適用場景

• 應用程序可以通過集群內的任何一個密碼機實例使用同一個密鑰。

• 應用程序用于生產環境，從而要求加密服務提供業務連續性。

注意事項

一個集群中包括一個主密碼機實例與若干個非主密碼機實例。集群內一個可用區的密碼機實例使用同一VPC子網。

前提條件

• 已購買并啟用密碼機實例。具體操作，請參見購買并啟用密碼機實例。

  警告

  • 為了保證密碼機實例數據的安全，請不要在實際生產環境中使用測試密鑰。

  • 僅啟用主密碼機實例即可，無需啟用子密碼機。

• 已購買Linux系統（CentOS 8或Alibaba Cloud Linux）的ECS實例，且ECS實例需要和密碼機實例在同一VPC。具體操作，請參見Linux系統實例快速入門。

  說明

  該ECS實例用于安裝密碼機管理工具，而非用于業務服務器。

創建并激活集群

1. 登錄加密服務管理控制臺，在頂部菜單欄，選擇目標地域。

2. 在實例列表頁面，定位到主密碼機實例，單擊操作列的創建集群。

3. 在創建并激活集群面板，完成①創建集群，然后單擊下一步。

   配置項	說明
   集群名稱	自定義集群的名稱。名稱不能重復且長度不允許超過24個字符。
   設置集群訪問白名單	允許訪問集群的IP地址。如果未設置白名單，則所有IP地址都能訪問集群，如果設置了白名單，則不在白名單內的訪問請求將被拒絕。 您可以輸入單個IP地址或網段地址，每行輸入1條數據，最多可以輸入10條數據。 重要 集群的白名單優先級高于集群中密碼機實例的白名單。例如，您設置的集群中密碼機實例的白名單為10.10.10.10，集群的白名單為172.16.0.1，則您只能通過172.16.0.1訪問集群中的密碼機實例。 不支持配置為0.0.0.0/0（放行所有來源IP）。 基于安全考慮，不推薦您放行所有來源IP。如果因臨時測試等原因確實需要放行所有來源IP，不配置白名單即可。
   指定集群的交換機(2~4個)	根據業務需要選擇可用區的交換機。 在密碼機實例集群中，您至少配置2個交換機才能成功創建并激活集群。

4. 在創建并激活集群面板，完成②激活集群，然后單擊下一步。

   1. 導入集群證書。

      1. 在導入集群證書區域，單擊集群CSR證書下載CSR證書文件，然后上傳到ECS實例上保存。例如，保存為cluster.csr。

      2. 創建私鑰，并根據提示設置私鑰口令。例如，保存為issuerCA.key。

         openssl genrsa -aes256 -out issuerCA.key 2048

      3. 創建自簽名證書。例如，保存為issuerCA.crt。

         openssl req -new -x509 -days 3652 -key issuerCA.key -out issuerCA.crt

      4. 簽署集群CSR證書，頒發的集群證書存儲在cluster.crt文件中。

         說明

         該步驟會使用到cluster.csr、issuerCA.key、issuerCA.crt文件。

         openssl x509 -req -in cluster.csr -days 3652 -CA issuerCA.crt -CAkey issuerCA.key -set_serial 01 -out cluster.crt

