Key Management Service：購買和啟用 KMS 執行個體

步驟一：購買 KMS 執行個體

1. 登入Key Management Service控制台，在頂部功能表列選擇地區後，在左側導覽列單擊资源 > 实例管理。

2. 在实例管理頁面單擊创建实例，選擇付費類型，然後選擇要購買的 KMS 執行個體規格，單擊立即購買。

   訂用帳戶（預付費）

   配置項	說明
   網站	KMS 執行個體所在地區所屬的網站。可選項：國際 region、中國內地 region。
   密鑰管理類型	KMS 為各地區提供預設密鑰（含服務密鑰及主要金鑰）用於雲產品加密，使用預設密鑰無需購買 KMS 執行個體，但功能有限。預設密鑰由 KMS 免費提供，僅密鑰輪轉功能需付費開通增值服務，其餘情境均無費用。 建議選購 KMS 執行個體前，訪問產品選型瞭解預設密鑰和 KMS 執行個體的詳情。 選購 KMS 執行個體 通常情況下選擇軟體密鑰管理執行個體即可，如果業務需要物理級安全防護或滿足金融監管等強合規要求時，選擇硬體密鑰管理執行個體。 软件密钥管理：金鑰儲存區在專屬的資料庫中。 硬件密钥管理：密鑰產生、儲存及加解密依賴專用硬體安全模組（HSM），滿足國密或 FIPS 140-3 Level 3 認證。選購該類型執行個體，需要同步購買密碼機，詳細介紹，請參見配置KMS硬體密鑰管理執行個體的密碼機叢集。 選購密鑰增值服務 執行個體備份：僅軟體密鑰管理執行個體涉及該增值服務。但由於軟體密鑰管理執行個體啟用後， KMS 會免費產生一個備份用於備份 90 天內的資料，建議先瞭解免費提供的備份能力，不滿足業務要求時，再選購執行個體備份。詳情請參見備份管理。 預設密鑰輪轉：僅免費的預設密鑰涉及該增值服務。詳情請參見預設密鑰輪轉。 說明 如果購買的是 KMS 執行個體， KMS 執行個體中的密鑰預設支援輪轉，無需購買增值服務。
   地區	建議與業務部署在同一地區。詳情請參見支援的地區。
   部署模式	KMS執行個體支援雙可用性區域或多可用性區域配置，從而實現高可用性、災備能力和負載平衡。 說明 菲律賓（馬尼拉）、泰國（曼穀）僅提供一個可用性區域，則該KMS執行個體只能部署在單可用性區域，此時部署模式預設取值為單可用性區域。 選擇多可用性區域時，最多能配置3個可用性區域。 各地區的可用性區域數量，請參見地區和可用性區域。
   計算效能	KMS 執行個體的效能資料。以 2000 為例，表示獨立處理對稱演算法的計算效能最高為 2000 QPS，獨立處理非對稱演算法的計算效能最高為 300 QPS。 說明 如需計算效能為 10,000 或 20,000 的軟體密鑰管理執行個體，請聯絡我們。
   密鑰數量	密鑰配額。預設為 1000。 密鑰配額按密鑰版本計算，不是按照密鑰個數計算。1 個密鑰包含 5 個密鑰版本時，即占 5 個密鑰配額。
   憑據數量	憑據配額。預設為 0。 憑據配額按照憑據個數計算，與憑據版本無關。1 個憑據，無論包含幾個密鑰版本，都只佔 1 個憑據配額。 說明 業務不涉及憑據時，暫不購買，後續需要時通過升配購買憑據配額。
   資料密鑰	資料密鑰配額，預設為 0。 資料密鑰配額按資料密鑰版本計算，不是按照資料密鑰個數計算。1 個資料密鑰包含 5 個版本時，即占 5 個資料密鑰配額。
   訪問管理數量	該配額涉及兩部分功能： 同地區多VPC訪問KMS執行個體：允許一個地區的多個 VPC 訪問 KMS 資源，涉及幾個 VPC，就需要幾個配額。 多帳號共用KMS執行個體：共用給幾個阿里雲帳號，就需要幾個配額。 例如， KMS 執行個體需要關聯 3 個 VPC，並共用給 2 個阿里雲帳號，那麼訪問管理數量配額最少為 5 才能滿足業務需求。 預設值為 1 個，即允許 1 個 KMS 執行個體綁定的 VPC 訪問 KMS 資源。
   日誌分析	是否開啟日誌分析功能。詳情請參見Log Service概述。 警告 日誌分析開啟後不支援關閉。具體費用，請參見產品計費。
   日誌儲存容量	最小為 1000 GB，以 1000 GB 為單位遞增。如何評估容量，請參見如何計算所需的日誌儲存容量。
   購買數量	購買的 KMS 執行個體的數量。 重要 通常購買 1 個 KMS 執行個體，如需購買多個 KMS 執行個體，請聯絡我們。
   購買時間長度	根據需要選擇購買時間長度。 說明 若選中到期自動續約，當前 KMS 執行個體到期後將自動續約。

