管理KMS实例

通过控制台启用软件密钥管理实例

1. 登录密钥管理服务控制台，在顶部菜单栏选择地域后，在左侧导航栏单击资源 > 实例管理。

2. 在软件密钥管理页签，定位到目标 KMS 软件密钥管理实例，单击操作列的启用。

3. 在启用KMS实例面板，完成各项配置后单击立即启用。

   配置项	说明
   实例名称	自定义 KMS 实例的名称，支持字母、数字以及特殊字符_/+=.@-。
   VPC ID	选择一个 KMS 实例绑定的 VPC。
   配置可用区	与购买实例时选择的部署模式相关，支持双可用区或多可用区。多可用区时最多可以配置 3 个可用区。 配置可用区&交换机：配置一个可用区和交换机，确保该交换机至少有 1 个可用 IP。 其他可用区：支持随机分配，也支持手动指定。 说明 部分地域仅提供一个可用区，则该 KMS 实例只能部署在单可用区。 双可用区或多可用区部署是为了实现 KMS 的高可用、灾备能力和负载均衡，选择业务所在可用区还是非业务所在可用区，在时延和性能上的差异可以忽略不计，可以自主选择。

4. 请等待约 30 分钟，然后刷新页面，当状态变更为已启用时，表示 KMS 软件密钥管理实例启用成功。

通过KMS API启用软件密钥管理实例

调用ConnectKmsInstance接口。

通过Terraform启用软件密钥管理实例

具体操作，请参见通过Terraform购买并启用软件密钥管理实例。

购买时已配置密码机信息

1. 登录密钥管理服务控制台，在顶部菜单栏选择地域后，在左侧导航栏单击资源 > 实例管理。

2. 单击硬件密钥管理页签，定位到目标 KMS 硬件密钥管理实例，单击操作列的启用。

3. 在连接密码机面板，完成各项配置后，单击连接密码机，系统将自动启用密码机集群。

   • 实例名称：自定义 KMS 实例的名称，支持字母、数字以及特殊字符_/+=.@-。

   • VPC ID：选择管理密码机需绑定的 VPC ID。

   • 配置可用区&交换机：与购买实例时选择的部署模式相关，支持双可用区或多可用区，每个可用区下的交换机需要预留 4 个可用 IP。多可用区时最多可以配置 3 个可用区。

     说明

     双可用区或多可用区部署是为了实现 KMS 的高可用、灾备能力和负载均衡，选择业务所在可用区还是非业务所在可用区，在时延和性能上的差异可以忽略不计，可以自主选择。

   • HSM 数据恢复（可选）：

     • 是否从指定密码机镜像恢复：开启后，系统将依据配置的HSM备份ID，从对应的密码机备份中恢复数据至硬件密钥管理实例关联的最新密码机。

     • HSM备份地域：选择存储目标备份的地域。

     • HSM备份ID：需恢复的备份 ID。可在加密服务控制台的数据备份恢复管理页面，查看备份信息。

       重要

       目前仅支持由 KMS 托管的密码机实例备份。

     • HSM备份镜像：请选择需要恢复的镜像，为确保数据完整性，建议优先选择最新的备份。

4. 配置完成后，等待系统处理。当状态变更为已启用后， KMS 硬件密钥管理实例关联的 HSM 集群也同步启用成功。可在 KMS 实例详情页查看关联的 HSM 实例详情。

   说明

   如果购买实例时选择了凭据数量，请等待约 30 分钟，然后刷新页面。如果未选择凭据数量，请等待约 10 分钟，然后刷新页面。

购买时未配置密码机信息

1. 前往加密服务管理控制台，配置可供 KMS 实例连接的密码机集群。具体操作，请参见配置KMS硬件密钥管理实例的密码机集群。

   警告

   后续需要扩展密码机集群中的密码机数量时，请先联系阿里云技术支持修改集群同步方式为自动同步，以避免集群同步失败。

2. 登录密钥管理服务控制台，在顶部菜单栏选择地域后，在左侧导航栏单击资源 > 实例管理。

3. 单击硬件密钥管理页签，定位到目标 KMS 硬件密钥管理实例，单击操作列的启用。

4. 在连接密码机面板，完成各项配置后，单击连接密码机指定密码机集群。

   • 实例名称：自定义 KMS 实例的名称，支持字母、数字以及特殊字符_/+=.@-。

   • 选择集群：选择步骤 1 在加密服务中配置的密码机集群。

     说明

     一个 KMS 硬件密钥管理实例只能绑定一个密码机集群。

   • 配置密码机访问凭据：

     中国内地密码机集群

     • 自动生成证书：在购买中国内地密码机时选择自动生成证书， HSM 将自动生成所需证书，无需手动配置。

     • 手动生成证书：购买密码机时，未配置 HSM 自动生成证书，需要配置客户端证书（带保护口令的 PKCS12 格式证书）和安全域证书（为密码机集群签发 TLS 服务端证书的 CA 证书，为 PEM 格式）。关于证书如何生成，请参见生成证书并配置 TLS 双向认证。

       • 客户端保护口令：在生成客户端证书client.p12时设置的保护口令。如果是使用证书文件生成工具（hsm_certificate_generate）生成，默认为12345678。

       • 客户端证书： PKCS12 格式证书。单击选择文件，选择已生成的client.p12文件进行上传。

       • 安全域证书： PEM 格式 CA 证书。单击选择文件，选择已生成的rootca.pem文件进行上传。

     非中国内地密码机集群

     • 自动生成证书：在购买非中国内地密码机时选择自动生成证书， HSM 将自动生成所需证书并在服务端加密机内部署。用户在客户端 SDK 侧配置相应证书即可完成认证配置。

     • 手动生成证书：如果未配置 HSM 自动生成证书，需要手动配置客户端证书，关于证书如何生成，请参见导入 GVSM（NIST FIPS）集群证书。

       • 用户名：密码机操作员的用户名（固定为kmsuser）。

       • 口令：密码机操作员的访问口令。该口令是在创建密码机操作员（CU 用户）时设置的口令。

       • 安全域证书： PEM 格式证书。登录加密服务控制台，单击集群中任一密码机实例 ID，在实例详情页签下方，密码机证书区域，单击ClusterOwnerCertificate后直接复制内容或者保存为 PEM 格式文件再上传。

   • 专有网络：默认为密码机绑定的 VPC ID，不支持修改。

   • 配置可用区&交换机：与购买实例时选择的部署模式相关，支持双可用区或多可用区，每个可用区下的交换机需要预留 4 个可用 IP。

     多可用区时最多可以配置 3 个可用区。

     说明

     双可用区或多可用区部署是为了实现 KMS 的高可用、灾备能力和负载均衡，选择业务所在可用区还是非业务所在可用区，在时延和性能上的差异可以忽略不计，可以自主选择。

5. 配置完成后，等待系统处理。当状态变更为已启用时，表示 KMS 硬件密钥管理实例启用成功。

   说明

   如果购买实例时选择了凭据数量，请等待约 30 分钟，然后刷新页面。如果未选择凭据数量，请等待约 10 分钟，然后刷新页面。