购买和启用 KMS 实例

步骤一：购买 KMS 实例

1. 登录密钥管理服务控制台，在顶部菜单栏选择地域后，在左侧导航栏单击资源 > 实例管理。

2. 在实例管理页面单击创建实例，选择要购买的 KMS 实例规格，单击立即购买。

   通用配置

   配置项	说明
   密钥管理类型	KMS 为各地域提供默认密钥（含服务密钥及主密钥）用于云产品加密，使用默认密钥无需购买 KMS 实例，但功能有限。默认密钥由 KMS 免费提供，仅密钥轮转功能需付费开通增值服务，其余场景均无费用。 建议访问产品选型了解默认密钥和 KMS 实例的详情。 选购 KMS 实例 通常情况下选择软件密钥管理实例即可，如果业务需要物理级安全防护或满足金融监管等强合规要求时，选择硬件密钥管理实例。 软件密钥管理：密钥存储在专属的数据库中。 硬件密钥管理：密钥生成、存储及加解密依赖专用硬件安全模块（HSM），满足国密或 FIPS 140-3 Level 3 认证。选购该类型实例，需要同步购买密码机，详细介绍，请参见配置KMS硬件密钥管理实例的密码机集群。 外部密钥管理：基于在阿里云外的密钥管理设备或系统中的密钥，构建在阿里云上数据加密解密的密钥管理中心。 说明 目前仅支持江南天安密码机，如需管理其他品牌密码机，请联系我们。 选购密钥增值服务 专家服务：提供定制专家咨询和监控、KMS 1.0 迁移到 KMS 3.0 等一系列专属 1v1 服务，帮助应用调用 KMS 稳定运行。 实例备份：仅软件密钥管理实例涉及该增值服务。但由于软件密钥管理实例启用后， KMS 会免费生成一个备份用于备份 90 天内的数据，建议先了解免费提供的备份能力，不满足业务要求时，再选购实例备份。详情请参见备份管理。 默认密钥轮转：默认密钥不支持轮转，如需轮转功能，请购买该增值服务。详情请参见默认密钥轮转。
   地域	建议与业务部署在同一地域。支持的地域，请参见地域和可用区。
   部署模式	KMS实例支持双可用区或多可用区配置，从而实现高可用性、灾备能力和负载均衡。 说明 菲律宾（马尼拉）、泰国（曼谷）仅提供一个可用区，则该KMS实例只能部署在单可用区，此时部署模式默认取值为单可用区。 选择多可用区时，最多能配置3个可用区。 各地域的可用区数量，请参见地域和可用区。
   计算性能	KMS 实例的性能数据。以 2000 为例，表示独立处理对称算法的计算性能最高为 2000 QPS，独立处理非对称算法的计算性能最高为 300 QPS。 说明 如需计算性能为 10,000 或 20,000 的软件密钥管理实例，请联系我们。
   密钥数量	密钥配额，默认为 1000。 密钥配额按密钥版本计算，不是按照密钥个数计算。1 个密钥包含 5 个密钥版本时，即占 5 个密钥配额。
   凭据数量	凭据配额，默认为 0。 凭据配额按照凭据个数计算，与凭据版本无关。1 个凭据，无论包含几个密钥版本，都只占 1 个凭据配额。 说明 业务不涉及凭据时，暂不购买，后续需要时通过升配购买凭据配额。
   数据密钥	数据密钥配额，默认为 0。 数据密钥配额按数据密钥版本计算，不是按照数据密钥个数计算。1 个数据密钥包含 5 个版本时，即占 5 个数据密钥配额。
   访问管理数量	该配额涉及两部分功能： 同地域多VPC访问KMS实例：允许一个地域的多个 VPC 访问 KMS 资源，涉及几个 VPC，就需要几个配额。 多账号共享KMS实例：共享给几个阿里云账号，就需要几个配额。 例如， KMS 实例需要关联 3 个 VPC，并共享给 2 个阿里云账号，那么访问管理数量配额最少为 5 才能满足业务需求。 默认值为 1 个，即允许 1 个 KMS 实例绑定的 VPC 访问 KMS 资源。
   日志分析	是否开启日志分析功能。详情请参见日志服务概述。 警告 日志分析开启后不支持关闭。具体费用，请参见产品计费。
   日志存储容量	最小为 1000 GB，以 1000 GB 为单位递增。如何评估容量，请参见如何计算所需的日志存储容量。
   购买数量	根据需要选择 KMS 实例数量。 重要 通常购买 1 个 KMS 实例，如需购买多个 KMS 实例，请联系我们。
   购买时长	根据需要选择购买时长。 说明 选中到期自动续费，当前 KMS 实例到期后将自动续费。

