O KMS oferece gerenciamento completo do ciclo de vida de chaves e armazenamento seguro. Saiba como crie, desativar e exclua chaves, ative a proteção contra exclusão e gerencie tags.
crie uma chave
Chave padrão
As chaves padrão incluem chaves de service e uma chave mestra de cliente (CMK). Os services de cloud crie e gerencie as chaves de service. Você crie e gerencie a CMK.
Cada região permite a criação de apenas uma chave padrão (CMK). Para crie várias chaves, adquira uma instância do KMS.
Acesse o console do Key Management Service. Na barra de navegação superior, selecione uma região. No painel de navegação à esquerda, escolha .
Na página Keys, clique em na aba Default Keys.
-
Na coluna Actions da CMK, clique em Enable, configure os parâmetros e clique em OK.
Parâmetro
Descrição
Key Alias
Um alias para identificar a chave. O alias pode conter letras, dígitos, sublinhados (_), hifens (-) e barras (/).
Description
Uma descrição personalizada da chave.
Advanced Settings
Key Material Origin
Key Management Service: O KMS gera o material da chave.
External: O KMS não gera o material da chave. Importe seu próprio material de chave. Import key material for a symmetric key.
NotaLeia as informações com atenção e selecione I understand the implications of using the external key materials key.
Chaves de software
Antes de crie uma chave protegida por software, adquira e ative uma instância do KMS.
Acesse o console do Key Management Service. Na barra de navegação superior, selecione uma região. No painel de navegação à esquerda, escolha .
Na página Keys, clique em na aba Customer Master Keys. Na lista suspensa Instance ID, selecione uma instância de gerenciamento de chaves de software. Em seguida, clique em Create Key.
-
No painel Create Key, configure os parâmetros e clique em OK.
Parâmetro
Descrição
Key Type
selecione simétrica ou assimétrica.
ImportanteSe você estiver criando uma chave para criptografar valores de credencial, selecione Symmetric Key.
Key Specifications
A especificação da chave. Para especificações e algoritmos suportados, consulte Key types and specifications.
Especificação de chave simétrica: Aliyun_AES_256
Especificações de chave assimétrica: RSA_2048, RSA_3072, RSA_4096, EC_P256 e EC_P256K
Key Usage
A finalidade da chave. Valores válidos:
Key Usage:: Criptografa e descriptografa dados.
SIGN/VERIFY: Gera e verifica assinaturas digitais.
Key Alias
Um alias para identificar a chave. O alias pode conter letras, dígitos, sublinhados (_), hifens (-) e barras (/).
Tags
Tags para ajudar você a categorizar e gerencie chaves. Cada tag é um par chave-valor.
NotaFormato de uma chave de tag e um valor de tag: Uma chave de tag ou um valor de tag pode ter até 128 caracteres e pode conter letras, dígitos, barras (/), barras invertidas (\), sublinhados (_), hifens (-), pontos (.), sinais de mais (+), sinais de igual (=), dois pontos (:), arrobas (@) e espaços.
Uma chave de tag não pode começar com
aliyunouacs:.Cada chave suporta até 20 pares chave-valor de tag.
Automatic Rotation
Apenas chaves simétricas suportam rotação automática, ativada por padrão. Key rotation.
Rotation Period
Defina o período de rotação entre 7 e 365 dias.
Description
Uma descrição da chave.
Advanced Settings
Policy
Default Policy: selecione esta política se a chave for usada pela conta atual da Alibaba Cloud ou por uma conta da Alibaba Cloud em um compartilhamento de recursos.
Se a instância não for compartilhada com outras contas: Apenas a conta atual da Alibaba Cloud pode gerencie e usar a chave.
Se a instância for compartilhada com outras contas: Por exemplo, a conta 1 da Alibaba Cloud compartilha a instância A do KMS com a conta 2 da Alibaba Cloud.
Para uma chave criada pela conta 1 da Alibaba Cloud: Apenas a conta 1 da Alibaba Cloud pode gerencie e usar a chave.
Para uma chave criada pela conta 2 da Alibaba Cloud: Tanto a conta 1 quanto a conta 2 da Alibaba Cloud podem gerencie e usar a chave.
Custom Policy: selecione esta política se você precisar autorizar usuários do RAM, funções do RAM ou outras contas da Alibaba Cloud a usar a chave.
