中国内地密码机数据备份恢复

重要

本文中含有需要您注意的重要提示信息,忽略该信息可能对您的业务造成影响,请务必仔细阅读。

通过备份恢复功能,您可以将密码机恢复到之前的数据,或者将数据恢复到同地域或跨地域的其他密码机中,以满足数据恢复或跨地域开服场景的要求。本文介绍如何使用数据备份恢复功能。

功能介绍

每次备份会全量备份一次密码机的数据,每次备份生成一个镜像,如果镜像已经备份了数据,再次使用该镜像备份数据时会覆盖之前的数据。HSM支持您备份集群中所有密码机的数据,即为所有密码机开启数据备份恢复,也支持备份其中一个密码机的数据。

备份内容

备份数据

说明

用户信息

用户账号密码及身份类型。

证书信息

集群证书,自签发证书。

密钥

密钥及其属性(密钥标识符、密钥类型、密钥用途、密钥状态、密钥所属用户信息、KCV标识符、椭圆曲线类型(仅针对ECC密钥)、CRT参数(仅针对RSA密钥))等。

说明

KMS硬件密钥是一种依赖于HSM的密钥,包含密钥材料(加密机密钥)和密钥元数据。HSM可对硬件密钥的密钥材料(加密机密钥)进行备份,硬件密钥元数据不支持备份。

  • 密钥材料是指由KMS依托HSM的物理隔离环境所生成和托管的密钥核心参数。

  • 密钥元数据是指密钥ID、密钥所属KMS实例、ARN、密钥策略等存储在KMS上的业务数据信息。

备份类型及对比

加密服务提供三种备份类型:自动创建、默认、购买。image

  • (推荐)自动创建:购买密码机时同步选择了备份恢复功能,或者购买时未选择,后续通过升级实例方式选择了备份恢复功能。备份与密码机绑定,购买后每日00:00(UTC+8)自动备份一次。

  • 默认:每个地域免费赠送一个,使用时需要绑定一个密码机。备份中只包含一个镜像额度,每次备份时会覆盖该镜像。

  • 购买:单独购买的备份,使用时每个备份需要绑定一个密码机,备份中的镜像额度不超过100个。

    对比项

    自动创建

    默认

    购买

    镜像数量

    购买时自由选择,支持1~100。

    每个镜像可以备份一次密码机数据。镜像不支持重置或删除,镜像数量不够时会覆盖最早的镜像。

    1个。

    只能备份一次密码机数据。支持重置镜像,重置后可以重新备份一次密码机数据。

    购买时自由选择,支持1~100。

    每个镜像可以备份一次密码机数据。支持重置镜像,重置后可以重新备份密码机数据。

    说明

    重置时会将备份中所有镜像重置,不支持仅重置某一个镜像。

    备份到期时间

    在密码机实例释放90天后,备份会被自动删除,备份中的所有镜像数据将被释放。备份不支持手动删除。

    在备份被删除前,您均可执行跨地域复制或恢复实例操作。

    长期有效。

    由购买时长决定,备份到期后不再支持任何操作。

    到期180天后,备份和所有镜像数据将被释放。您在释放前均可重新激活备份并使用,重新激活的收费与新购同一规格备份相同。

    备份方式

    全量备份,仅支持自动备份。

    T日开启数据备份恢复功能后,系统会在T+1日的00:00(UTC+8)进行第一次备份,后续每日的00:00(UTC+8)备份一次。

    每次备份生成一个镜像,如果所有镜像都被占用,新生成的镜像会覆盖时间点最早的镜像。

    全量备份,支持手动备份和自动备份两种方式。

    自动备份时,备份周期可选1天、3天、7天、30天,备份时间可以选择整点时间。

    全量备份,支持手动备份和自动备份两种方式。

    自动备份时,备份周期可选1天、3天、7天、30天,备份时间可以选择整点时间。

    费用

    按照选择的镜像数量收费,每个镜像50元。

    免费。

    按照选择的镜像数量收费,每个镜像50元。

备份不支持下载

备份及备份中的镜像均不支持下载,也不支持查看镜像的详细数据,降低了数据被非法复制或泄露的风险。

操作审计

备份和恢复操作支持通过操作审计(ActionTrail)查询。

备份恢复流程

场景一:将集群中所有密码机恢复到之前的数据

将集群中密码机数据恢复时,需要先将集群中所有密码机移除,再使用镜像重新创建密码机并部署集群。该方式会将集群中所有数据删除,以下流程仅供参考,建议您操作前联系技术支持。