   硬件密钥管理专属配置

   说明

   购买密码机产生的费用由 KMS 承担，无需额外向加密服务 HSM 付费。

   配置项	说明
   密码机数量	选择需要购买的密码机实例数量，默认会购买 2 个密码机实例。
   密码机镜像数量	密码机备份中的镜像数量，每个镜像可以备份一次密码机数据。由硬件密钥管理实例托管的密码机，默认开启数据备份。 重要 密码机实例每日的北京时间 00:00 自动备份一次，生成一个镜像。当镜像数量达到上限时，系统将自动覆盖最早生成的镜像。

3. 阅读并勾选服务协议，单击去支付完成购买。购买成功后，等待 1~5 分钟，即可在实例管理页面看到已购买的 KMS 实例。

步骤二：启用 KMS 实例

购买 KMS 实例后，需先启用实例，才可以使用该 KMS 实例提供的密钥管理、凭据管理功能。

退订实例

1. 请前往费用与成本-资源退订页面。

2. 在退订资源页签选择商品名称为密钥管理 KMS，单击目标实例操作列的退订资源。

3. 在退订资源页面，核对退订资源的信息并确认退订条款和退订金额。

4. 在左下角勾选确认项（确认退订金额、确认数据已备份迁移），单击立即退订按钮。

故障排查

常见问题

• 什么是 KMS 托管密码机？

  KMS 托管密码机是指 KMS 在购买硬件密钥管理实例时，根据配置的密码机信息自动创建的 HSM 实例。

• KMS 托管的密码机支持扩展集群吗？

  不支持。仅支持备份操作，其他操作均不支持。

• 启用 KMS 实例时为何一直显示连接中？

  启用 KMS 实例（含软件密钥管理实例和硬件密钥管理实例）时，需要等待约 30 分钟，然后刷新页面。当实例的状态变更为已启用时，表示 KMS 实例启用成功。

• 启用 KMS 硬件密钥管理实例时提示 “ 连接失败 ”？

  请检查密码机访问凭据是否正确。密码机访问凭据的详情请参见为密码机实例配置双向 TLS 认证。

• 应用程序是否可以跨地域访问 KMS 实例

  可以。需购买 KMS 软件密钥管理实例或硬件密钥管理实例，并通过建立跨地域 VPC 连通及配置 PrivateZone 域名解析，实现其他地域的应用程序集成。具体操作，请参见应用跨地域访问KMS实例。

  说明

  实施前建议综合评估 VPC 连接与 PrivateZone 成本、服务等级协议（SLA）、带宽能力及生效时间等限制，并制定涵盖系统架构、网络架构、运维管理及应急预案的多地域部署方案。

• 使用 IAC 或 API 启用 KMS 实例时报错 ZoneIds/vswitch_ids invalid 怎么办？

  该报错通常由传入的可用区或交换机（vSwitch）参数与实例规格不匹配导致。以下为两种常见场景及解决方法：

  1. 可用区数量不匹配（报错信息：ZoneIds is not valid）：购买的 KMS 实例规格为双可用区，但在 IAC Stack 或 API 调用中传入了 3 个可用区 ID（ZoneIds）时触发。解决方法：确认实例规格支持的可用区数量，若需配置 3 个可用区，需购买支持多可用区部署的实例规格。

  2. 交换机参数传递错误（报错信息：vswitch_ids invalid）：调用 DKMS ConnectKmsInstance 接口或使用 Terraform 配置时，传递了多个交换机 ID（vswitch_ids）导致报错。ConnectKmsInstance 接口仅接受单个交换机 ID。解决方法：修改配置，确保仅传递单个交换机 ID（vswitch_id），然后重试。