Importanteselecione um administrador ou usuário não consome a cota de Access Management Quantity. selecione usuários de outras contas consome a cota de Access Management Quantity da instância do KMS, calculada com base no número de contas da Alibaba Cloud especificadas.
Após revogar a autorização, o sistema libera a cota em cerca de 5 minutos.
Administrador: gerencie a chave, mas não pode execute operações criptográficas. selecione usuários do RAM e funções do RAM da sua conta da Alibaba Cloud.
Usuário: Pode apenas execute operações criptográficas. selecione usuários do Resource Access Management (RAM) e funções do RAM da sua conta da Alibaba Cloud. Vários consumidores dentro da mesma instância de service de cloud (por exemplo, AI Gateway) sob a mesma conta da Alibaba Cloud podem referenciar a mesma chave do KMS. Essa abordagem é comumente usada para gerenciamento centralizado de credenciais ou para simplificar fluxos de trabalho de rotação de chaves.
Usuários de outras contas: Podem criptografar e descriptografar com a chave. especifique usuários do RAM ou funções do RAM de outras contas da Alibaba Cloud.
Usuário do RAM: Use o formato
acs:ram::<userId>:user/<ramuser>. Exemplo:acs:ram::1111**:user/testpolicyuser.Função do RAM: Use o formato
acs:ram::<userId>:role/<ramrole>. Exemplo:acs:ram::1111**:role/testpolicyrole.NotaApós autorizar um usuário ou função do RAM, use a conta proprietária da Alibaba Cloud para conceder permissões de uso da chave no console do RAM.
Custom policies for Key Management Service. Grant permissions to a RAM user. Grant permissions to a RAM role.
Key Material Origin
Key Management Service: O KMS gera o material da chave.
External (Import Key Material): O KMS não gera o material da chave. Importe seu próprio material de chave. Import key material for a symmetric key. Import key material for an asymmetric key.
NotaLeia as informações com atenção e selecione I understand the implications of using the external key materials key.
Chaves de hardware
Antes de crie uma chave protegida por hardware, adquira e ative uma instância do KMS.
Acesse o console do Key Management Service. Na barra de navegação superior, selecione uma região. No painel de navegação à esquerda, escolha .
Na página Keys, clique em na aba Customer Master Keys. Na lista suspensa Instance ID, selecione uma instância de gerenciamento de chaves de hardware. Em seguida, clique em Create Key.
-
No painel Create Key, configure os parâmetros e clique em OK.
Parâmetro
Descrição
Key Type
selecione simétrica ou assimétrica.
ImportanteSe você estiver criando uma chave para criptografar valores de credencial, selecione Symmetric Key.
Key Specifications
A especificação da chave. Para especificações e algoritmos suportados, consulte Key types and specifications.
Especificações de chave simétrica: Aliyun_AES_256, Aliyun_AES_192 e Aliyun_AES_128
Especificações de chave assimétrica: RSA_2048, RSA_3072, RSA_4096, EC_P256 e EC_P256K
Key Usage
A finalidade da chave. Valores válidos:
ENCRYPT/DECRYPT: Criptografa e descriptografa dados.
SIGN/VERIFY: Gera e verifica assinaturas digitais.
Key Alias
Um alias para identificar a chave. O alias pode conter letras, dígitos, sublinhados (_), hifens (-) e barras (/).
Tags
Tags para ajudar você a categorizar e gerencie chaves. Cada tag é um par chave-valor.
NotaFormato de uma chave de tag e um valor de tag: Uma chave de tag ou um valor de tag pode ter até 128 caracteres e pode conter letras, dígitos, barras (/), barras invertidas (\), sublinhados (_), hifens (-), pontos (.), sinais de mais (+), sinais de igual (=), dois pontos (:), arrobas (@) e espaços.
Uma chave de tag não pode começar com
aliyunouacs:.Cada chave suporta até 20 pares chave-valor de tag.
Description
Uma descrição da chave.
Default Policy: selecione esta política se a chave for usada pela conta atual da Alibaba Cloud ou por uma conta da Alibaba Cloud em um compartilhamento de recursos.
Se a instância não for compartilhada com outras contas: Apenas a conta atual da Alibaba Cloud pode gerencie e usar a chave.
