Key Management Service：管理KMS執行個體

前提條件

• 網路設定要求：確保有1個VPC和1個交換器。購買建立操作，請參見建立專用網路和交換器或建立交換器。

  說明

  可登入專用網路管理主控台，查看已有的VPC、交換器以及交換器所在的可用性區域。

• PrivateZone配置要求：使用阿里雲中國站帳號購買非中國內地的KMS執行個體，或者使用阿里雲國際站帳號購買中國內地的KMS執行個體，需要手動開通雲解析PrivateZone。具體操作，請參見開通PrivateZone。

  說明

  • 使用阿里雲中國站帳號購買中國內地的KMS執行個體，或者使用阿里雲國際站帳號購買非中國內地的KMS執行個體時，阿里雲會自動開通PrivateZone，無需您手動開通。

  • KMS執行個體網域名稱解析產生的費用由KMS承擔，您無需向雲解析PrivateZone付費。

操作步驟

前提條件

• 密碼機配置要求：已配置可供KMS執行個體串連的密碼機叢集。具體操作，請參見配置KMS硬體密鑰管理執行個體的密碼機叢集。

  警告

  後續需要擴充密碼機叢集中的密碼機數量時，請先聯絡阿里雲支援人員修改叢集同步方式為自動同步，以避免叢集同步失敗。

• 網路設定要求：請確保KMS執行個體配置的每個可用性區域下都有1個交換器，以部署雙可用性區域為例。

  說明

  可以登入專用網路管理主控台，在交換器頁面單擊目標交換器，在詳情頁面查看可用IP數。

  • 使用密碼機執行個體綁定的2個交換器：無需建立新交換器，僅需確保每個交換器下預留4個可用IP地址。

  • 不使用密碼機執行個體綁定的2個交換器：需要在不同可用性區域建立2個交換器，每個交換器需預留4個可用IP地址。具體操作，請參見建立交換器。

• PrivateZone配置要求：使用阿里雲中國站帳號購買非中國內地的KMS執行個體，或者使用阿里雲國際站帳號購買中國內地的KMS執行個體，需要手動開通雲解析PrivateZone。具體操作，請參見開通PrivateZone。

  說明

  • 使用阿里雲中國站帳號購買中國內地的KMS執行個體，或者使用阿里雲國際站帳號購買非中國內地的KMS執行個體時，阿里雲會自動開通PrivateZone，無需手動開通。

  • KMS執行個體網域名稱解析產生的費用由KMS承擔，無需額外向雲解析PrivateZone付費。

操作步驟

1. 登入Key Management Service控制台，在頂部功能表列選擇地區後，在左側導覽列單擊资源 > 实例管理。

2. 單擊硬件密钥管理頁簽，定位到目標KMS硬體密鑰管理執行個體，單擊操作列的启用。

3. 在連接面板，完成各項配置後，單擊連接指定密碼機叢集。

   1. 名稱：自訂KMS執行個體的名稱，支援字母、數字以及特殊字元_/+=.@-。

   2. HSM集群：選擇您在Data Encryption Service中配置的密碼機叢集。

      說明

      一個KMS硬體密鑰管理執行個體只能綁定一個密碼機叢集。

   3. 配置密码机访问凭据：

      中國內地密碼機叢集

      • 自動產生認證：在購買非中國內地密碼機時選擇自動產生認證，HSM將自動產生所需認證，使用者只需在用戶端SDK側配置相應認證即可完成認證配置。

      • 手動產生認證：購買密碼機時，未配置HSM自動產生認證，需要配置用戶端認證（帶保護口令的PKCS12格式認證）和安全域認證（為密碼機叢集簽發TLS服務端認證的CA認證，為PEM格式）。關於認證如何產生，請參見產生認證並配置TLS雙向認證。

        • 客户端保护口令：在產生用戶端認證client.p12時設定的保護口令。如果是使用認證檔案產生工具（hsm_certificate_generate）產生，預設為12345678。

        • 客户端证书：PKCS12格式認證。單擊選擇檔案，選擇已產生的client.p12檔案進行上傳。

        • 安全域证书：PEM格式CA認證。單擊選擇檔案，選擇已產生的rootca.pem檔案進行上傳。

      非中國內地密碼機叢集

      • 自動產生認證：在購買非中國內地密碼機時選擇自動產生認證，HSM將自動產生所需認證並在服務端加密機內部署。使用者只需在用戶端SDK側配置相應認證即可完成認證配置。

      • 手動產生認證：如果未配置HSM自動產生認證，需要手動設定用戶端認證，關於認證如何產生，請參見匯入GVSM（NIST FIPS）叢集認證。

        • 用户名：密碼機操作員的使用者名稱（固定為kmsuser）。

        • 口令：密碼機操作員的訪問口令。該口令是在建立密碼機操作員（CU使用者）時設定的口令。

        • 安全域证书：PEM格式CA認證。登入Data Encryption Service控制台，單擊叢集中任一密碼機執行個體ID，在实例详情頁簽下方，密碼機認證地區，單擊ClusterOwnerCertificate後直接複製內容或者儲存為PEM格式檔案再上傳。

