多账号共享KMS实例

步骤一：准备资源目录并开通组织内共享

1. 启用资源目录：

   1. 登录控制台

      使用管理账号登录资源管理控制台。

   2. 开通资源目录

      在左侧导航栏，选择资源目录 > 目录开通。单击开通资源目录。具体操作，请参见开通资源目录。

   3. 创建资源夹

      在目录管理页面右上角单击资源组织视图。在左侧的资源目录树中，单击目标资源夹，然后在成员页签单击创建资源夹，填写资源夹名称，然后单击确定。具体操作，请参见创建资源夹。

   4. 配置成员

      在成员页签单击创建成员或邀请成员，并参照创建成员、邀请阿里云账号加入资源目录和移动成员完成账号名称、账号UID、结算账号等信息的配置。

      邀请成员

      参数	描述
      邀请的账号UID或账号登录邮箱	账号UID：获取方式，请参见如何查看阿里云账号ID？。 账号登录邮箱：该邮箱为注册账号时填写的登录邮箱。没有登录邮箱的，请填写账号UID。 支持一次性输入多个进行批量邀请，多个账号之间用英文逗号（,）分隔。
      备注	填写邀请备注，方便被邀请方确认邀请行为的可信性，从而使流程快速完成。
      标签	为成员绑定标签，方便基于标签的成员管理。
      归属资源夹	默认邀请的账号归属在Root资源夹下，您可以单击修改，按需将成员归属到目标资源夹下。该项在成员邀请成功后也支持调整。

      创建成员

      参数	描述
      阿里云账号名称	阿里云账号名称是成员的唯一标识，在资源目录内必须唯一。 阿里云账号名称长度为2~50个字符，允许输入英文字母、数字和特殊字符_.-，必须以英文字母或数字开头和结尾，且不能输入连续的特殊字符_.-。
      显示名	显示名称长度为2~50个字符或汉字，允许输入汉字、英文字母、数字和特殊字符_.-。
      结算账号	设置新创建成员的费用承担者。 使用管理账号为新成员付款：指定资源目录的管理账号作为托管结算账号。 使用已有成员为新成员付款：指定资源目录的已有成员作为托管结算账号。您需要在指定一个成员面板中，从资源目录的目录树中选择一个成员。 说明 若成员不具备付款能力则无法被选中。关于如何判断成员是否具备付款能力，请参见财务托管业务须知。 新成员自主付款：指定当前成员作为结算账号。
      标签	为成员绑定标签，方便基于标签的成员管理。
      归属资源夹	默认邀请的账号归属在Root资源夹下，您可以单击修改，按需将成员归属到目标资源夹下。该项在成员邀请成功后也支持调整。

2. 开通资源共享

   开通后，资源所有者（管理账号或成员）可以在资源目录内，将资源共享给整个资源目录及其下的资源夹或成员。更多信息，可参见启用资源目录组织共享。

   1. 使用资源目录的管理账号登录资源共享控制台，在左侧导航栏，选择资源共享 > 设置。

   2. 单击启用，然后在资源共享服务关联角色对话框，单击确定。

      说明

      系统会自动创建一个名为AliyunServiceRoleForResourceSharing的服务关联角色，用于获取资源目录的组织信息。更多信息，可参见资源共享服务关联角色。

步骤二：配置共享KMS实例

本步骤指导实例拥有者如何将KMS实例共享给一个或多个使用者。

1. 登录控制台

   使用实例拥有者登录密钥管理服务控制台，在顶部菜单栏选择地域信息后，在左侧导航栏单击实例管理。

2. 选择共享模式

   在实例管理页面，定位到目标KMS实例，单击操作列的资源共享。在RD多账号共享设置面板，首先根据共享模式选择指南选择共享模式。

3. 配置共享单元

   在添加到共享单元区域，选择或新增共享单元。

   对比项	新增共享单元（推荐）	从已有中选择
   适用场景	首次共享或需要权限隔离时。	需要将当前实例添入已有共享单元，并复用其使用者和权限时。
   特点	权限隔离：只包含当前 KMS 实例，权限独立。 控制范围：仅新添加的账号可使用共享实例。	权限共享： 原共享单元的所有使用者将自动获得新实例的访问权，消耗实例的访问管理配额。 对该共享单元的任何权限变动，将同时影响该单元内所有已加入的资源。 控制范围：原共享单元的资源使用者以及新添加的账号均可使用共享实例。 警告 可能导致非预期的权限提升和配额消耗，请谨慎操作。

4. 配置共享参数

   根据所选方式，完成以下配置后，单击确定。

   新增共享单元（推荐）

   • 共享单元名称

     支持中文字符、英文大小写字符、数字及特殊字符（“.”、“_”或“-”），最长不超过50个字符。

   • 资源使用者（实例使用者）

     指定可以使用此KMS实例的账号。

     重要

     • 建议按“资源夹”或“云账号”添加，以实现精细化控制。每次添加都会消耗实例的“访问管理数量”配额。

     • 若在已有的共享单元中增加或删除使用者，该变更将对单元内所有资源生效。

     支持添加以下三种类型：

     • 阿里云账号：资源仅共享给指定的阿里云账号（UID）。

     • 资源目录组织：将资源共享给整个资源目录下的所有成员账号，包括后续新增的成员。

     • 资源夹（组织单元）：输入资源夹 ID，将资源共享给该资源夹下的所有成员，包括后续新增的成员。资源夹ID格式：fd-字符串，如何查看资源夹信息，请参见查看资源夹基本信息。

   • 关联权限

     配置资源使用者（实例使用者）的权限。具体的权限详情，请在资源共享控制台上的权限库中查看。

     • AliyunRSDefaultPermissionKMSInstance（推荐）：有两个版本（v1、v2），新创建的权限默认为v2。关于如何查看权限版本，可参见查看权限详情。

     • AliyunRSPermissionKMSInstanceReadWrite（已废弃）：若之前使用该权限，可以继续正常使用。

   从已有中选择

   • 选择共享单元

     系统会同步当前账号下的所有共享单元。更多内容参见创建共享单元。

   • 共享资源列表

     此列表自动展示所选共享单元中已有的资源（不可修改）。本次操作完成后，当前KMS实例将被添加至该共享单元。

   • 资源使用者（实例使用者）

     指定可以使用此KMS实例的账号.

     重要

     • 建议按“资源夹”或“云账号”添加，以实现精细化控制。每次添加都会消耗实例的“访问管理数量”配额。

     • 若在已有的共享单元中增加或删除使用者，该变更将对单元内所有资源生效。

     支持添加以下三种类型：

     • 阿里云账号：资源仅共享给指定的阿里云账号（UID）。

     • 资源目录组织：将资源共享给整个资源目录下的所有成员账号，包括后续新增的成员。

     • 资源夹（组织单元）：输入资源夹 ID，将资源共享给该资源夹下的所有成员，包括后续新增的成员。资源夹ID格式：fd-字符串，如何查看资源夹信息，请参见查看资源夹基本信息。

   • 关联权限

     配置资源使用者（实例使用者）的权限。具体的权限详情，请在资源共享控制台上的权限库中查看。

     • AliyunRSDefaultPermissionKMSInstance（推荐）：有两个版本（v1、v2），新创建的权限默认为v2。关于如何查看权限版本，可参见查看权限详情。

     • AliyunRSPermissionKMSInstanceReadWrite（已废弃）：若之前使用该权限，可以继续正常使用。