KMS為您提供密鑰的全生命週期管理和安全儲存能力，本文介紹如何建立密鑰、禁用密鑰、開啟刪除保護、計劃刪除密鑰及為密鑰設定標籤。
建立密鑰
預設密鑰
預設密鑰包含服務密鑰、主要金鑰，服務密鑰由雲產品建立及管理生命週期，主要金鑰由您建立及管理生命週期。您可以參考如下步驟建立主要金鑰。
每個地區下，只支援您建立一個預設密鑰（主要金鑰）。如您需要建立多個密鑰，建議購買KMS執行個體。
登入Key Management Service控制台，在頂部功能表列選擇地區後，在左側導覽列單擊。
在密钥管理頁面，單擊默认密钥頁簽。
單擊主要金鑰操作列的启用，完成配置項設定，然後單擊確定。
配置項
說明
密钥别名
密鑰的別名標識符。支援英文字母、數字、底線（_）、短劃線（-）和正斜線（/）。
描述信息
自訂密鑰的說明資訊。
高级设置
密钥材料来源
阿里云KMS：密鑰材料將由KMS產生。
外部：KMS不會產生密鑰材料，您需要自行匯入密鑰材料。更多資訊，請參見匯入對稱金鑰材料。
說明請仔細閱讀並選中我瞭解使用外部金鑰材料的方法和意義。
軟體密鑰
建立軟體密鑰前，請確保已購買並啟用KMS執行個體。具體操作，請參見購買和啟用KMS執行個體。
登入Key Management Service控制台，在頂部功能表列選擇地區後，在左側導覽列單擊。
在密钥管理頁面，單擊用户主密钥頁簽，实例ID選擇軟體密鑰管理執行個體，單擊创建密钥。
在创建密钥面板，完成配置項設定，然後單擊確定。
配置項
說明
密钥类型
選擇密鑰是對稱金鑰還是非對稱金鑰。
重要如果您建立的密鑰用於加密憑據值，請選擇對稱金鑰。
密钥规格
密鑰的規格。關於密鑰規格遵循的標準、密鑰演算法等詳細介紹，請參見密鑰管理類型和密鑰規格。
對稱金鑰規格：Aliyun_AES_256
非對稱金鑰規格：RSA_2048、RSA_3072、RSA_4096、EC_P256、EC_P256K
密钥用途
密鑰的用途。取值：
Encrypt/Decrypt：資料加密和解密。
Sign/Verify：產生和驗證數位簽章。
密钥别名
密鑰的別名標識符。支援英文字母、數字、底線（_）、短劃線（-）和正斜線（/）。
標籤
密鑰的標籤，方便您對密鑰進行分類管理。每個標籤由一個索引值對（Key:Value）組成，包含標籤鍵（Key）、標籤值（Value）。
說明標籤鍵和標籤值的格式：最多支援128個字元，可以包含英文大小寫字母、數字、正斜線（/）、反斜線（\）、底線（_）、短劃線（-）、半形句號（.）、加號（+）、等號（=）、半形冒號（:）、字元at（@）、空格。
標籤鍵不能以aliyun或acs:開頭。
每個密鑰最多可以設定20個標籤索引值對。
自动轮转
僅對稱金鑰支援設定自動輪轉，開關預設開啟。詳細內容，請參見密鑰輪轉。
轮转周期
支援設定為7~365天。
描述信息
密鑰的說明資訊。
高级设置
策略配置
預設策略：如果密鑰由當前主帳號使用，或者資源共用單元中的主帳號使用，請選擇預設策略。
執行個體未共用給其他帳號：僅當前主帳號能管理及使用密鑰。
執行個體已共用給其他帳號：以主帳號1將KMS執行個體A共用給主帳號2為例介紹。
主帳號1建立的密鑰：僅主帳號1能管理及使用密鑰。
主帳號2建立的密鑰：主帳號1和主帳號2，都能管理及使用密鑰。
自訂策略：如果密鑰需要授權給RAM使用者、RAM角色，或授權給其他帳號使用，請選擇自訂策略。
重要選擇管理員、使用者時不消耗訪問管理數量配額。選擇其他帳號使用者時，會消耗KMS執行個體的訪問管理數量配額，按主帳號個數計算消耗的配額，如果您取消了授權，請等待約5分鐘，再查看配額，配額會返還。
管理員：對密鑰進行管控類操作，不支援密碼運算操作。支援選擇當前主帳號下的RAM使用者和RAM角色。
使用者：僅支援使用密鑰進行密碼運算操作。支援選擇當前主帳號下的RAM使用者和RAM角色。
