阿里云密钥管理服务获取外部导入密钥材料参数

获取导入密钥材料参数
 
在导入外部密钥材料前,您需要先获取导入密钥材料参数,然后再将密钥材料加密后上传。
 
在为待导入状态的外部密钥进行密钥材料导入前,您需要先获取导入密钥材料的参数。导入密钥材料参数包含一个用于对密钥材料导入前进行加密的公钥,以及一个导入时进行验证的导入令牌。
 
加密公钥:
导入密钥材料时,不能直接将原始的密钥材料导入,而需要使用在本操作指导中下载的公钥对密钥材料进行加密,然后再上传。KMS收到上传的加密密钥材料时,它会使用对应的私钥进行解密。公钥目前仅支持RSA2048的公钥类型。
 
导入令牌:
导入密钥材料时,需要上传令牌,获取到的导入密钥材料中导入令牌和加密公钥是具有绑定关系的,导入密钥材料时必须组合使用。
 
已完密钥的创建,请参见创建密钥。且所创建的密钥的密钥材料来源是外部导入。
 
注意事项
在密钥材料被删除后,重新导入密钥材料的场景中,也需要执行本步骤。
生成的令牌的有效期为24小时,如果您没有在24小时内下载并使用,则需要重新生成并下载。

操作步骤
 
1.    登录阿里云密钥管理服务控制台。
 
2.    在左侧导航栏中,选择密钥列表。
 
3.    在密钥列表页面,单击处于待导入状态的用户主密钥ID。
 
4.    在密钥详情页面,单击下方的获取导入密钥材料参数。
 
5.     在弹出的页面中,选择加密方式。
RSAES_OAEP_SHA_1:具有“SHA-1”哈希函数的最佳非对称加密填充OAEP的RSA加密算法。
RSAES_OAEP_SHA_256:具有“SHA-256”哈希函数的最佳非对称加密填充OAEP的RSA加密算法。
RSAES_PKCS1_V1_5:PKCS#1 V1.5版本的RSA加密算法。如果您使用的HSM不支持OAEP,则需要使用该加密算法,但该加密算法安全性较低,请谨慎使用。

6.   完成后,单击下一步。
 
7.   根据加密算法生成加密公钥,同时生成导入令牌,您需要在弹出的页面及时下载。
导入令牌是具有时效的,有效期为24小时,在有效期内可以重复使用,失效以后需要获取新的导入令牌和公钥。该页面会提示导入令牌过期时间,请一定在此时间之前使用令牌。
 
8.     单击加密公钥和导入令牌后方的下载按钮,下载加密公钥和导入令牌。
 
加密公钥:命名方式为publicKey+用户主密钥ID,例如publicKey_ed523b58-6169-487a-a28f-b3886866ec4a。
导入令牌:命名方式为importToken+用户主密钥ID,例如importToken_ed523b58-6169-487a-a28f-b3886866ec4a。

9.     下载完成后,单击确认。