   隨用隨付

   配置項	說明
   售賣計量類型	固定值3.0 隨用隨付。
   实例类型	通常情況下選擇軟體密鑰管理執行個體即可，如果業務需要物理級安全防護或滿足金融監管等強合規要求時，選擇硬體密鑰管理執行個體。 软件密钥管理：金鑰儲存區在專屬的資料庫中。 硬件密钥管理：密鑰產生、儲存及加解密依賴專用硬體安全模組（HSM），滿足國密或 FIPS 140-3 Level 3 認證。選購該類型執行個體，需要同步購買密碼機，詳細介紹，請參見配置KMS硬體密鑰管理執行個體的密碼機叢集。
   地域	建議與業務部署在同一地區。詳情請參見支援的地區。

3. 閱讀並勾選服務合約，單擊去支付完成購買。購買成功後，等待 1~5 分鐘，即可在实例管理頁面看到已購買的 KMS 執行個體。

步驟二：啟用 KMS 執行個體

購買 KMS 執行個體後，需先啟用執行個體，才可以使用該 KMS 執行個體提供的密鑰管理、憑據管理功能。

退訂執行個體

1. 請前往费用与成本-資源退訂頁面。

2. 在退订资源頁簽選擇商品名称為密鑰管理 KMS，單擊目標執行個體操作列的退订资源。

3. 在退订资源頁面，核對退訂資源的資訊並確認退訂條款和退訂金額。

4. 在左下角勾選確認項（確認退訂金額、確認資料已備份遷移），單擊立即退订按鈕。

故障排查

常見問題

• 什麼是 KMS 託管密碼機？

  KMS 託管密碼機是指 KMS 在購買硬體密鑰管理執行個體時，根據配置的密碼機資訊自動建立的 HSM 執行個體。

• KMS 託管的密碼機支援擴充叢集嗎？

  不支援。僅支援備份操作，其他動作均不支援。

• 啟用 KMS 執行個體時為何一直顯示串連中？

  啟用 KMS 執行個體（含軟體密鑰管理執行個體和硬體密鑰管理執行個體）時，需要等待約 30 分鐘，然後重新整理頁面。當執行個體的狀態變更為已啟用時，表示 KMS 執行個體啟用成功。

• 啟用 KMS 硬體密鑰管理執行個體時提示 “ 串連失敗 ”？

  請檢查密碼機訪問憑據是否正確。密碼機訪問憑據的詳情請參見建立並啟用叢集。

• 使用 IAC 或 API 啟用 KMS 執行個體時報錯 ZoneIds/vswitch_ids invalid 怎麼辦？

  該報錯通常由傳入的可用性區域或交換器（vSwitch）參數與執行個體規格不匹配導致。以下為兩種常見情境及解決方案：

  1. 可用性區域數量不匹配（報錯資訊：ZoneIds is not valid）：購買的 KMS 執行個體規格為雙可用性區域，但在 IAC Stack 或 API 呼叫中傳入了 3 個可用性區域 ID（ZoneIds）時觸發。解決方案：確認執行個體規格支援的可用性區域數量，若需配置 3 個可用性區域，需購買支援多可用性區域部署的執行個體規格。

  2. 交換器參數傳遞錯誤（報錯資訊：vswitch_ids invalid）：調用 DKMS ConnectKmsInstance 介面或使用 Terraform 配置時，傳遞了多個交換器 ID（vswitch_ids）導致報錯。ConnectKmsInstance 介面僅接受單個交換器 ID。解決方案：修改配置，確保僅傳遞單個交換器 ID（vswitch_id），然後重試。