Key Management Service:Compartilhe instâncias do KMS entre várias contas

Etapa 1: Configure o Resource Directory e ative o compartilhamento de recursos

Set up Resource Directory:

1. Faça login no console do Resource Management usando a conta de gerenciamento.

2. No painel de navegação à esquerda, acesse Resource Directory > Enable Resource Directory e clique em Enable Resource Directory. Para mais detalhes, consulte Enable a resource directory.

3. Crie uma pasta para agrupar membros: acesse Resource Directory > Management, clique em Resource Organization View no canto superior direito, selecione a pasta desejada na árvore de diretórios e, na aba Member, clique em Create Folder. Insira um Folder Name e clique em OK. Para mais detalhes, consulte Create a folder.

4. Adicione membros à pasta: na aba Member, clique em Create Member ou Invite Member. Configure os seguintes parâmetros:

   Convidar membros

   Parâmetro	Descrição
   Account ID or logon email address	Insira um ID de conta ou o e-mail de login usado para registrar a conta. Separe vários IDs de conta com vírgulas para convidar em lote. Para encontrar um ID de conta, consulte How do I view the ID of an Alibaba Cloud account?
   Remarks	Uma observação para ajudar o convidado a verificar a autenticidade do convite.
   Tag	Tags para vincular ao membro, facilitando o gerenciamento.
   Parent folder	A pasta onde a conta convidada será colocada. O padrão é a pasta raiz. Clique em Modify para alterar.

   Criar um membro

   Parâmetro	Descrição
   Alibaba Cloud account name	Identificador exclusivo do membro no resource directory. Deve ter de 2 a 50 caracteres e pode conter letras, números e _.-. Deve começar e terminar com uma letra ou número e não pode conter caracteres especiais consecutivos.
   Display name	De 2 a 50 caracteres; suporta caracteres chineses, letras, dígitos e _.-.
   Billing account	Escolha quem paga as taxas do novo membro: a conta de gerenciamento, um membro existente ou o próprio novo membro.
   Tag	Tags para vincular ao membro, facilitando o gerenciamento.
   Parent folder	O padrão é a pasta raiz. Clique em Modify para alterar.

Enable resource sharing:

1. Faça login no console do Resource Sharing usando a conta de gerenciamento. No painel de navegação à esquerda, acesse Resource Sharing > Settings.

2. Clique em Enable e, em seguida, clique em OK na caixa de diálogo Resource Sharing Service-Linked Role.

   O sistema cria automaticamente uma função vinculada ao serviço chamada AliyunServiceRoleForResourceSharing para recuperar informações da organização no Resource Directory. Para mais detalhes, consulte Service-linked role for Resource Sharing .

Etapa 2: Compartilhe a instância do KMS

1. Faça login no console do Key Management Service como proprietário da instância. Selecione uma região na barra de menu superior e clique em Instances no painel de navegação à esquerda.

2. Localize a instância do KMS desejada e clique em Share Resources na coluna Actions. No painel RD Multi-account Sharing Settings, selecione um modo de compartilhamento.

3. No painel Add to Resource Share, escolha como configurar o compartilhamento de recursos:

   Aviso

   Adicionar uma instância do KMS a um compartilhamento de recursos existente concede a todos os principais atuais desse compartilhamento acesso automático à nova instância. Isso consome a Cota de Gerenciamento de Acesso da instância e pode causar escalonamento não intencional de permissões. Prossiga com cautela.

   	**Criar (recomendado)**	**Selecionar um compartilhamento de recursos existente**
   Quando usar	Ao compartilhar pela primeira vez ou quando for necessário isolamento de permissões por instância	Ao adicionar a instância atual a um compartilhamento existente para reutilizar seus principais e permissões
   Escopo da permissão	Apenas a instância atual do KMS; somente contas recém-adicionadas obtêm acesso	Todos os principais existentes obtêm acesso automaticamente à nova instância; alterações de permissão afetam todos os recursos no compartilhamento

4. Configure os parâmetros do compartilhamento de recursos e clique em OK:

   Se estiver criando um novo compartilhamento de recursos:

   • Resource share name — Até 50 caracteres; suporta caracteres chineses, letras, dígitos e ._-.