image

场景二:跨地域开服场景,将地域A的密码机1中的数据复制到地域B的密码机集群中

整个流程如下,需要注意在地域B下购买密码机时,由于HSM仅支持双可用区部署,您至少需要购买两个密码机,购买后无需执行启用、初始化密码机等操作。

image

操作步骤

备份密码机数据

备份数据时,要备份数据的密码机实例状态必须是已启用

自动创建

您可以在购买密码机实例时同步开启数据备份恢复,该场景下由于HSM仅支持集群方式部署,购买实例时必须选择双可用区下的至少两个密码机,该方式会为所有的密码机实例开启数据备份恢复功能。您也可以购买时不开启数据备份恢复,后续为单个密码机开启数据备份。

  • 方式一:购买密码机实例时同步选择了数据备份恢复。

    具体操作,请参见购买密码机实例。购买成功后即按照时间点自动备份,您可以在数据备份恢复管理页面查看备份。

  • 方式二:购买密码机实例时未选择数据备份恢复,后续开启数据备份恢复功能。

    1. 访问加密服务控制台的虚拟密码机实例页面,在顶部菜单栏,选择目标地域。

    2. 定位到目标密码机,单击操作列的image > 升级

      说明

      如果无法查看到升级,可能是因为该密码机已开启备份恢复功能。

    3. 变配页面,开启数据备份恢复并选择镜像数量,仔细阅读并勾选服务协议后,单击立即购买,按照指引完成购买。

      购买成功后即按照时间点自动备份,在数据备份恢复管理页面,您可以看到已经生成的备份的名称。image

默认

  1. 访问加密服务控制台的数据备份恢复管理页面,在顶部菜单栏,选择目标地域。

  2. 数据备份恢复管理页面,定位到默认备份,单击操作列的启用image..png

  3. 启用备份对话框中,选择您要备份的密码机实例,然后单击确定

  4. 单击备份名称,然后在详情页设置备份方式。

    启用备份后,镜像默认都是手动备份,您也可以设置自动备份,加密服务会根据您设置的周期和时间点自动生成镜像。

    备份方式

    说明

    自动生成镜像

    重要

    镜像备份方式从手动切换为自动时,会删除已有镜像数据。从自动切换回手动时,不会删除已有镜像数据。

    1. 在备份的详情页,单击管理自动备份任务

    2. 管理自动备份任务对话框中设置镜像列表备份周期备份开始时间点,然后单击确定

      说明
      • 开启或修改自动备份方式后,加密服务会在最近的备份开始时间生成一次镜像,然后再根据设置的周期进行周期性备份。

        例如,如果您在06.01日的05:00修改了自动备份方式,备份开始时间点07:00,那么06.01日的07:00会备份一次,后续根据备份周期进行备份。如果您是在10:00修改的,则会在06.02日的07:00备份一次,后续根据备份周期进行备份。