Se a instância for compartilhada com outras contas: Por exemplo, a conta 1 da Alibaba Cloud compartilha a instância A do KMS com a conta 2 da Alibaba Cloud.
Para uma chave criada pela conta 1 da Alibaba Cloud: Apenas a conta 1 da Alibaba Cloud pode gerencie e usar a chave.
Para uma chave criada pela conta 2 da Alibaba Cloud: Tanto a conta 1 quanto a conta 2 da Alibaba Cloud podem gerencie e usar a chave.
Custom Policy: selecione esta política se você precisar autorizar usuários do RAM, funções do RAM ou outras contas da Alibaba Cloud a usar a chave.
Importanteselecione um administrador ou usuário não consome a cota de Access Management Quantity. selecione usuários de outras contas consome a cota de Access Management Quantity da instância do KMS, calculada com base no número de contas da Alibaba Cloud especificadas.
Após revogar a autorização, o sistema libera a cota em cerca de 5 minutos.
Administrador: gerencie a chave, mas não pode execute operações criptográficas. selecione usuários do RAM e funções do RAM da sua conta da Alibaba Cloud.
Usuário: Pode apenas execute operações criptográficas. selecione usuários do Resource Access Management (RAM) e funções do RAM da sua conta da Alibaba Cloud. Vários consumidores dentro da mesma instância de service de cloud (por exemplo, AI Gateway) sob a mesma conta da Alibaba Cloud podem referenciar a mesma chave do KMS. Essa abordagem é comumente usada para gerenciamento centralizado de credenciais ou para simplificar fluxos de trabalho de rotação de chaves.
Usuários de outras contas: Podem criptografar e descriptografar com a chave. especifique usuários do RAM ou funções do RAM de outras contas da Alibaba Cloud.
Usuário do RAM: Use o formato
acs:ram::<userId>:user/<ramuser>. Exemplo:acs:ram::1111**:user/testpolicyuser.Função do RAM: Use o formato
acs:ram::<userId>:role/<ramrole>. Exemplo:acs:ram::1111**:role/testpolicyrole.NotaApós autorizar um usuário ou função do RAM, use a conta proprietária da Alibaba Cloud para conceder permissões de uso da chave no console do RAM.
Custom policies for Key Management Service. Grant permissions to a RAM user. Grant permissions to a RAM role.
Key Management Service: O KMS gera o material da chave.
External (Import Key Material): O KMS não gera o material da chave. Importe seu próprio material de chave. Import key material for a symmetric key. Import key material for an asymmetric key.
NotaLeia as informações com atenção e selecione I understand the implications of using the external key materials key.
Este parâmetro está disponível apenas quando Key Type está definido como Asymmetric Key.
Uma finalidade adicional permite que uma única chave sirva para múltiplos propósitos. No entanto, as finalidades adicionais não se aplicam à criptografia de dados com services de cloud.
Chaves externas
Certifique-se de ter adquirido e ativado uma instância de gerenciamento de chaves externas. Adquira e ative uma instância do KMS.
Use o service de proxy XKI na sua infraestrutura de gerenciamento de chaves (KMI) para crie uma chave e registrar seu ID.
Acesse o console do Key Management Service. Na barra de navegação superior, selecione uma região. No painel de navegação à esquerda, escolha .
Na página Keys, clique em na aba Customer Master Keys. Na lista suspensa Instance ID, selecione uma instância de gerenciamento de chaves externas. Em seguida, clique em Create Key.
-
No painel Create Key, configure os parâmetros e clique em OK.
Parâmetro
Descrição
External Key ID
O ID da chave que o service de gerenciamento XKI gera.
NotaUse o mesmo ID de chave externa para crie uma ou mais chaves do KMS.
Key Specifications
A especificação da chave. O sistema suporta apenas Aliyun_AES_256.
NotaPara especificações e algoritmos suportados, consulte Key types and specifications.
Key Usage
A finalidade da chave.
ENCRYPT/DECRYPT: Criptografa e descriptografa dados.
Key Alias
Um alias para identificar a chave. O alias pode conter letras, dígitos, sublinhados (_), hifens (-) e barras (/).
Tags
Tags para ajudar você a categorizar e gerencie chaves. Cada tag é um par chave-valor.
