Key Management Service：步驟二：遷移操作

適用範圍

僅支援遷移國內地區HSM BYOK。

操作步驟

1. 登入舊版Key Management Service控制台，在左側導覽列單擊迁移工具，進入迁移信息頁面。找到待遷移密鑰所在地區，單擊未迁移Hsm BYOK数量列的數字。

2. 在彈出的頁面未迁移Hsm BYOK列表頁，找到需要遷移的HSM BYOK密鑰，單擊操作列的导入密钥材料。

3. 配置公開金鑰和令牌資訊：在匯入密鑰材料頁面，參考如下資訊完成配置，然後單擊下一步。

   配置項	說明
   公钥类型	選擇用於加密金鑰材料的公開金鑰類型。支援以下選項： RSA_2048：使用RSA 2048位公開金鑰。
   密碼編譯演算法	選擇密碼編譯演算法。支援以下選項： RSAES_OAEP_SHA_256（推薦）：使用RSA OAEP填充和SHA-256雜湊演算法。 RSAES_PKCS1_V1_5：使用RSA PKCS#1 v1.5填充。
   包装密钥格式	選擇下載的封裝密鑰格式，支援der（預設）或pem格式。

4. 下載封裝公開金鑰和匯入令牌：匯入密鑰材料的參數包含封裝公開金鑰和匯入令牌，封裝公開金鑰用於加密金鑰材料，在匯入處理程序中保護密鑰材料，匯入令牌用於匯入密鑰材料。

   • 公钥格式：

     • der格式：下載後檔案名稱預設為WrappingPublicKey**bin。

     • pem格式：下載後檔案名稱預設為WrappingPublicKey**.pem。

   • 匯入令牌：下載後檔案名稱預設為ImportToken***.txt。

     重要

     • 匯入令牌的有效期間為24小時，在有效期間內可以重複使用，失效後需要擷取新的匯入令牌和公開金鑰。

     • 封裝公開金鑰和匯入令牌必須配套使用。即不允許下載兩次封裝公開金鑰和匯入令牌，使用其中一個的封裝公開金鑰，另一個的匯入令牌。

5. 使用封裝公開金鑰加密密鑰材料：本文以使用OPENSSL產生RSA_2048演算法的密鑰材料為例。

   1. 建立一個RSA_2048演算法的目標非對稱金鑰私密金鑰，並且將私密金鑰轉為PKCS#8格式。

      openssl genrsa -out TakPrivPkcs1.pem 2048
      openssl pkcs8 -topk8 -inform PEM -in TakPrivPkcs1.pem -outform der -nocrypt -out TakPrivPkcs8.bin

   2. 建立一個AES_256演算法的瞬時密鑰（ESK）。

      openssl rand -out EskAes256.bin 32

   3. 使用加密金鑰公開金鑰（IWKpub）加密瞬時密鑰（ESK），得到瞬時密鑰密文（Cipher(ESK)）。加密時採用RSAES OAEP標準加密，其中MGF1和雜湊演算法為SHA256。

      openssl pkeyutl -encrypt -pubin -inkey PublicKey.pem  -in EskAes256.bin  -pkeyopt \
      rsa_padding_mode:oaep -pkeyopt rsa_oaep_md:sha256 -pkeyopt rsa_mgf1_md:sha256 -out \
      CipherEsk.bin

      說明

      請將PublicKey.pem替換為您在Key Management Service控制台下載的公開金鑰檔案的名稱。

   4. 使用瞬時密鑰（ESK）加密目標非對稱金鑰私密金鑰（TAKpriv），產生目標非對稱金鑰的私密金鑰密文（Cipher(TAKpriv)）。加密模式為ECB，填充模式為PKCS#7 Padding。

      xxd -l 32  -c 32 -ps EskAes256.bin | xargs -I {} openssl enc  -aes-256-ecb -e  -K {} -in \ 
      TakPrivPkcs8.bin -nosalt -out CipherTakPriv.bin

   5. 按照Cipher（ESK） || Cipher（TAKpriv）格式組裝結果資料，再進行Base64編碼。

      cat CipherEsk.bin CipherTakPriv.bin > EncryptedKeyMaterial.bin
      openssl enc -e -base64 -A -in EncryptedKeyMaterial.bin -out EncryptedKeyMaterial_base64.txt

      說明

      EncryptedKeyMaterial_base64.txt即為可匯入KMS的密鑰材料檔案。

6. 匯入遷移密鑰材料：在匯入密鑰材料頁面，參考如下資訊完成配置，然後單擊確定。

   重要

   遷移用密鑰材料的有效期間是21天，若超出時間未執行遷移操作，需重新匯入。

   配置項	說明
   密钥材料格式	選擇上傳的密鑰材料格式，支援base64（預設）或bin格式。
   包装后的密钥材料	上傳使用封裝祕密金鑰加密後的密鑰材料檔案。
   匯入令牌	上傳在步驟4中下載的匯入令牌檔案。
   设定到期时间	設定密鑰材料的到期時間。支援以下選項： 永久有效（預設）：密鑰材料永不到期。 自訂：自訂密鑰材料的到期時間，到期後系統將在對應日期GMT+8 00:00刪除密鑰材料。

7. 執行遷移：返回迁移信息列表頁，單擊目標HSM BYOK所在地區，單擊操作列的迁移，在迁移资源頁簽完成各項配置。

   • 实例类型：硬件管理实例。

   • 迁移资源：選擇手動選擇遷移資源，並勾選目標HSM BYOK密鑰的资源名称。

常見異常處理

• "current hardware BYOK key was not imported for migration"：說明HSM BYOK密鑰尚未匯入遷移用密鑰材料，需要先完成本章節的密鑰材料匯入操作。

• "current hardware BYOK key material is expired, please reimport"：說明遷移用密鑰材料已到期（超過21天未使用），需要重新匯入密鑰材料。