Se você usa o Alibaba Cloud Key Management Service (KMS) 1.0, migre seus recursos para uma instância de gerenciamento de chaves de software ou de hardware do KMS 3.0 na mesma região para melhorar o desempenho e a experiência do usuário. Após a migração, suas chaves e segredos ficarão armazenados na instância do KMS. As chaves são exclusivas dentro de uma região, e os segredos são exclusivos dentro de uma conta Alibaba Cloud e de uma instância do KMS nessa região. Este tópico descreve como migrar recursos do KMS 1.0 para uma instância do KMS 3.0.
Por que migrar
Para oferecer uma melhor experiência com o product, a Alibaba Cloud planeja iniciar a fase de Fim de Suporte e Correções (EOSF) para o KMS 1.0 às 00:00:00 (GMT+8) de 30 de março de 2025. Posteriormente, o KMS 1.0 entrará na fase de Fim de Suporte (EOS) às 00:00:00 (GMT+8) de 30 de setembro de 2025. Para evitar interrupções nos negócios, migre seus recursos do KMS 1.0 para uma instância do KMS 3.0 o mais breve possível. A migração para uma instância do KMS 3.0 oferece os seguintes benefícios:
Impacto da migração
Impacto nos negócios
-
A migração afeta os seguintes aspectos dos seus negócios:
-
Disponibilidade do service: A migração do KMS separa as operações do plano de controle das operações do plano de dados. O processo de migração em si não afeta suas operações comerciais. Chamadas de segredos, criptografia de produtos cloud e criptografia de aplicações continuam funcionando normalmente.
ImportanteDurante a janela de migração, do início à conclusão do processo, não é possível executar operações do plano de controle, como criar, modifique ou excluir recursos em chaves, segredos ou instâncias do KMS. Essa restrição evita falhas na migração devido a problemas de consistência de dados. Recomendamos realizar a migração fora do horário de pico.
Compatibilidade com Terraform: Se você usa o Terraform para gerencie o KMS, uma propriedade de ID de instância será adicionada aos seus recursos após a migração. Para evitar que os recursos sejam liberados ao executar operações subsequentes no plano de controle, modifique sua configuração do Terraform após a conclusão da migração. Para mais informações, consulte Modificar a configuração em um cenário Terraform após a migração.
-
-
A migração não afeta os seguintes aspectos dos seus negócios:
Compatibilidade com sdk: Após a migração, aplicações personalizadas podem continuar usando o kit de desenvolvimento de software (sdk) existente sem alterações no código ou nas aplicações. Se você usa SDKs de outros produtos, como o Function Compute, para criptografia e descriptografia empresarial, não é necessário modificá-los. Isso garante uma migração eficiente, tranquila e transparente.
Impacto no desempenho: Caso tenha acessado chaves e segredos pela rede pública antes da migração, continue usando o sdk existente após o processo. O desempenho permanece inalterado. Para melhorar o desempenho, alterne do acesso pela rede pública para o acesso via vpc. Após a alteração, o desempenho dependerá do tipo de instância.
Políticas de controle de acesso: Continue usando suas políticas de controle de acesso existentes após a migração, sem necessidade de alterações.
-
Outros impactos:
Os IDs de versão de chaves simétricas e assimétricas mudam após a migração. Se sua aplicação personalizada incluir lógica que valide IDs de versão de chave, avalie e remova essa lógica antes da migração. Caso contrário, essa alteração fará com que a lógica de validação da sua aplicação falhe.
NotaSe você usa a OpenAPI, chamadas feitas com o antigo ID de versão da chave ainda terão êxito após a migração. Não é necessário alterar seu código de negócio.
Impacto nos custos
A lógica de faturamento das instâncias do KMS 3.0 difere da do KMS 1.0. Antes de migrar, compreenda os custos associados às instâncias do KMS 3.0. Para mais informações, consulte Faturamento por assinatura e Pagamento conforme o uso.
Observações sobre a migração de chaves
O KMS migra os metadados e o material das chaves mestras do cliente (CMKs). Os metadados incluem o ID da chave, status da chave, proteção contra exclusão, alias e tags. Esses dados permanecem inalterados após a migração.
Chaves de service
Não é necessário migrar as chaves de service. Continue usando-as normalmente. visualize as chaves de service no novo console após fazer login. Os produtos cloud criam automaticamente essas chaves quando você configure a criptografia no lado do servidor. Seus aliases seguem o formato alias/acs/<CloudProduct>.
Chaves mestras do cliente
Somente chaves no estado Enabling podem ser migradas. Chaves em outros estados, como Disabled ou Schedule Deletion, não podem ser migradas.
-
Nível de proteção: Software
A tabela a seguir mostra para quais tipos de instância você pode migrar.
ImportanteBring-Your-Own-Key (BYOK): Migração suportada. O KMS migra diretamente o material da chave. Não é necessário fazer upload manual.
Chaves multiversão: Migração suportada. O KMS migra todas as versões da chave.
Caso a rotação automática esteja ativada para uma chave, desative-a manualmente antes da migração para garantir a consistência das versões. Para mais informações, consulte Rotação automática de chaves.
Em uma instância de gerenciamento de chaves de hardware, as chaves podem ser armazenadas em um banco de dados ou em um HSM. Por padrão, as chaves migradas para uma instância de gerenciamento de chaves de hardware ficam armazenadas no banco de dados, pois chaves armazenadas em banco de dados suportam rotação. Essa configuração não pode ser alterada.