NotaFormato de uma chave de tag e um valor de tag: Uma chave de tag ou um valor de tag pode ter até 128 caracteres e pode conter letras, dígitos, barras (/), barras invertidas (\), sublinhados (_), hifens (-), pontos (.), sinais de mais (+), sinais de igual (=), dois pontos (:), arrobas (@) e espaços.
Uma chave de tag não pode começar com
aliyunouacs:.Cada chave suporta até 20 pares chave-valor de tag.
Description
Uma descrição da chave.
Advanced Settings
Default Policy: selecione esta política se a chave for usada pela conta atual da Alibaba Cloud ou por uma conta da Alibaba Cloud em um compartilhamento de recursos.
Se a instância não for compartilhada com outras contas: Apenas a conta atual da Alibaba Cloud pode gerencie e usar a chave.
Se a instância for compartilhada com outras contas: Por exemplo, a conta 1 da Alibaba Cloud compartilha a instância A do KMS com a conta 2 da Alibaba Cloud.
Para uma chave criada pela conta 1 da Alibaba Cloud: Apenas a conta 1 da Alibaba Cloud pode gerencie e usar a chave.
Para uma chave criada pela conta 2 da Alibaba Cloud: Tanto a conta 1 quanto a conta 2 da Alibaba Cloud podem gerencie e usar a chave.
Custom Policy: selecione esta política se você precisar autorizar usuários do RAM, funções do RAM ou outras contas da Alibaba Cloud a usar a chave.
Importanteselecione um administrador ou usuário não consome a cota de Access Management Quantity. selecione usuários de outras contas consome a cota de Access Management Quantity da instância do KMS, calculada com base no número de contas da Alibaba Cloud especificadas.
Após revogar a autorização, o sistema libera a cota em cerca de 5 minutos.
Administrador: gerencie a chave, mas não pode execute operações criptográficas. selecione usuários do RAM e funções do RAM da sua conta da Alibaba Cloud.
Usuário: Pode apenas execute operações criptográficas. selecione usuários do Resource Access Management (RAM) e funções do RAM da sua conta da Alibaba Cloud. Vários consumidores dentro da mesma instância de service de cloud (por exemplo, AI Gateway) sob a mesma conta da Alibaba Cloud podem referenciar a mesma chave do KMS. Essa abordagem é comumente usada para gerenciamento centralizado de credenciais ou para simplificar fluxos de trabalho de rotação de chaves.
Usuários de outras contas: Podem criptografar e descriptografar com a chave. especifique usuários do RAM ou funções do RAM de outras contas da Alibaba Cloud.
Usuário do RAM: Use o formato
acs:ram::<userId>:user/<ramuser>. Exemplo:acs:ram::1111**:user/testpolicyuser.Função do RAM: Use o formato
acs:ram::<userId>:role/<ramrole>. Exemplo:acs:ram::1111**:role/testpolicyrole.NotaApós autorizar um usuário ou função do RAM, use a conta proprietária da Alibaba Cloud para conceder permissões de uso da chave no console do RAM.
Custom policies for Key Management Service. Grant permissions to a RAM user. Grant permissions to a RAM role.
Desativar uma chave
Se você não precisar mais de uma chave, desative-a primeiro. Após confirme que ela não está em uso, exclua-a. Uma chave desativada não pode execute operações criptográficas.
Acesse o console do Key Management Service. Na barra de navegação superior, selecione uma região. No painel de navegação à esquerda, escolha .
Na página Keys, na aba Customer Master Keys ou Default Keys, encontre a chave que deseja desativar e clique em Disable na coluna Actions.
-
Na caixa de diálogo Disable Key, confirme as informações e clique em OK.
clique em Key Association para verifique se um service de cloud usa a chave para criptografia no lado do servidor. Key association check.
Após a desativação, o status da chave muda de Enabling para Disabled. Você também pode clique em Enable para reativar a chave.
ative proteção contra exclusão
A proteção contra exclusão impede a exclusão de uma chave pelo console ou API. Para exclua uma chave protegida, desative a proteção contra exclusão primeiro.
Você não pode ative a proteção contra exclusão para uma chave no status Pending Deletion.
Acesse o console do Key Management Service. Na barra de navegação superior, selecione uma região. No painel de navegação à esquerda, escolha .
Na página Keys, na aba Customer Master Keys ou Default Keys, encontre a chave para a qual deseja ative a proteção contra exclusão e clique em Details na coluna Actions.