      5. 返回加密服務管理控制臺，導入集群證書并單擊提交。

         • 在請輸入簽發者證書（PEM編碼）區域，輸入issuerCA.crt文件的內容。

         • 在請輸入簽發集群證書（PEM編碼）區域，輸入cluster.crt文件的內容。

   2. 初始化主密碼機實例。

      重要

      僅支持通過密碼機管理實例工具初始化主密碼機實例，密碼機實例管理工具僅支持安裝在Linux操作系統。

      步驟	說明
      步驟1：下載密碼機實例管理工具。	CentOS 方式一：下載密碼機實例管理工具。 方式二：執行如下命令下載密碼機實例管理工具，該操作需要您的ECS服務器連接公網。 wget -O hsm-client-v2.03.15.10-1.x86_64.rpm 'https://yundun-hsm4.oss-ap-southeast-1.aliyuncs.com/hsm-client-v2.03.15.10-1.x86_64.rpm' 方式三：在實例列表頁面，找到目標密碼機實例，通過單擊規格列的圖標。 方式四：在激活集群頁面，單擊下載密碼機實例管理工具。 Debian 訪問hsm-client-2.03.15.10-20240710_1.x86_64.deb，下載密碼機實例管理工具。
      步驟2：安裝密碼機管理工具。	執行如下命令：請將程序和配置文件安裝在/opt/hsm目錄下。 CentOS sudo yum install -y hsm-client-v2.03.15.10-1.x86_64.rpm Debian sudo dpkg -i hsm-client-2.03.15.10-20240710_1.x86_64.deb
      步驟3：修改客戶端配置文件。	在密碼機管理工具的安裝目錄下，修改/opt/hsm/etc/hsm_mgmt_tool.cfg文件中的servers配置項。 name、hostname修改為主密碼機的私有IP地址，您可以在實例列表頁面查詢IP。 owner_cert_path修改為issuerCA.crt的文件路徑。 hsm_mgmt_tool.cfg文件示例 { "servers": [ { "name" : "172.16.XX.XX", "hostname" : "172.16.XX.XX", "port" : 2225, "certificate": "/opt/hsm/etc/client.crt", "pkey": "/opt/hsm/etc/client.key", "CAfile": "", "CApath": "/opt/hsm/etc/certs", "ssl_ciphers": "", "server_ssl" : "yes", "enable" : "yes", "owner_cert_path":"<issuerCA.crt file path>" }], "scard": { "enable": "no", "port": 2225, "ssl": "no", "ssl_ciphers": "", "certificate": "cert-sc", "pkey": "pkey-sc" } }
      步驟4：登錄主密碼機并查看用戶列表。	通過以下命令登錄主密碼機。 /opt/hsm/bin/hsm_mgmt_tool /opt/hsm/etc/hsm_mgmt_tool.cfg 執行listUsers命令顯示用戶列表。 cloudmgmt>listUsers Users on server 0(172.16.XX.XX): Number of users found:2 User Id User Type User Name MofnPubKey LoginFailureCnt 2FA 1 PRECO admin NO 0 NO 2 AU app_user NO 0 NO
      步驟5：將PRECO用戶改為CO用戶。	執行loginHSM命令并以PRECO身份登錄加密機。 server0>loginHSM PRECO admin password loginHSM success 執行changePswd命令修改PRECO用戶的密碼，當您更改密碼后，PRECO用戶將成為CO用戶。 cloudmgmt>changePswd PRECO admin <NewPassword> *************************CAUTION******************************** This is a CRITICAL operation, should be done on all nodes in the cluster. Cav server does NOT synchronize these changes with the nodes on which this operation is not executed or failed, please ensure this operation is executed on all nodes in the cluster. **************************************************************** Do you want to continue(y/n)?y Changing password for admin(PRECO) on 1 nodes 通過listUsers命令查看用戶列表，驗證PRECO用戶是否更改為CO用戶。 cloudmgmt>listUsers Users on server 0(172.16.XX.XX): Number of users found:2 User Id User Type User Name MofnPubKey LoginFailureCnt 2FA 1 CO admin NO 0 NO 2 AU app_user NO 0 NO
      步驟6：創建密碼機操作員（CU用戶）	警告 請您先創建CU用戶，再將子密碼機添加到集群，否則創建的CU用戶不會自動同步至子密碼機。 執行createUser命令創建一個CU。 CU用戶名和密碼支持ASCII字符，其中CU用戶名不超過20個字符，密碼為8~32個字符。 本文以CU用戶名為crypto_user為例，您可以根據業務需要自主命名。如果您是配置KMS硬件密鑰管理實例的密碼機集群，CU用戶名請使用kmsuser。 createUser CU crypto_user <enter password> 執行listUsers命令，查看CU是否已經創建成功。 預期輸出： cloudmgmt>listUsers Users on server 0(172.16.XX.XX): Number of users found:3 User Id User Type User Name MofnPubKey LoginFailureCnt 2FA 1 CO admin NO 0 NO 2 AU app_user NO 0 NO 3 CU crypto_user NO 0 NO
      步驟7：驗證主密碼機狀態	返回到加密服務控制臺，在激活集群頁面單擊圖標刷新密碼機狀態，然后單擊下一步。

   3. 在③添加加密機頁面，根據提示添加子密碼機到集群，然后單擊完成。

      如果需要更多的密碼機實例，您需要購買密碼機實例，并將密碼機實例添加到集群。

管理密碼機集群