本文介紹如何啟用、查看、升級、續費KMS實例，以及如何為KMS實例開啟安全審計。
請您關注KMS實例的剩余時長，在實例到期前及時續費，避免實例到期后影響業務。更多信息，請參見到期說明。
啟用KMS實例
購買KMS實例后，您需要先啟用實例，才可以使用該KMS實例提供的密鑰管理、憑據管理功能。
啟用軟件密鑰管理實例
前提條件
確保有1個VPC和1個交換機。
建議您先登錄專有網絡管理控制臺，查看已有的VPC、交換機以及交換機所在的可用區，然后再啟用KMS實例。也可以新創建VPC和交換機，具體操作，請參見創建專有網絡和交換機或創建交換機。
使用阿里云中國站賬號購買非中國內地的KMS實例，或者使用阿里云國際站賬號購買中國內地的KMS實例，需要手動開通云解析PrivateZone。具體操作，請參見開通PrivateZone。
說明使用阿里云中國站賬號購買中國內地的KMS實例，或者使用阿里云國際站賬號購買非中國內地的KMS實例時，阿里云會自動開通PrivateZone，無需您手動開通。
KMS實例域名解析產生的費用由KMS承擔，您無需向云解析PrivateZone付費。
操作步驟
登錄密鑰管理服務控制臺，在頂部菜單欄選擇地域后，在左側導航欄單擊。
在軟件密鑰管理頁簽，定位到目標KMS軟件密鑰管理實例，單擊操作列的啟用。
在啟用KMS實例面板，完成各項配置后單擊確定。
配置項
說明
雙可用區
選擇兩個可用區。通過雙可用區負載均衡，提高服務可用性與容災能力。
專有網絡
KMS實例所在地域下的專有網絡ID。
交換機
選擇雙可用區下的1個交換機，并且該交換機至少有1個可用IP。
請等待約30分鐘，然后刷新頁面，當狀態變更為已啟用時，表示KMS軟件密鑰管理實例啟用成功。
調用ConnectKmsInstance接口。
具體操作，請參見購買并啟用軟件密鑰管理實例。
啟用硬件密鑰管理實例
前提條件
已配置可供實例連接的密碼機集群。具體操作，請參見配置KMS硬件密鑰管理實例的密碼機集群。
使用阿里云中國站賬號購買非中國內地的KMS實例，或者使用阿里云國際站賬號購買中國內地的KMS實例，需要手動開通云解析PrivateZone。具體操作，請參見開通PrivateZone。
說明使用阿里云中國站賬號購買中國內地的KMS實例，或者使用阿里云國際站賬號購買非中國內地的KMS實例時，阿里云會自動開通PrivateZone，無需您手動開通。
KMS實例域名解析產生的費用由KMS承擔，您無需向云解析PrivateZone付費。
確保KMS實例所屬的VPC下有2個交換機。
（推薦）使用密碼機實例綁定的2個交換機：您無需創建交換機，只需要確保每個交換機下預留4個可用IP。
不使用密碼機實例綁定的2個交換機：您需要創建2個交換機，2個交換機在不同可用區，每個交換機需要預留4個可用IP。具體操作，請參見創建交換機。
您可以登錄專有網絡管理控制臺，在交換機頁面單擊目標交換機，在詳情頁面查看可用IP數。
操作步驟
硬件密鑰管理實例僅支持通過控制臺啟用，不支持通過KMS API以及Terraform啟用。
登錄密鑰管理服務控制臺，在頂部菜單欄選擇地域后，在左側導航欄單擊。
單擊硬件密鑰管理頁簽，定位到目標KMS硬件密鑰管理實例，單擊操作列的啟用。
在連接密碼機面板，完成各項配置后，單擊連接密碼機指定密碼機集群。
配置項
說明
指定密碼機集群
選擇您在加密服務中配置的密碼機集群。
說明一個KMS硬件密鑰管理實例只能綁定一個密碼機集群。
配置密碼機訪問憑據
KMS硬件密鑰管理實例與密碼機連接時采用雙向TLS認證，需要配置客戶端證書（帶保護口令的PKCS12格式證書）和安全域證書（為密碼機集群簽發TLS服務端證書的CA證書，為PEM格式）。關于證書如何生成，請參見為密碼機實例創建雙向TLS認證。
客戶端保護口令：您在生成客戶端證書
client.p12時設置的保護口令。如果是使用證書文件生成工具（hsm_certificate_generate）生成，默認為12345678。客戶端證書：PKCS12格式證書。單擊選擇文件，選擇已生成的
client.p12文件進行上傳。安全域證書：PEM格式CA證書。單擊選擇文件，選擇已生成的
rootca.pem文件進行上傳。
雙可用區
選擇兩個可用區。通過雙可用區負載均衡，提高服務可用性與容災能力。
專有網絡
KMS實例所在地域下的專有網絡ID。
交換機
選擇交換機ID，交換機下需要預留4個可用IP。
交換機
選擇交換機ID，交換機下需要預留4個可用IP。
如果購買實例時選擇了憑據數量，請等待約30分鐘，然后刷新頁面。如果未選擇憑據數量，請等待約10分鐘，然后刷新頁面。當狀態變更為已啟用時，表示KMS硬件密鑰管理實例啟用成功。
啟用外部密鑰管理實例
前提條件
已購買了云外密碼機，并配置了XKI Proxy外部代理。具體操作，請咨詢您的密碼機服務商。
說明XKI Proxy服務器的詳細信息，請參見XKI Proxy服務器。
KMS支持通過公網或VPC終端節點與XKI Proxy外部代理建立連接。如果通過VPC終端節點建立連接，請先創建終端節點服務。具體操作，請參見創建和管理終端節點服務。創建終端節點時需要注意以下幾點：