Na página de detalhes da chave, ative a opção Deletion Protection.
Na caixa de diálogo Enable, clique em Enable.
Agendar exclusão de chave
O KMS não permite a exclusão imediata de chaves. Você agenda um período de espera e o sistema exclua a chave após o término desse período. Desative a proteção contra exclusão antes de agendar. Se você não precisar mais de uma chave, recomendamos desativá-la primeiro e confirme que não há impacto nos negócios antes de agendar a exclusão.
A exclusão da chave é irreversível: O sistema exclua a chave permanentemente após o período de espera. Todo o conteúdo criptografado com esta chave, incluindo chaves de dados derivadas, torna-se permanentemente indecriptografável. Certifique-se de que a chave não está mais em uso antes de agendar a exclusão.
Chaves de service não requerem exclusão manual: A Alibaba Cloud gerencie integralmente as chaves de service (com prefixo
alias/acs/*, criadas automaticamente por services de cloud como OSS e rds) durante todo o seu ciclo de vida, e o sistema não permite sua exclusão ou desativação manual. Manter chaves de service não incorre em taxas. Para consultar registros de uso de chaves de service, acesse a página Event Query do ActionTrail.
Acesse o console do Key Management Service. Na barra de navegação superior, selecione uma região. No painel de navegação à esquerda, escolha .
-
Na aba Customer Master Keys ou Default Keys, encontre a chave que deseja exclua. Na coluna Actions, clique em no ícone
e, em seguida, clique em Schedule Deletion.NotaSe você não conseguir encontrar a entrada Schedule Deletion no console atual, a chave pode pertencer ao KMS 1.0 (versão legada). Acesse o console legado do KMS para agendar a exclusão.
-
Na caixa de diálogo Schedule Deletion, especifique um período de espera e clique em OK.
clique em Key Association para verifique se um service de cloud usa a chave para criptografia no lado do servidor. Key association check.
Após especifique um período de espera, o status da chave muda de Enabling para Pending Deletion. Não é possível usar uma chave no status Pending Deletion para criptografia, descriptografia ou geração de chaves de dados. Antes do término do período de espera, você pode clique em Cancel Deletion.
baixe a chave pública
baixe a chave pública de uma chave assimétrica. Não é possível baixe a chave privada.
Acesse o console do Key Management Service. Na barra de navegação superior, selecione uma região. No painel de navegação à esquerda, escolha .
Na aba Customer Master Keys ou Default Keys, encontre a chave cuja chave pública você deseja baixe e clique em Details na coluna Actions.
Na página de detalhes da chave, clique em na aba Key Version. Em seguida, encontre a versão da chave que deseja gerencie e clique em View Public Key na coluna Actions.
Na caixa de diálogo View Public Key, clique em Download.
Gerar e baixe uma CSR
O KMS pode gerar uma Solicitação de Assinatura de Certificado (CSR) para uma CMK assimétrica. Envie a CSR para uma autoridade certificadora (CA) para obter um certificado digital para casos de uso como e-mail seguro, assinatura de código, proteção de endpoint e gerenciamento de identidade.
Para crie um certificado a partir de uma CSR, consulte Create a certificate em Certificate Management Service (Original SSL Certificate).
Para gerar uma CSR usando um Módulo de Segurança de Hardware (HSM) compatível com FIPS 140-2 Nível 2, adquira e ative primeiro uma instância de gerenciamento de chaves de hardware com suporte a um HSM compatível. Em seguida, crie uma chave assimétrica nessa instância. Por fim, use o recurso Generate CSR no console para concluir a operação.
Acesse o console do Key Management Service. Na barra de navegação superior, selecione uma região. No painel de navegação à esquerda, escolha .
Na aba Customer Master Keys, encontre a chave para a qual deseja gerar uma CSR e clique em Details na coluna Actions.
-
Na página de detalhes da chave, clique em na aba Key Version. Encontre a versão da chave para a qual deseja gerar uma CSR e clique em Generate CSR na coluna Actions. Configure os parâmetros e clique em OK.
Parâmetro
Descrição
Common Name (CN)
O assunto ao qual o certificado está vinculado, como um nome de domínio, nome de service ou nome de dispositivo.
Organization (O)
O nome legal da sua organização, usado para verificação de propriedade do certificado.