   4. 专有网络：預設為密碼機綁定的VPC ID，不支援修改。

   5. 配置可用区&交换机：與購買執行個體時選擇的部署模式相關，支援雙可用性區域或多可用性區域，每個可用性區域下的交換器需要預留4個可用IP。

      多可用性區域時最多可以配置3個可用性區域。

      說明

      雙可用性區域或多可用性區域部署是為了實現KMS的高可用、災備能力和負載平衡，選擇業務所在可用性區域，還是非業務所在可用性區域，在時延和效能上的差異可以忽略不計，您可以自主選擇。

4. 配置完成後，請耐心等待系統操作，當狀態變更為已連接時，表示KMS硬體密鑰管理執行個體啟用成功。

   說明

   如果購買執行個體時選擇了憑據數量，請等待約30分鐘，然後重新整理頁面。如果未選擇憑據數量，請等待約10分鐘，然後重新整理頁面。

前提條件

• 密碼機配置要求：

  • 已購買了雲外密碼機。

  • 已配置了XKI Proxy外部代理：支援以下方式建立代理串連。具體操作，請諮詢密碼機服務商。

    說明

    XKI Proxy伺服器的詳細資料，請參見XKI Proxy伺服器。

    • 公網串連：直接通過公網建立串連。

    • VPC終端節點串連：需先參考以下說明，建立終端節點服務。具體操作，請參見建立和管理終端節點服務。

      • 終端節點服務的兩個可用性區域，需要與啟動KMS執行個體所選擇的可用性區域保持一致。

      • 需要將當前阿里雲帳號，添加到終端節點服務的白名單中。

      • 終端節點服務的是否自動接受串連需要設定為是。

• PrivateZone配置要求：使用阿里雲中國站帳號購買非中國內地的KMS執行個體，或者使用阿里雲國際站帳號購買中國內地的KMS執行個體，需要手動開通雲解析PrivateZone。具體操作，請參見開通PrivateZone。

  說明

  • 使用阿里雲中國站帳號購買中國內地的KMS執行個體，或者使用阿里雲國際站帳號購買非中國內地的KMS執行個體時，阿里雲會自動開通PrivateZone，無需您手動開通。

  • KMS執行個體網域名稱解析產生的費用由KMS承擔，您無需向雲解析PrivateZone付費。

操作步驟

1. 登入Key Management Service控制台，在頂部功能表列選擇地區後，在左側導覽列單擊资源 > 实例管理。

2. 單擊外部密钥管理頁簽，定位到目標執行個體，單擊操作列的启用。

3. 在連接面板，完成各項配置後，單擊連接指定密碼機叢集。

   配置項	說明
   名稱	自訂KMS執行個體的名稱，支援字母、數字以及特殊字元_/+=.@-。
   专有网络	選擇一個KMS執行個體綁定的VPC。
   配置可用区	與購買執行個體時選擇的部署模式相關，支援雙可用性區域或多可用性區域。多可用性區域時最多可以配置3個可用性區域。 配置可用区&交换机：配置一個可用性區域和交換器，確保該交換器至少有1個可用IP。 其他可用区：支援隨機分配，也支援手動指定。 說明 部分地區僅提供一個可用性區域，則該KMS執行個體只能部署在單可用性區域。 雙可用性區域或多可用性區域部署是為了實現KMS的高可用、災備能力和負載平衡，選擇業務所在可用性區域，還是非業務所在可用性區域，在時延和效能上的差異可以忽略不計，您可以自主選擇。
   外部代理连接	公网接入：KMS執行個體使用公網與XKI Proxy外部代理串連。 VPC终端节点服务：KMS執行個體使用VPC終端節點服務與XKI Proxy外部代理串連。
   外部代理域名地址	僅當外部代理连接選擇公网接入時，需要輸入XKI Proxy外部代理的網域名稱地址。
   终端节点服务	僅當外部代理连接選擇VPC终端节点服务時，需要選擇終端節點服務。 啟動KMS執行個體所選擇可用性區域務必與終端節點服務可用性區域保持一致。
   配置外部代理	手动配置：手動設定外部代理路径、业务服务证书指纹、XKI Proxy代理的AccessKey ID、AccessKey Secret。 上传配置文件：通過上傳檔案進行配置。

   如果購買執行個體時選擇了憑據數量，請等待約30分鐘，然後重新整理頁面。如果未選擇憑據數量，請等待約10分鐘，然後重新整理頁面。當狀態變更為已連接時，表示KMS外部金鑰管理執行個體啟用成功。