密钥管理服务：步骤二：迁移操作

适用范围

仅支持迁移国内地域HSM BYOK。

操作步骤

1. 登录旧版密钥管理服务控制台，在左侧导航栏单击迁移工具，进入迁移信息页面。找到待迁移密钥所在地域，单击未迁移Hsm BYOK数量列的数字。

2. 在弹出的页面未迁移Hsm BYOK列表页，找到需要迁移的HSM BYOK密钥，单击操作列的导入密钥材料。

3. 配置公钥和令牌信息：在导入密钥材料页面，参考如下信息完成配置，然后单击下一步。

   配置项	说明
   公钥类型	选择用于加密密钥材料的公钥类型。支持以下选项： RSA_2048：使用RSA 2048位公钥。
   加密算法	选择加密算法。支持以下选项： RSAES_OAEP_SHA_256（推荐）：使用RSA OAEP填充和SHA-256哈希算法。 RSAES_PKCS1_V1_5：使用RSA PKCS#1 v1.5填充。
   包装密钥格式	选择下载的包装密钥格式，支持der（默认）或pem格式。

4. 下载包装公钥和导入令牌：导入密钥材料的参数包含包装公钥和导入令牌，包装公钥用于加密密钥材料，在导入过程中保护密钥材料，导入令牌用于导入密钥材料。

   • 公钥格式：

     • der格式：下载后文件名默认为WrappingPublicKey**bin。

     • pem格式：下载后文件名默认为WrappingPublicKey**.pem。

   • 导入令牌：下载后文件名默认为ImportToken***.txt。

     重要

     • 导入令牌的有效期为24小时，在有效期内可以重复使用，失效后需要获取新的导入令牌和公钥。

     • 包装公钥和导入令牌必须配套使用。即不允许下载两次包装公钥和导入令牌，使用其中一个的包装公钥，另一个的导入令牌。

5. 使用包装公钥加密密钥材料：本文以使用OPENSSL生成RSA_2048算法的密钥材料为例。

   1. 创建一个RSA_2048算法的目标非对称密钥私钥，并且将私钥转为PKCS#8格式。

      openssl genrsa -out TakPrivPkcs1.pem 2048
      openssl pkcs8 -topk8 -inform PEM -in TakPrivPkcs1.pem -outform der -nocrypt -out TakPrivPkcs8.bin

   2. 创建一个AES_256算法的瞬时密钥（ESK）。

      openssl rand -out EskAes256.bin 32

   3. 使用加密密钥公钥（IWKpub）加密瞬时密钥（ESK），得到瞬时密钥密文（Cipher(ESK)）。加密时采用RSAES OAEP标准加密，其中MGF1和哈希算法为SHA256。

      openssl pkeyutl -encrypt -pubin -inkey PublicKey.pem  -in EskAes256.bin  -pkeyopt \
      rsa_padding_mode:oaep -pkeyopt rsa_oaep_md:sha256 -pkeyopt rsa_mgf1_md:sha256 -out \
      CipherEsk.bin

      说明

      请将PublicKey.pem替换为您在密钥管理服务控制台下载的公钥文件的名称。

   4. 使用瞬时密钥（ESK）加密目标非对称密钥私钥（TAKpriv），生成目标非对称密钥的私钥密文（Cipher(TAKpriv)）。加密模式为ECB，填充模式为PKCS#7 Padding。

      xxd -l 32  -c 32 -ps EskAes256.bin | xargs -I {} openssl enc  -aes-256-ecb -e  -K {} -in \ 
      TakPrivPkcs8.bin -nosalt -out CipherTakPriv.bin

   5. 按照Cipher（ESK） || Cipher（TAKpriv）格式组装结果数据，再进行Base64编码。

      cat CipherEsk.bin CipherTakPriv.bin > EncryptedKeyMaterial.bin
      openssl enc -e -base64 -A -in EncryptedKeyMaterial.bin -out EncryptedKeyMaterial_base64.txt

      说明

      EncryptedKeyMaterial_base64.txt即为可导入KMS的密钥材料文件。

6. 导入迁移密钥材料：在导入密钥材料页面，参考如下信息完成配置，然后单击确定。

   重要

   迁移用密钥材料的有效期是21天，若超出时间未执行迁移操作，需重新导入。

   配置项	说明
   密钥材料格式	选择上传的密钥材料格式，支持base64（默认）或bin格式。
   包装后的密钥材料	上传使用包装密钥加密后的密钥材料文件。
   导入令牌	上传在步骤4中下载的导入令牌文件。
   设定到期时间	设置密钥材料的到期时间。支持以下选项： 永久有效（默认）：密钥材料永不过期。 自定义：自定义密钥材料的到期时间，到期后系统将在对应日期GMT+8 00:00删除密钥材料。

7. 执行迁移：返回迁移信息列表页，单击目标HSM BYOK所在地域，单击操作列的迁移，在迁移资源页签完成各项配置。

   • 实例类型：硬件管理实例。

   • 迁移资源：选择手动选择迁移资源，并勾选目标HSM BYOK密钥的资源名称。

常见异常处理

• "current hardware BYOK key was not imported for migration"：说明HSM BYOK密钥尚未导入迁移用密钥材料，需要先完成本章节的密钥材料导入操作。

• "current hardware BYOK key material is expired, please reimport"：说明迁移用密钥材料已过期（超过21天未使用），需要重新导入密钥材料。