同步主實(shí)例中的資源
當(dāng)業(yè)務(wù)應(yīng)用在多地域進(jìn)行主備或多活容災(zāi)部署時(shí)，為了保證容災(zāi)場(chǎng)景下的業(yè)務(wù)連續(xù)性，推薦您使用KMS的跨地域同步功能，即在多個(gè)地域分別購買KMS實(shí)例（其中1個(gè)作為主實(shí)例、其他為副本實(shí)例）并進(jìn)行資源同步。本文介紹如何同步主實(shí)例中的資源。
如果控制臺(tái)提示“如果您需要使用軟件密鑰導(dǎo)入(BYOK)、跨地域同步、監(jiān)控等高級(jí)功能，請(qǐng)通過提交工單確認(rèn)實(shí)例鏡像升級(jí)至最新版本的時(shí)間。”，請(qǐng)您聯(lián)系我們。
原理介紹
KMS實(shí)例支持跨地域同步資源，可在分鐘級(jí)完成資源同步。您在配置KMS實(shí)例跨地域同步資源后，使用KMS密鑰進(jìn)行加密的業(yè)務(wù)應(yīng)用可更輕松地實(shí)現(xiàn)異地多活容災(zāi)。主地域下業(yè)務(wù)應(yīng)用訪問KMS主實(shí)例，完成密碼運(yùn)算操作。容災(zāi)場(chǎng)景下，副本地域下的業(yè)務(wù)應(yīng)用訪問KMS副本實(shí)例，完成密碼運(yùn)算操作。具體請(qǐng)參見下圖。
KMS專注于實(shí)現(xiàn)主實(shí)例與副本實(shí)例間的資源同步，對(duì)于您的業(yè)務(wù)數(shù)據(jù)層面的同步需求，超出了KMS產(chǎn)品的服務(wù)范疇，請(qǐng)您對(duì)此類業(yè)務(wù)數(shù)據(jù)同步問題作另行規(guī)劃與處理。
限制條件
支持的實(shí)例類型：僅預(yù)付費(fèi)模式中的軟件密鑰管理實(shí)例，支持跨地域同步。
副本實(shí)例限制：
個(gè)數(shù)限制：每個(gè)主實(shí)例可以綁定3個(gè)副本實(shí)例。
地域限制：主實(shí)例、所有副本實(shí)例的地域均不能相同。
資源限制：副本實(shí)例下不允許有任何密鑰、憑據(jù)資源，副本實(shí)例下有資源時(shí)，不支持綁定該副本實(shí)例。
配額限制：副本實(shí)例的密鑰數(shù)量、憑據(jù)數(shù)量配額，需要大于等于主實(shí)例。
跨境限制：不支持跨境同步實(shí)例。即主實(shí)例在中國內(nèi)地地域時(shí)，副本實(shí)例也必須是中國內(nèi)地地域。
資源同步說明
支持同步的資源：僅支持同步密鑰，不支持同步憑據(jù)。
同步密鑰的密鑰ID、密鑰版本、密鑰材料、密鑰狀態(tài)、刪除保護(hù)，不同步密鑰策略、密鑰別名、密鑰標(biāo)簽。
重要對(duì)配置了跨地域同步的密鑰進(jìn)行輪轉(zhuǎn)時(shí)，KMS會(huì)先將創(chuàng)建的密鑰版本同步到副本實(shí)例，然后再將主實(shí)例、副本實(shí)例的該密鑰版本修改為主版本（Primary Key Version），從而確保在密鑰自動(dòng)輪轉(zhuǎn)時(shí)您的加密數(shù)據(jù)均可被正常解密。
由于同步密鑰時(shí)不會(huì)同步密鑰策略，因此當(dāng)業(yè)務(wù)應(yīng)用通過阿里云SDK進(jìn)行密碼運(yùn)算操作時(shí)，請(qǐng)先在主實(shí)例中查看密鑰策略，如果設(shè)置了自定義策略，請(qǐng)?jiān)诟北緦?shí)例中設(shè)置相同的自定義策略，避免業(yè)務(wù)應(yīng)用沒有權(quán)限訪問備份實(shí)例中的密鑰。具體操作，請(qǐng)參見查看密鑰策略、設(shè)置密鑰策略。
同步周期：綁定副本實(shí)例后會(huì)同步一次，耗時(shí)約3~5分鐘，后續(xù)每分鐘同步一次。
同步策略：同步時(shí)如果副本實(shí)例中有相同ID的密鑰，會(huì)跳過該密鑰，繼續(xù)同步其他密鑰。您可以在同步結(jié)果中查詢是否同步成功。
操作步驟
購買副本實(shí)例。具體操作，請(qǐng)參見購買KMS實(shí)例。
啟用主實(shí)例、副本實(shí)例。具體操作，請(qǐng)參見啟用KMS實(shí)例。
為主實(shí)例綁定副本實(shí)例。
在跨地域同步頁面，單擊添加副本實(shí)例。
選擇主實(shí)例、備份實(shí)例，然后單擊下一步。
選擇資源同步類型，然后單擊下一步。
同步類型
說明
①主實(shí)例全量同步
僅同步主實(shí)例中當(dāng)前已創(chuàng)建的密鑰，后續(xù)新增的密鑰不會(huì)同步。
例如，當(dāng)前主實(shí)例中有10個(gè)密鑰，僅同步這10個(gè)密鑰，這些密鑰后續(xù)發(fā)生變更也會(huì)同步。
②增量密鑰同步
主實(shí)例中當(dāng)前已創(chuàng)建的密鑰不會(huì)同步，僅同步后續(xù)新增的密鑰。
③手動(dòng)選擇同步資源
僅同步您選擇的指定密鑰，這些密鑰后續(xù)發(fā)生變更也會(huì)同步。
支持您同時(shí)選擇①②，或者②③，但不支持同時(shí)選擇①③。
確認(rèn)配置無誤后，單擊確定。
約等待3~5分鐘，同步完成后，主實(shí)例的狀態(tài)會(huì)顯示已同步100%。后續(xù)每分鐘會(huì)自動(dòng)同步一次。
后續(xù)操作
請(qǐng)您創(chuàng)建訪問憑證，主地域、副本地域中的業(yè)務(wù)應(yīng)用，分別使用主實(shí)例、副本實(shí)例中的密鑰進(jìn)行密碼運(yùn)算操作。詳細(xì)信息，請(qǐng)參見SDK參考。
如果您使用阿里云SDK：僅需要?jiǎng)?chuàng)建一個(gè)訪問憑證，且訪問憑證僅支持可信實(shí)體為阿里云服務(wù)的RAM角色。
如果您使用KMS實(shí)例SDK：需要在主實(shí)例、副本實(shí)例分別創(chuàng)建訪問憑證，且訪問憑證僅支持應(yīng)用接入點(diǎn)AAP中的ClientKey。具體操作，請(qǐng)參見創(chuàng)建應(yīng)用接入點(diǎn)。