      • 默认备份只有一个镜像,下一次自动备份时会覆盖镜像。

    手动生成镜像

    1. 在备份详情页,单击镜像操作列的生成镜像

    2. 生成镜像对话框单击确定

      镜像生成约1分钟,镜像生成结束后状态创建中变为已启用

购买

  1. 购买备份。

    1. 访问加密服务控制台的数据备份恢复管理页面,在顶部菜单栏,选择目标地域。

    2. 单击创建备份,完成各项配置后,单击立即购买

      配置项

      说明

      地域

      选择要备份的密码机实例所在地域。

      密码服务类型

      选择密码数据备份

      镜像扩展

      可以备份的数据次数。最大支持设置为100。

      购买数量

      备份的数量。每个备份可以备份一个密码机的数据。

      购买时长

      备份的购买时长。建议选择自动续费,以防到期未及时续费而导致的备份数据永久丢失。

    3. 订单确认无误后,请仔细阅读并勾选服务协议,单击去支付完成购买。

      购买成功后,您可以在数据备份恢复管理页面看到购买的备份。

      image..png

  2. 定位到目标备份,单击操作列的启用,在启用备份对话框选择要备份的密码机实例,然后单击确定

  3. 单击备份名称,然后在详情页设置备份方式。

    启用备份后,镜像默认都是手动备份,您也可以设置自动备份,加密服务会根据您设置的周期和时间点自动生成镜像。

    备份方式

    说明

    自动生成镜像

    重要

    镜像备份方式从手动切换为自动时,会删除已有镜像数据。从自动切换回手动时,不会删除已有镜像数据。

    1. 在备份的详情页,单击管理自动备份任务

    2. 管理自动备份任务对话框中设置镜像列表备份周期备份开始时间点,然后单击确定

      说明
      • 开启或修改自动备份方式后,加密服务会在最近的备份开始时间生成一次镜像,然后再根据设置的周期进行周期性备份。

        例如,如果您在06.01日的05:00修改了自动备份方式,备份开始时间点07:00,那么06.01日的07:00会备份一次,后续根据备份周期进行备份。如果您是在10:00修改的,则会在06.02日的07:00备份一次,后续根据备份周期进行备份。

      • 如果备份实例中有多个自动备份的镜像,当镜像都存储了数据时,下一次自动备份时会覆盖最早生成的镜像。

    手动生成镜像

    1. 在备份详情页,定位到目标镜像ID,单击镜像操作列的生成镜像

    2. 生成镜像对话框单击确定

      镜像生成约1分钟,镜像生成结束后状态创建中变为已启用

    如果镜像数量不能满足您的业务要求,您可以单击拓展备份镜像拓展镜像数量。

跨地域复制镜像

仅支持在中国内地跨地域复制镜像,复制完成后,在目标地域会自动创建一个备份类型跨地域复制的备份,您复制的镜像会在该备份下。例如,您可以将华东1(杭州)地域下的一个镜像复制到华东2(上海)。

  1. 访问加密服务控制台的数据备份恢复管理页面,在顶部菜单栏,选择目标地域。

  2. 单击目标备份操作列的查看镜像

  3. 定位到目标镜像ID,单击操作列的跨地域复制

  4. 复制镜像对话框,选择目标地域,然后单击确定

  5. 切换到目标地域,在数据备份恢复管理页面查看镜像。

    1. 找到备份类型跨地域复制的备份,单击操作列的查看镜像image

      说明

      该备份中汇总了所有从其他地域备份来的镜像,该备份没有过期时间。

    2. 根据镜像复制时间,查看复制过来的镜像。

      将光标放在镜像ID后的image图标,可以查看到原备份ID、原镜像ID、原实例ID、原镜像地区。

通过镜像恢复密码机数据

HSM支持恢复到同地域的密码机中,也支持恢复到跨地域的密码机中。通过镜像恢复,您可以恢复密码机原来的数据,也可以新创建一个数据相同的密码机。

重要

目标密码机需要满足如下条件:

  • 密码机实例与备份的地域一致。如果是跨地域恢复,需要先将镜像复制到目标地域。

  • 密码机实例的类型与要复制的密码机一致。

  • 密码机不在集群中。

  • 密码机状态为未启用或已停用。

  • 密码机状态为未初始化。

  1. 准备密码机实例。

    • 目标地域无密码机时,请先购买密码机实例。具体操作,请参见购买密码机实例

      重要

      购买后请勿启用密码机实例。

    • 目标密码机处于已使用状态,请先联系阿里云技术支持停用并重置密码机实例。

  2. 找到目标镜像。

    1. 访问加密服务控制台的数据备份恢复管理页面,在顶部菜单栏,选择目标地域。

    2. 数据备份恢复管理页面,找到目标镜像。

      • 同地域恢复:找到目标备份,单击目标备份操作列的查看镜像

      • 跨地域恢复:找到备份类型跨地域复制的备份,单击操作列的查看镜像

  3. 定位到目标镜像ID,单击操作列的恢复实例

  4. 备份恢复对话框中,选择恢复目标实例,然后单击确定

    恢复成功后,镜像中的数据会复制到目标密码机中。

重置备份

通过重置操作可以解除备份与密码机实例的绑定,仅备份类型购买默认的备份支持重置。重置仅删除镜像中的数据,不会影响您的业务。

警告

备份重置后,所有镜像的数据均会被清空,请谨慎操作

  1. 访问加密服务控制台的数据备份恢复管理页面,在顶部菜单栏,选择目标地域。

  2. 单击数据备份恢复管理页面,定位到目标备份,单击操作列的重置

  3. 在弹出的提示对话框中,确认无误后单击确定,重置完成后备份的状态会变为未启用