終端節點服務的兩個可用區，需要與啟動KMS實例所選擇的可用區保持一致。
需要將當前阿里云賬號，添加到終端節點服務的白名單中。
終端節點服務的是否自動接受連接需要設置為是。
操作步驟
外部密鑰管理實例僅支持通過控制臺啟用，不支持通過KMS API以及Terraform啟用。
登錄密鑰管理服務控制臺，在頂部菜單欄選擇地域后，在左側導航欄單擊。
單擊外部密鑰管理頁簽，定位到目標實例，單擊操作列的啟用。
在連接密碼機面板，完成各項配置后，單擊連接密碼機指定密碼機集群。
配置項
說明
雙可用區
選擇兩個可用區。通過雙可用區負載均衡，提高服務可用性與容災能力。
專有網絡
KMS實例所在地域下的專有網絡ID。
交換機
選擇交換機ID，交換機下需要預留1個可用IP。
外部代理連接
公網接入：KMS實例使用公網與XKI Proxy外部代理連接。
VPC終端節點服務：KMS實例使用VPC終端節點服務與XKI Proxy外部代理連接。
外部代理域名地址
僅當外部代理連接選擇公網接入時，需要輸入XKI Proxy外部代理的域名地址。
終端節點服務
僅當外部代理連接選擇VPC終端節點服務時，需要選擇終端節點服務。
啟動KMS實例所選擇可用區務必與終端節點服務可用區保持一致。
配置外部代理
手動配置：手動配置外部代理路徑、業務服務證書指紋、XKI Proxy代理的AccessKey ID、AccessKey Secret。
上傳配置文件：通過上傳文件進行配置。
如果購買實例時選擇了憑據數量，請等待約30分鐘，然后刷新頁面。如果未選擇憑據數量，請等待約10分鐘，然后刷新頁面。當狀態變更為已啟用時，表示KMS外部密鑰管理實例啟用成功。
為KMS實例設置別名
KMS實例別名為1~128個字符，字符只能是大小寫字母、數字以及特殊符號/_+=.@-。
登錄密鑰管理服務控制臺，在頂部菜單欄選擇地域后，在左側導航欄單擊。
單擊對應的實例頁簽，在目標實例ID下方單擊
圖標，修改別名。
查看KMS實例詳情
啟用KMS實例后，您可以查詢實例ID、實例VPC地址、專有網絡等信息。
登錄密鑰管理服務控制臺，在頂部菜單欄選擇地域后，在左側導航欄單擊。
在實例管理頁面，單擊對應的實例頁簽。
定位到目標KMS實例，單擊操作列的管理，在實例詳情頁查看信息。
升級KMS實例
如果當前KMS實例規格不滿足業務要求，您可以升級KMS實例規格，例如計算性能、憑據數量、密鑰數量等。
登錄密鑰管理服務控制臺，在頂部菜單欄選擇地域后，在左側導航欄單擊。
在實例管理頁面，單擊對應的實例頁簽。
定位到目標KMS實例，單擊操作列的升配，在變配頁面選擇升級后的規格。
仔細閱讀并勾選服務協議，然后單擊立即購買并完成支付。
為KMS實例開啟安全審計
訪問KMS實例的過程會產生審計日志。審計日志中記錄了實例的訪問數據，包括調用實例時的請求信息、用戶信息、被訪問資源信息，以及訪問結果等。日志文件示例如下：
2021-10-19T212021-10-19T21:40:01 [INFO] - - 3dd60a7a-4587-4c57-8197-d749c3578974 CreateKey - TMP.3KfAHseF5DVULM2s8YUhdB8YvwM4nZA1wXr8AcAAhR7YhdyosXG2eSpsRFPMjYbvUArPRtsCWKzxEo88bC5w5LBfyp**** 111760096384**** 111760096384**** - kst-phzz6108e50c15333w**** - 37 - -40:01 [INFO] - - 3dd60a7a-4587-4c57-8197-d749c3578974 CreateKey - TMP.3KfAHseF5DVULM2s8YUhdB8YvwM4nZA1wXr8AcAAhR7YhdyosXG2eSpsRFPMjYbvUArPRtsCWKzxEo88bC5w5LBfyp**** 111760096384**** 111760096384**** - kst-phzz6108e50c15333w**** - 37 - -啟用安全審計后，KMS會將審計日志以小時為單位投遞到您指定的OSS存儲空間，以滿足監管要求和業務需求。啟用安全審計前請確保您已經創建OSS存儲空間。具體操作，請參見創建存儲空間。
登錄密鑰管理服務控制臺，在頂部菜單欄選擇地域后，在左側導航欄單擊。
在實例管理頁面，單擊對應的實例頁簽。
定位到目標KMS實例，單擊操作列的管理，在實例詳情頁開啟安全審計。
在配置安全審計對話框，選擇日志存儲位置，然后單擊確定。
啟用安全審計后，將在1小時內生成并投遞審計日志。
續費KMS實例
登錄密鑰管理服務控制臺，在頂部菜單欄選擇地域后，在左側導航欄單擊。
單擊軟件密鑰管理頁簽或硬件密鑰管理頁簽，定位到要續費的實例，單擊操作列的續費。
在續費頁面，設置購買時長，仔細閱讀協議后選中服務協議。
單擊立即購買并完成支付。
您也可以在費用與成本續費，具體操作，請參見續費管理/資源續訂使用介紹。