購買并啟用密碼機實例
本文介紹如何購買并啟用密碼機實例。
前提條件
由于密碼機實例僅支持通過同VPC下的ECS實例訪問，因此購買密碼機實例前請完成如下操作：
已創(chuàng)建專有網(wǎng)絡(luò)VPC（Virtual Private Cloud），并且已在VPC下創(chuàng)建交換機。具體操作，請參見搭建IPv4專有網(wǎng)絡(luò)。
已創(chuàng)建ECS實例。具體操作，請參見自定義購買實例。
說明使用中國內(nèi)地密碼機（通用服務(wù)器密碼機GVSM、金融數(shù)據(jù)密碼機EVSM、簽名驗證服務(wù)器SVSM）時，ECS實例需要為Windows系統(tǒng)。
使用非中國內(nèi)地密碼機（通用服務(wù)器密碼機GVSM（NIST FIPS））時，ECS實例需要為Linux系統(tǒng)。
購買密碼機實例
登錄加密服務(wù)管理控制臺，在頂部菜單欄，選擇目標地域。
在實例列表頁面，單擊創(chuàng)建密碼機實例。
在加密服務(wù)購買頁面，參考下表配置信息，單擊立即購買并完成支付。
配置項
說明
區(qū)域
密碼機實例的地域。支持的地域，請參見支持的地域和可用區(qū)。
說明密碼機只能在VPC中使用，且地域必須與您的ECS及VPC的地域相同。
密碼服務(wù)類型
密碼機類型。關(guān)于各類型密碼機的介紹，請參見密碼機類型。
說明如果您選擇密碼數(shù)據(jù)備份，該備份可以備份一個密碼機數(shù)據(jù)。關(guān)于備份恢復(fù)的詳細介紹，請參見數(shù)據(jù)備份恢復(fù)。
部署模式
雙可用區(qū)：指最少配置2臺密碼機位于不同可用區(qū)，實現(xiàn)跨可用區(qū)容災(zāi)，方便創(chuàng)建集群。具體可用區(qū)由加密服務(wù)指定，您無需設(shè)置。
單可用區(qū)：指密碼機位于一個可用區(qū)。
建議您將密碼機部署在不同的可用區(qū)，保障您的業(yè)務(wù)不會因可用區(qū)內(nèi)某一機房發(fā)生事故而受影響。
說明只有處于同一地域的可用區(qū)之間才能實現(xiàn)網(wǎng)絡(luò)互通。
加密服務(wù)和ECS實例可以在不同的可用區(qū)。
購買數(shù)量
選擇需要購買的密碼機實例數(shù)量。
為了保證加密服務(wù)的高可用性，建議您至少購買2個密碼機實例。當選擇雙可用區(qū)時，默認會購買2個密碼機實例。
購買時長
選擇購買的有效服務(wù)時間。
為了防止加密服務(wù)到期未及時續(xù)費而導(dǎo)致的密鑰永久性丟失，建議您購買時選擇到期自動續(xù)費。當您選擇到期自動續(xù)費后，阿里云會在服務(wù)到期前9個自然日從您購買密碼機時使用的支付賬戶自動扣款，為了防止扣費失敗，請確保您的支付賬戶余額充足。
購買成功后，您可以在實例列表頁面查看密碼機實例，狀態(tài)為未啟用。
啟用密碼機實例
注意事項
創(chuàng)建密碼機集群：您需要啟用主密碼機實例，無需啟用子密碼機實例。
通過鏡像創(chuàng)建密碼機：無需啟用該密碼機實例。詳細內(nèi)容，請參見數(shù)據(jù)備份恢復(fù)。
操作步驟
在實例列表頁面，定位到已創(chuàng)建的密碼機實例，單擊操作列的啟用。
在密碼機實例配置對話框，配置密碼機實例，然后單擊確定。
配置項
說明
所屬的VPC網(wǎng)絡(luò)ID
選擇密碼機實例需要綁定的VPC。
重要需要與您的ECS實例綁定的VPC是同一個。
所屬的VPC子網(wǎng)
選擇密碼機實例所屬的VPC子網(wǎng)網(wǎng)段。
分配私網(wǎng)IP地址
為密碼機實例分配一個私網(wǎng)IP地址。
重要私網(wǎng)IP地址必須是所屬的VPC子網(wǎng)網(wǎng)段中的IP地址，否則配置將會失敗。
末位為253、254、255的IP地址為系統(tǒng)保留地址，請勿使用。
設(shè)置密碼機實例白名單
設(shè)置訪問該密碼機實例的白名單。您可以輸入單個IP地址或網(wǎng)段地址，每行輸入1條數(shù)據(jù)，最多可以輸入10條數(shù)據(jù)。
未設(shè)置白名單：所有IP地址都能訪問密碼機實例。
設(shè)置了白名單：僅支持白名單內(nèi)的訪問請求，不在白名單內(nèi)的訪問請求將被拒絕。
重要如果您創(chuàng)建了集群并設(shè)置了集群的白名單，那么集群的白名單優(yōu)先級高于集群中密碼機實例的白名單。
例如，集群中密碼機實例的白名單為10.10.10.10，集群的白名單為172.16.0.1，則您只能通過172.16.0.1訪問集群中的密碼機實例。
不支持配置為0.0.0.0/0（放行所有來源IP）。
基于安全考慮，不推薦您放行所有來源IP。如果因臨時測試等原因確實需要放行所有來源IP，不配置白名單即可。
配置成功后，密碼機實例的狀態(tài)變?yōu)?b id="yd.hsm.status.on" data-tag="uicontrol" data-isbold="true" class="uicontrol">已啟用。
相關(guān)文檔
如果您購買密鑰管理服務(wù)KMS的硬件密鑰管理實例關(guān)聯(lián)的密碼機，如何購買及配置，請參見配置KMS硬件密鑰管理實例的密碼機集群。