一個集群中包括一個主密碼機實例與若干個非主密碼機實例。集群內(nèi)一個可用區(qū)的密碼機實例使用同一VPC子網(wǎng)。

1. 在實例列表頁面，定位到主密碼機實例，單擊操作列的創(chuàng)建集群。

2. 在創(chuàng)建并激活集群面板，完成①創(chuàng)建集群，然后單擊下一步。

   配置項	說明
   集群名稱	自定義集群的名稱。名稱不能重復(fù)且長度不允許超過24個字符。
   設(shè)置集群訪問白名單	允許訪問集群的IP地址。如果未設(shè)置白名單，則所有IP地址都能訪問集群，如果設(shè)置了白名單，則不在白名單內(nèi)的訪問請求將被拒絕。 您可以輸入單個IP地址或網(wǎng)段地址，每行輸入1條數(shù)據(jù)，最多可以輸入10條數(shù)據(jù)。 重要 集群的白名單優(yōu)先級高于集群中密碼機實例的白名單。例如，您設(shè)置的集群中密碼機實例的白名單為10.10.10.10，集群的白名單為172.16.0.1，則您只能通過172.16.0.1訪問集群中的密碼機實例。 不支持配置為0.0.0.0/0（放行所有來源IP）。 基于安全考慮，不推薦您放行所有來源IP。如果因臨時測試等原因確實需要放行所有來源IP，不配置白名單即可。
   指定集群的交換機(2~4個)	根據(jù)業(yè)務(wù)需要選擇可用區(qū)的交換機。 在密碼機實例集群中，您至少配置2個交換機才能成功創(chuàng)建并激活集群。

3. 在創(chuàng)建并激活集群面板，完成②激活集群。

   1. 導(dǎo)入集群證書。

      1. 在導(dǎo)入集群證書區(qū)域，單擊集群CSR證書下載CSR證書文件，然后上傳到ECS實例上保存。例如，保存為cluster.csr。

      2. 創(chuàng)建私鑰，并根據(jù)提示設(shè)置私鑰口令。例如，保存為issuerCA.key。

         openssl genrsa -aes256 -out issuerCA.key 2048

      3. 創(chuàng)建自簽名證書。例如，保存為issuerCA.crt。

         openssl req -new -x509 -days 3652 -key issuerCA.key -out issuerCA.crt

      4. 簽署集群CSR證書，頒發(fā)的集群證書存儲在cluster.crt文件中。

         說明

         該步驟會使用到cluster.csr、issuerCA.key、issuerCA.crt文件。

         openssl x509 -req -in cluster.csr -days 3652 -CA issuerCA.crt -CAkey issuerCA.key -set_serial 01 -out cluster.crt

