Key Management Service：更換ClientKey

步驟一：建立一個新的ClientKey

1. 登入Key Management Service控制台，在頂部功能表列選擇地區後，在左側導覽列單擊应用接入 > 多云接入（原接入点）。

2. 單擊应用接入頁簽，通過实例ID或者應用存取點名稱篩選，定位到目標應用存取點。

3. 單擊應用存取點名稱，在詳情頁面單擊身份凭证頁簽後，單擊创建凭证。

4. 在创建凭证對話方塊設定Client Key加密口令和有效期。

   • Client Key加密口令：8~64位，支援數字、英文大小寫、特殊字元~!@#$%^&*?_-。

   • 有效期：預設為5年，建議您設定為1年，以降低ClientKey被泄露的風險。

5. 單擊確認，瀏覽器會自動下載ClientKey。ClientKey包含以下內容：

   • 应用身份凭证内容（ClientKeyContent）：檔案名稱預設為clientKey_****.json

   • 憑證口令（ClientKeyPassword）：檔案名稱預設為clientKey_****_Password.txt。

步驟二：更換自建應用中的ClientKey

以KMS執行個體SDK（Java）為例，初始化Client執行個體時，你需要將clientKeyPass替換為新的憑證口令，clientKeyFilePath或clientKey替換為新的应用身份凭证内容。

步驟三：觀察舊ClientKey是否仍有調用

您可以通過觀察舊ClientKey是否仍有調用，判斷ClientKey是否已經全部更換。確認沒有調用後，對於不使用的ClientKey請及時刪除。

1. 擷取舊ClientKey的密鑰ID。在憑證管理頁面單擊身份憑證 Tab 頁簽，在憑證列表中找到目標 ClientKey 對應的Key ID（金鑰識別碼）並記錄，用於後續在Log Service中查詢調用記錄。

2. 在左側導覽列單擊安全运营 > 日志服务，選擇您的執行個體ID。

3. 在搜尋方塊中輸入ClientKey的密钥ID，查詢舊ClientKey是否仍有調用。在 kms_audit_log 日誌庫的查詢輸入框中，輸入舊 ClientKey 的金鑰識別碼（如 KAAP.8834xxx），單擊查詢/分析按鈕。若查詢結果的日誌條數為 0，則表示舊 ClientKey 已無調用。

   如果仍有調用，說明ClientKey未更換完全，您可以根據client_ip、useragent等欄位的資訊追溯是哪些應用未替換。

步驟四：刪除舊ClientKey

1. 定位到舊ClientKey，單擊操作列的删除。

2. 在彈出的刪除Client Key對話方塊中確認無誤後，單擊確認。

3. 完成安全驗證後，KMS會刪除該ClientKey。