O nome deve corresponder exatamente ao nome na sua licença comercial, incluindo pontuação e letras maiúsculas.
Se o nome da organização contiver caracteres especiais, como
&e-, mantenha-os.
Organizational Unit Name (OU)
O departamento ou equipe específica dentro da sua organização.
State or Province (S)
O nome da província, município ou região autônoma onde sua organização está localizada. Você pode usar caracteres em chinês ou inglês. Não é necessário adicionar "Province".
Locality Name (L)
O nome da cidade onde sua organização está localizada. Você pode usar caracteres em chinês ou inglês. Não é necessário adicionar "City".
Country or Region (C)
O código de país de duas letras de acordo com a ISO 3166-1 alpha-2.
Key Algorithm
selecione um algoritmo de assinatura com base nas capacidades da sua CA, padrões de segurança e requisitos de compatibilidade.
RSA_PKCS1_SHA_256: calcula o valor de hash dos dados usando o algoritmo SHA-256 e calcula a assinatura usando o algoritmo RSASSA-PKCS1-v1_5 definido na RFC 3447/PKCS#1.
RSA_PSS_SHA_256: calcula o valor de hash dos dados usando o algoritmo SHA-256 e calcula a assinatura usando o algoritmo RSASSA-PSS definido na RFC 3447/PKCS#1, utilizando MGF1 com SHA-256.
Email Address (E)
Insira seu endereço de e-mail de contato.
Na caixa de diálogo CSR, clique em Download CSR File e salve o arquivo em um local seguro.
verifique de associação de chave
verifique se os services de cloud usam uma chave para criptografia no lado do servidor. O sistema não verifique o uso por aplicações autogerenciadas. Se a chave ainda estiver em uso, tenha cautela antes de exclua-a.
Acesse o console do Key Management Service. Na barra de navegação superior, selecione uma região. No painel de navegação à esquerda, escolha .
Na aba Customer Master Keys ou Default Keys, encontre a chave cujas associações você deseja verifique e clique em Details na coluna Actions.
-
Na aba Key Association, clique em Check. Aguarde cerca de 1 minuto e, em seguida, clique em no ícone
à direita para visualize o resultado da verificação.Cloud Service: Os services de cloud suportados incluem ECS, MSE, Message Queue for RabbitMQ, Message Queue for Apache RocketMQ e ACK.
-
Last Called At: A última vez que o service de cloud acessou a chave no KMS.
NotaO sistema exibe os horários de chamada apenas para solicitações dos últimos 365 dias.
Check Status: O status da verificação. Se a verificação falhar, atualize a página e tente novamente.
-
Service Console: Um recurso fornecido pelo service de cloud para consultar quais recursos a chave do KMS criptografa.
ImportanteO sistema exibe apenas os recursos que a conta atual tem permissão para acessar.
FAQ
O que significa a exibição da cota de chaves em uma instância do KMS e como a cota disponível restante é calculada?
O console exibe a cota de chaves no formato X (Total versions: Y) / Z, onde:
X é o número de chaves que você crie.
Y é o número total de versões de chaves em todas as suas chaves.
Z é a cota total de chaves para a instância.
Calcule o número restante de chaves que você pode crie da seguinte forma:
Cota restante = Cota total (Z) − Total de versões de chaves (Y)
O sistema calcula a cota restante com base no número total de versões de chaves (Y), não no número de chaves (X). Cada rotação de chave crie uma nova versão de chave e consome uma unidade da cota. Se você planeja rotacionar chaves regularmente, recomendamos que atualize a cota de chaves com antecedência.
exclua uma chave de uma instância legada do KMS afeta as chaves em uma nova instância DKMS?
Não. O gerenciamento de chaves em uma instância legada do KMS e em uma instância Dedicated KMS (DKMS) ocorre de forma independente. exclua uma chave de uma instância legada do KMS não afeta a segurança ou a disponibilidade das chaves em uma instância DKMS.
Como paro o faturamento de CMKs e secrets regulares em uma instância do KMS com pagamento conforme o uso?
Primeiro, desative as chaves e verifique se seus services estão funcionando conforme o esperado. Após a confirmação, agende as chaves para exclusão. Após o término do período de exclusão pendente, verifique sua fatura para confirme que o faturamento parou.