其他帳號使用者：使用密鑰進行加解密，可以是其他阿里雲帳號的RAM使用者或RAM角色。
RAM使用者：格式為
acs:ram::<userId>:user/<ramuser>，例如acs:ram::119285303511****:user/testpolicyuser。RAM角色：格式為
acs:ram::<userId>:role/<ramrole>，例如acs:ram::119285303511****:role/testpolicyrole。說明授權給RAM使用者、RAM角色後，您仍需在存取控制RAM側，使用該RAM使用者、RAM角色的主帳號為其授權使用該密鑰，RAM使用者、RAM角色才能使用該密鑰。
密鑰材料來源
硬體密鑰
建立硬體密鑰前，請確保已購買並啟用KMS執行個體。具體操作，請參見購買和啟用KMS執行個體。
登入Key Management Service控制台，在頂部功能表列選擇地區後，在左側導覽列單擊。
在密钥管理頁面，單擊用户主密钥頁簽，实例ID選擇硬體密鑰管理執行個體，單擊创建密钥。
在创建密钥面板，完成配置項設定，然後單擊確定。
配置項
說明
密钥类型
選擇要建立的密鑰是對稱金鑰還是非對稱金鑰。
重要如果您建立的密鑰用於加密憑據值，請選擇對稱金鑰。
密钥规格
密鑰的規格。關於密鑰規格遵循的標準、密鑰演算法等詳細介紹，請參見密鑰管理類型和密鑰規格。
對稱金鑰規格：Aliyun_AES_256、Aliyun_AES_192、Aliyun_AES_128、
非對稱金鑰規格：RSA_2048、RSA_3072、RSA_4096、EC_P256、EC_P256K、
密钥用途
密鑰的用途。取值：
Encrypt/Decrypt：資料加密和解密。
Sign/Verify：產生和驗證數位簽章。
密钥别名
密鑰的別名標識符。支援英文字母、數字、底線（_）、短劃線（-）和正斜線（/）。
標籤
密鑰的標籤，方便您對密鑰進行分類管理。每個標籤由一個索引值對（Key:Value）組成，包含標籤鍵（Key）、標籤值（Value）。
說明標籤鍵和標籤值的格式：最多支援128個字元，可以包含英文大小寫字母、數字、正斜線（/）、反斜線（\）、底線（_）、短劃線（-）、半形句號（.）、加號（+）、等號（=）、半形冒號（:）、字元at（@）、空格。
標籤鍵不能以aliyun或acs:開頭。
每個密鑰最多可以設定20個標籤索引值對。
描述信息
密鑰的說明資訊。
預設策略：如果密鑰由當前主帳號使用，或者資源共用單元中的主帳號使用，請選擇預設策略。
執行個體未共用給其他帳號：僅當前主帳號能管理及使用密鑰。
執行個體已共用給其他帳號：以主帳號1將KMS執行個體A共用給主帳號2為例介紹。
主帳號1建立的密鑰：僅主帳號1能管理及使用密鑰。
主帳號2建立的密鑰：主帳號1和主帳號2，都能管理及使用密鑰。
自訂策略：如果密鑰需要授權給RAM使用者、RAM角色，或授權給其他帳號使用，請選擇自訂策略。
重要選擇管理員、使用者時不消耗訪問管理數量配額。選擇其他帳號使用者時，會消耗KMS執行個體的訪問管理數量配額，按主帳號個數計算消耗的配額，如果您取消了授權，請等待約5分鐘，再查看配額，配額會返還。
管理員：對密鑰進行管控類操作，不支援密碼運算操作。支援選擇當前主帳號下的RAM使用者和RAM角色。
使用者：僅支援使用密鑰進行密碼運算操作。支援選擇當前主帳號下的RAM使用者和RAM角色。
其他帳號使用者：使用密鑰進行加解密，可以是其他阿里雲帳號的RAM使用者或RAM角色。
RAM使用者：格式為
acs:ram::<userId>:user/<ramuser>，例如acs:ram::119285303511****:user/testpolicyuser。RAM角色：格式為