   • Principals — Especifique quais contas podem usar esta instância do KMS. Cada principal adicionado consome a Cota de Gerenciamento de Acesso da instância. Adicionar ou remover principais de um compartilhamento de recursos existente afeta todos os recursos dentro desse compartilhamento. Três tipos de principais são suportados:

     Tipo de principal	Escopo
     Alibaba Cloud Account	Compartilha recursos apenas com IDs de conta especificados
     Resource Directory Organization	Compartilha recursos com todas as contas membro em todo o resource directory, incluindo membros adicionados posteriormente
     Folder (organizational unit)	Compartilha recursos com todos os membros na pasta especificada (formato: fd-xxxxxxxx), incluindo membros adicionados posteriormente. Para encontrar IDs de pastas, consulte View the basic information of a folder.

     Adicione principais por pasta ou Conta da Alibaba Cloud para obter controle refinado.

   • Permissions — Selecione AliyunRSDefaultPermissionKMSInstance (recomendado). Duas versões estão disponíveis (v1 e v2); novos compartilhamentos usam a v2 por padrão. Para verificar a versão em uso, consulte View permission details. A permissão AliyunRSPermissionKMSInstanceReadWrite está obsoleta e não é recomendada para novos compartilhamentos.

   Se estiver selecionando um compartilhamento de recursos existente:

   • Select resource share — O console lista todos os compartilhamentos de recursos em sua conta. Consulte Create a resource share para referência.

   • Shared resources — Somente leitura. Mostra os recursos existentes no compartilhamento selecionado. Após esta operação, a instância atual do KMS será adicionada.

   • Principals e Permissions — Mesmas opções disponíveis ao criar um novo compartilhamento. Observação: AliyunRSPermissionKMSInstanceReadWrite está obsoleta; se usada anteriormente, continue utilizando-a apenas para esse compartilhamento específico.

Modifique os principais de um compartilhamento de recursos

Pelo console do KMS:

1. Faça login no console do Key Management Service como proprietário da instância. Selecione uma região e clique em Instances no painel de navegação à esquerda.

2. Na página Instances, abra a aba Software Key Management ou Hardware Key Management conforme o tipo da instância.

3. Localize a instância e clique em Share Resources na coluna Actions.

4. No painel RD Multi-account Share Settings, selecione um Resource Share. Na seção Principals, clique em Edit para adicionar ou remover principais e, em seguida, clique em OK.

Pelo console do Resource Sharing:

Para instruções detalhadas, consulte Modify a resource share.

Revogue o compartilhamento de uma instância do KMS

Revogar um compartilhamento significa excluir o compartilhamento de recursos. Após a exclusão, todos os principais perdem o acesso aos recursos desse compartilhamento.

Execute esta operação exclusivamente pelo console do Resource Sharing:

1. Faça login no console do Resource Sharing usando uma conta de gerenciamento.

2. No painel de navegação à esquerda, acesse Resource Sharing > Resources I Share. Localize o compartilhamento de recursos desejado e clique em seu ID.

3. Clique em Delete Resource Share no canto superior direito. Na caixa de diálogo de confirmação, clique em OK.

Conectividade de rede

Se a aplicação de um principal for executada em uma VPC e precisar acessar o KMS por meio de um gateway privado, o proprietário da instância deve anexar a VPC do principal à instância compartilhada do KMS. Para instruções, consulte Access a KMS instance from multiple VPCs in the same region.

Auditoria e conformidade

• Proprietário do recurso: Ative o ActionTrail para registrar todas as operações de gerenciamento na instância compartilhada e todas as operações de chave realizadas pelos principais.

• Principal: Ative o ActionTrail para registrar todas as chamadas de API dentro da sua conta.

Gerenciamento de mudanças

• Revogação de compartilhamento: Antes de revogar um compartilhamento, os principais devem excluir todas as chaves e segredos que criaram na instância compartilhada. Se houver recursos restantes, a revogação falhará. Para instruções, consulte Revoke sharing for a KMS instance.

• Modificação de principais: Adicionar ou remover principais de um compartilhamento de recursos afeta todos os recursos dentro desse compartilhamento. Crie compartilhamentos de recursos separados para diferentes cenários de negócios ou equipes para evitar conflitos de permissão. Para instruções, consulte Modify the principals of a resource share.