Especificação da chave a migrar
Instância de gerenciamento de chaves de software
Instância de gerenciamento de chaves de hardware
Aliyun_AES_256 (versão única)
Aliyun_AES_256 (multiversão)
RSA_2048 (versão única)
EC_P256 (versão única)
EC_P256K (versão única)
-
Nível de proteção: HSM
ImportanteSomente chaves na China continental podem ser migradas. Chaves fora da China continental não podem ser migradas. Se você possui chaves que não podem ser migradas, entre em contato conosco.
Bring-Your-Own-Key (BYOK): Migração suportada. O KMS migra diretamente o material da chave, portanto não é necessário fazer upload manual.
Chaves multiversão: Migração suportada para alguns tipos de chave. O KMS migra todas as versões da chave.
Caso a rotação automática esteja ativada para uma chave, desative-a manualmente antes da migração para garantir a consistência das versões. Para mais informações, consulte Rotação automática de chaves.
Em uma instância de gerenciamento de chaves de hardware, as chaves podem ser armazenadas em um banco de dados ou em um HSM. Por padrão, as chaves migradas para uma instância de gerenciamento de chaves de hardware ficam armazenadas no banco de dados, pois chaves armazenadas em banco de dados suportam rotação. Essa configuração não pode ser alterada.
A tabela a seguir mostra para quais tipos de instância você pode migrar.
Especificação da chave a migrar
Instância de gerenciamento de chaves de software
Instância de gerenciamento de chaves de hardware
Aliyun_AES_256 (versão única)
Aliyun_AES_256 (multiversão)
Aliyun_SM4 (versão única)
Aliyun_SM4 (multiversão)
RSA_2048 (versão única)
EC_P256 (versão única)
EC_P256K (versão única)
RSA_3072 (versão única)
EC_SM2 (versão única)
Observações sobre a migração de segredos
Todos os tipos de segredos podem ser migrados.
No KMS 3.0, os segredos devem ser exclusivos dentro de uma conta Alibaba Cloud e de uma instância do KMS em uma única região. Se múltiplos segredos no KMS 1.0 tiverem o mesmo nome, ou se já existir um segredo com o mesmo nome na instância de destino do KMS 3.0, a migração não será suportada.
O KMS migra os metadados e todas as versões de um segredo. Os metadados incluem o nome do segredo, status e tags. Esses dados permanecem inalterados após a migração.
Segredos com rotação automática ativada podem ser migrados. Para garantir a consistência das versões, desative manualmente a rotação automática antes da migração.
Ao migrar um segredo, migre também a chave mestra que o criptografa.
Segredos criptografados com uma chave gerenciada pelo sistema podem ser migrados. No entanto, o recurso de backup de dados não é suportado para esses segredos após a migração. Para mais informações sobre o recurso de backup de dados, consulte Gerenciamento de recuperação de desastres.
Verificar rapidamente recursos a migrar
Este método mostra apenas as chaves que podem ser migradas. Para chaves que não podem ser migradas, visualize as chaves restantes no console legado após a migração e entre em contato com o suporte técnico da Alibaba Cloud para obter assistência.
Faça login no console do KMS 1.0. No painel de navegação à esquerda, clique em Migration Tool.
-
Se o botão Migrate estiver disponível, isso indica que você tem chaves ou segredos para migrar na região atual.
ImportanteOs dados são exibidos por região. Certifique-se de verificar os dados de todas as regiões para não negligenciar nenhum recurso.
Na página Migration Information, revise a tabela com o número de chaves e segredos em cada região, incluindo as colunas Keys not migrated, Migrated keys, Secrets not migrated e Migrated secrets, bem como o status da tarefa. Na coluna Actions da região de destino, clique em Migrate.
clique em nos números nas colunas Keys Not Migrated, Migrated Keys, Secrets Not Migrated e Migrated Secrets para visualize IDs de chaves e nomes de segredos específicos.
escolha uma instância adequada do KMS 3.0
Avalie os seguintes aspectos para escolha uma instância adequada do KMS 3.0.
Avalie as necessidades do negócio: escolha uma instância do KMS adequada com base nos tipos de instância para os quais suas chaves podem ser migradas.
Avalie as necessidades de desempenho: Considere a frequência das operações de criptografia e descriptografia de dados no seu negócio. Por exemplo, se o seu negócio for uma plataforma de e-commerce de alto tráfego que processa muitos pedidos diariamente, você precisará criptografar informações de pagamento do usuário (como números de cartão bancário e senhas de pagamento) e dados de pedidos. Nesse caso, escolha uma instância do KMS que suporte 2.000 ou 4.000 QPS para garantir que as operações de criptografia e descriptografia sejam concluídas prontamente, evitando atrasos ou falhas nas transações.
Avalie as necessidades de conformidade: Se o seu negócio precisar cumprir a certificação FIPS, adquira uma instância de gerenciamento de chaves de hardware.
Avalie o orçamento de custos: As instâncias do KMS oferecem dois métodos de faturamento: assinatura e pagamento conforme o uso. O método de pagamento conforme o uso é recomendado apenas se o seu negócio usar o KMS exclusivamente para criptografia de produtos cloud. Para todos os outros cenários, recomendamos o uso de uma instância por assinatura.