      5. 返回加密服務(wù)管理控制臺，導(dǎo)入集群證書并單擊提交。

         • 在請輸入簽發(fā)者證書（PEM編碼）區(qū)域，輸入issuerCA.crt文件的內(nèi)容。

         • 在請輸入簽發(fā)集群證書（PEM編碼）區(qū)域，輸入cluster.crt文件的內(nèi)容。

   2. 初始化主密碼機實例。

      步驟	說明
      步驟1：下載密碼機實例管理工具。	重要 密碼機實例管理工具僅支持安裝在Linux操作系統(tǒng)。 CentOS 方式一：下載密碼機實例管理工具。 方式二：執(zhí)行如下命令下載密碼機實例管理工具，該操作需要您的ECS服務(wù)器連接公網(wǎng)。 wget -O hsm-client-v2.03.15.10-1.x86_64.rpm 'https://yundun-hsm4.oss-ap-southeast-1.aliyuncs.com/hsm-client-v2.03.15.10-1.x86_64.rpm' 方式三：在實例列表頁面，找到目標(biāo)密碼機實例，通過單擊規(guī)格列的圖標(biāo)。 方式四：在激活集群頁面，單擊下載密碼機實例管理工具。 Debian 訪問hsm-client-2.03.15.10-20240710_1.x86_64.deb，下載密碼機實例管理工具。
      步驟2：安裝密碼機管理工具。	執(zhí)行如下命令：將程序和配置文件安裝在/opt/hsm目錄下。 CentOS sudo yum install -y hsm-client-v2.03.15.10-1.x86_64.rpm Debian sudo dpkg -i hsm-client-2.03.15.10-20240710_1.x86_64.deb
      步驟3：修改客戶端配置文件。	在密碼機管理工具的安裝目錄下，修改/opt/hsm/etc/hsm_mgmt_tool.cfg文件中的servers配置項。 name、hostname修改為主密碼機的私有IP地址。 owner_cert_path修改為issuerCA.crt的文件路徑。 hsm_mgmt_tool.cfg文件示例 { "servers": [ { "name" : "172.16.XX.XX", "hostname" : "172.16.XX.XX", "port" : 2225, "certificate": "/opt/hsm/etc/client.crt", "pkey": "/opt/hsm/etc/client.key", "CAfile": "", "CApath": "/opt/hsm/etc/certs", "ssl_ciphers": "", "server_ssl" : "yes", "enable" : "yes", "owner_cert_path":"<issuerCA.crt file path>" }], "scard": { "enable": "no", "port": 2225, "ssl": "no", "ssl_ciphers": "", "certificate": "cert-sc", "pkey": "pkey-sc" } }
      步驟4：登錄主密碼機并查看用戶列表。	通過以下命令登錄主密碼機。 /opt/hsm/bin/hsm_mgmt_tool /opt/hsm/etc/hsm_mgmt_tool.cfg 執(zhí)行listUsers命令顯示用戶列表。 cloudmgmt>listUsers Users on server 0(172.16.XX.XX): Number of users found:2 User Id User Type User Name MofnPubKey LoginFailureCnt 2FA 1 PRECO admin NO 0 NO 2 AU app_user NO 0 NO
      步驟5：將PRECO用戶改為CO用戶。	執(zhí)行loginHSM命令并以PRECO身份登錄加密機。 cloudmgmt>loginHSM PRECO admin password loginHSM success 執(zhí)行changePswd命令修改PRECO用戶的密碼，當(dāng)您更改密碼后，PRECO用戶將成為CO用戶。 cloudmgmt>changePswd PRECO admin <NewPassword> *************************CAUTION******************************** This is a CRITICAL operation, should be done on all nodes in the cluster. Cav server does NOT synchronize these changes with the nodes on which this operation is not executed or failed, please ensure this operation is executed on all nodes in the cluster. **************************************************************** Do you want to continue(y/n)?y Changing password for admin(PRECO) on 1 nodes 通過listUsers命令查看用戶列表，驗證PRECO用戶是否更改為CO用戶。 cloudmgmt>listUsers Users on server 0(172.16.XX.XX): Number of users found:2 User Id User Type User Name MofnPubKey LoginFailureCnt 2FA 1 CO admin NO 0 NO 2 AU app_user NO 0 NO
      步驟6：創(chuàng)建密碼機操作員（CU用戶）	警告 請您先創(chuàng)建CU用戶，再將子密碼機添加到集群，否則創(chuàng)建的CU用戶不會自動同步至子密碼機。 執(zhí)行createUser命令創(chuàng)建一個CU用戶。 CU用戶名和密碼支持ASCII字符，其中CU用戶名不超過20個字符，密碼為8~32個字符。 本文以CU用戶名為crypto_user為例，您可以根據(jù)業(yè)務(wù)需要自主命名。如果您是配置KMS硬件密鑰管理實例的密碼機集群，CU用戶名請使用kmsuser。 createUser CU crypto_user <enter password> 執(zhí)行listUsers命令，查看CU是否已經(jīng)創(chuàng)建成功。 預(yù)期輸出： cloudmgmt>listUsers Users on server 0(172.16.XX.XX): Number of users found:3 User Id User Type User Name MofnPubKey LoginFailureCnt 2FA 1 CO admin NO 0 NO 2 AU app_user NO 0 NO 3 CU crypto_user NO 0 NO
      步驟7：驗證主密碼機狀態(tài)	返回到加密服務(wù)控制臺，在激活集群頁面單擊圖標(biāo)刷新密碼機狀態(tài)，然后單擊下一步。

4. 在③添加加密機頁面，根據(jù)提示添加子密碼機到集群，然后單擊完成。

   如果需要更多的密碼機實例，您需要購買密碼機實例，并添加密碼機實例到集群。