versões base para instâncias de hardware:

    • Instâncias de Gerenciamento de Chaves de Hardware

      • China Continental: A versão da instância de hardware deve ser atualizada para a versão 4.4.1 ou posterior.

      • Fora da China Continental: A versão da instância de hardware deve ser atualizada para a versão 4.3.0 ou posterior.

    • Instâncias de Gerenciamento de Chaves de Software: As instâncias nas regiões da China Continental e Fora da China Continental devem ser atualizadas para a versão 2.5.0 ou posterior.

  • Restrição de recurso:

• Restrição transfronteiriça: A sincronização entre fronteiras não é suportada. A instância primária e todas as instâncias réplica devem residir dentro da mesma fronteira geográfica. Por exemplo, se a instância primária estiver em uma região dentro da China continental, todas as instâncias réplica também devem estar em regiões dentro da China continental.

Detalhes da sincronização de recursos

Procedimento

1. Adquira e ative uma instância réplica. Para mais informações, consulte {{XREF_2}}.

2. Faça login no console do Key Management Service. Na barra de navegação superior, selecione uma região. No painel de navegação à esquerda, escolha Security Operations > Disaster Recovery > Cross-region Synchronization.

3. No painel de navegação à esquerda, escolha Cross-region Synchronization e clique em Add Replica Instance.

4. Na página Configure Replica Instance, selecione a instância primária e a instância réplica e clique em Next.

   Nota

   Synchronization Policy suporta apenas ignore, que ignora recursos duplicados quando o mesmo ID de chave ou nome de segredo é encontrado e continua sincronizando os recursos restantes.

5. Na página Synchronize Resources, selecione os tipos de sincronização para chaves e segredos e clique em Next.

   • Key Sync Type: Seleção múltipla é suportada. No entanto, não é possível selecionar Full Synchronization e Synchronization of Selected Resources simultaneamente.

     Tipo de sincronização	Descrição
     Full Synchronization	Sincroniza apenas as chaves que existem atualmente na instância primária. Chaves criadas posteriormente não são sincronizadas. Alterações nas chaves sincronizadas são replicadas automaticamente.
     Incremental Key Synchronization	As chaves existentes na instância primária não são sincronizadas. Apenas as chaves criadas posteriormente serão sincronizadas.
     Synchronization of Selected Resources	Somente as chaves selecionadas são sincronizadas. Alterações nessas chaves são replicadas automaticamente. No painel expandido de recursos de chave, selecione as chaves a serem sincronizadas no lado esquerdo.

   • Secret Sync Type: Seleção múltipla é suportada. Contudo, não é permitido selecionar Full Synchronization e Synchronization of Selected Resources ao mesmo tempo.

     Importante

     A sincronização de segredos requer que tanto a instância primária quanto a réplica estejam na versão 3.11.0 ou posterior. Se a verificação de versão falhar, a tarefa de sincronização de segredos não poderá ser criada. Atualize a versão da instância primeiro.

     Tipo de sincronização	Descrição
     Full Synchronization	Sincroniza todos os segredos que existem atualmente na instância primária. Segredos criados posteriormente não são sincronizados.
     Incremental Secret Sync	Os segredos existentes na instância primária não são sincronizados. Apenas os segredos criados posteriormente serão sincronizados.
     Synchronization of Selected Resources	Somente os segredos selecionados são sincronizados. Alterações nesses segredos são replicadas automaticamente. No painel expandido de recursos de segredo, selecione os segredos a serem sincronizados no lado esquerdo.

6. Confirme as configurações e clique em Done. A sincronização leva aproximadamente de 3 a 5 minutos.

7. Na página de resultados da sincronização, visualize os resultados e quaisquer motivos de falha na aba Result da instância réplica alvo.

8. Clique em Close para retornar à lista de tarefas de Cross-region Synchronization. Verifique o progresso da sincronização na coluna Synchronization Task da instância primária alvo.

   Nota

   O sistema sincroniza o progresso automaticamente a cada minuto. Progresso da sincronização = (Número de chaves sincronizadas + Número de segredos sincronizados) / (Número de chaves a sincronizar + Número de segredos a sincronizar) × 100%.

Próximos passos

Após criar as credenciais de acesso, as aplicações nas regiões primária e réplica podem usar as chaves de suas respectivas instâncias do KMS para operações criptográficas. Para mais informações, consulte {{XREF_3}}.

• Alibaba Cloud SDK: Crie apenas uma credencial de acesso. Somente funções do RAM cuja entidade confiável seja um serviço da Alibaba Cloud são suportadas.

• SDK da Instância do KMS (não recomendado): Crie credenciais de acesso separadas para a instância primária e para cada instância réplica. Somente ClientKeys de pontos de acesso da aplicação (AAPs) são suportados. Para mais informações, consulte {{XREF_4}}.