Key Management Service:Acesso a chaves em uma instância do KMS pela rede pública

Precauções

• Independentemente das Consultas Por Segundo (QPS) selecionadas na compra da instância do KMS, o QPS para operações criptográficas pela rede pública tem limite máximo de 1.000. Para mais informações, consulte Performance metrics. Se sua aplicação exigir alto desempenho, use o acesso pela rede VPC.

• Por padrão, as credenciais em uma instância do KMS são acessíveis tanto pela rede pública quanto por uma VPC. Caso o acesso às credenciais ocorra exclusivamente pela rede interna, não é necessário ativar o acesso à rede pública.

• O acesso à rede pública pode ser ativado apenas pelo console, e não por chamadas de operações da OpenAPI.

• Em cenários de múltiplas contas com compartilhamento de instância do KMS, apenas o proprietário da instância pode ativar o acesso à rede pública.

• Ambientes de desenvolvimento local não se conectam diretamente ao endpoint interno (endpoint de VPC) de uma instância do KMS. Ao alternar do acesso pela rede pública para o endpoint interno para executar operações criptográficas localmente, estabeleça primeiro a conectividade de rede entre o ambiente local e a VPC que hospeda a instância. Use, por exemplo, o Cloud Enterprise Network (CEN) ou o VPN Gateway. Sem essa configuração, as conexões ao endpoint interno falharão ou atingirão o tempo limite.

Ativar o acesso à rede pública

1. Faça login no console do Key Management Service. Na barra de navegação superior, selecione uma região. No painel de navegação à esquerda, escolha Resources > Instances.

2. Na lista de instâncias, clique em ID da instância desejada. Na página de detalhes, ative a chave Public Network Access na seção RD Multi-Account.

   Nota

   Se uma instância do KMS for compartilhada entre várias contas Alibaba Cloud, defina as permissões de acesso à rede pública individualmente para cada conta.

3. Na aba Basic Information da página de detalhes da instância, localize o Public Endpoint. Esse endpoint aparece após a ativação do acesso à rede pública e segue um formato semelhante a kms.cn-hangzhou.aliyuncs.com.

Próximos passos

Use um kit de desenvolvimento de software (SDK) da Alibaba Cloud para executar operações criptográficas pela rede pública. Para mais informações, consulte Alibaba Cloud SDKs.

Perguntas frequentes

Como acessar uma instância do KMS via endpoint de VPC e configurar o certificado sem ter configurado um ponto de acesso à aplicação (AAP)?

Cenário: você acessa as chaves pelo gateway dedicado interno de uma instância do KMS sem configurar previamente um ponto de acesso à aplicação (AAP). Nesse caso, configure manualmente a confiança no certificado antes de executar operações criptográficas.

1. Acesse o console do Key Management Service e abra a página de detalhes da instância desejada. Na aba Basic Information, localize Instance CA Certificate e clique em Download para baixe o arquivo do certificado. O nome do arquivo segue o formato PrivateKmsCA_{InstanceID}.pem, onde {InstanceID} corresponde ao ID da sua instância do KMS.

2. Abra o arquivo de certificado baixado e copie todo o conteúdo, incluindo a linha de cabeçalho -----BEGIN CERTIFICATE----- e a linha de rodapé -----END CERTIFICATE-----. Passe esse conteúdo como string para o item de configuração de confiança de certificado CA no kit de desenvolvimento de software (SDK) da Alibaba Cloud. Assim, o SDK confiará no certificado TLS do endpoint de VPC da instância do KMS.

3. Defina o endpoint como o VPC Endpoint to Access Instance da instância, disponível na aba Basic Information da página de detalhes. Esse endpoint difere do endpoint público mencionado anteriormente neste tópico, cujo formato se assemelha a kms.cn-hangzhou.aliyuncs.com.