acs:ram::<userId>:role/<ramrole>，例如acs:ram::119285303511****:role/testpolicyrole。說明授權給RAM使用者、RAM角色後，您仍需在存取控制RAM側，使用該RAM使用者、RAM角色的主帳號為其授權使用該密鑰，RAM使用者、RAM角色才能使用該密鑰。
僅密钥类型為非对称密钥時支援設定。
通過附加密鑰用途，您可以讓一個密鑰具有多個用途。但是附加密鑰用途對於雲產品加密不生效。
外部金鑰
請確保已購買並啟用KMS外部金鑰管理執行個體。具體操作，請參見購買和啟用KMS執行個體。
請提前通過XKI Proxy代理服務，在密鑰管理設施中建立密鑰，並記錄密鑰ID。具體操作，請參見密鑰管理設施相關文檔。
登入Key Management Service控制台，在頂部功能表列選擇地區後，在左側導覽列單擊。
在密钥管理頁面，單擊用户主密钥頁簽，实例ID選擇外部金鑰管理執行個體，單擊创建密钥。
在创建密钥面板，完成配置項設定，然後單擊確定。
配置項
說明
外部密钥ID
通過XKI管理服務產生的密鑰的密鑰ID。
說明支援使用同一個外部金鑰ID建立一個或多個KMS密鑰。
密钥规格
密鑰的規格。關於密鑰規格遵循的標準、密鑰演算法等詳細介紹，請參見密鑰管理類型和密鑰規格。
Aliyun_AES_256
密钥用途
密鑰的用途。
Encrypt/Decrypt：資料加密和解密。
密钥别名
密鑰的別名標識符。支援英文字母、數字、底線（_）、短劃線（-）和正斜線（/）。
標籤
密鑰的標籤，方便您對密鑰進行分類管理。每個標籤由一個索引值對（Key:Value）組成，包含標籤鍵（Key）、標籤值（Value）。
說明標籤鍵和標籤值的格式：最多支援128個字元，可以包含英文大小寫字母、數字、正斜線（/）、反斜線（\）、底線（_）、短劃線（-）、半形句號（.）、加號（+）、等號（=）、半形冒號（:）、字元at（@）、空格。
標籤鍵不能以aliyun或acs:開頭。
每個密鑰最多可以設定20個標籤索引值對。
描述信息
密鑰的說明資訊。
高级设置
預設策略：如果密鑰由當前主帳號使用，或者資源共用單元中的主帳號使用，請選擇預設策略。
執行個體未共用給其他帳號：僅當前主帳號能管理及使用密鑰。
執行個體已共用給其他帳號：以主帳號1將KMS執行個體A共用給主帳號2為例介紹。
主帳號1建立的密鑰：僅主帳號1能管理及使用密鑰。
主帳號2建立的密鑰：主帳號1和主帳號2，都能管理及使用密鑰。
自訂策略：如果密鑰需要授權給RAM使用者、RAM角色，或授權給其他帳號使用，請選擇自訂策略。
重要選擇管理員、使用者時不消耗訪問管理數量配額。選擇其他帳號使用者時，會消耗KMS執行個體的訪問管理數量配額，按主帳號個數計算消耗的配額，如果您取消了授權，請等待約5分鐘，再查看配額，配額會返還。
管理員：對密鑰進行管控類操作，不支援密碼運算操作。支援選擇當前主帳號下的RAM使用者和RAM角色。
使用者：僅支援使用密鑰進行密碼運算操作。支援選擇當前主帳號下的RAM使用者和RAM角色。
其他帳號使用者：使用密鑰進行加解密，可以是其他阿里雲帳號的RAM使用者或RAM角色。
RAM使用者：格式為
acs:ram::<userId>:user/<ramuser>，例如acs:ram::119285303511****:user/testpolicyuser。RAM角色：格式為
acs:ram::<userId>:role/<ramrole>，例如acs:ram::119285303511****:role/testpolicyrole。說明授權給RAM使用者、RAM角色後，您仍需在存取控制RAM側，使用該RAM使用者、RAM角色的主帳號為其授權使用該密鑰，RAM使用者、RAM角色才能使用該密鑰。
禁用密鑰
如果您不再需要使用密鑰，推薦您先禁用密鑰，確認不再使用後再刪除密鑰。密鑰被禁用後無法用於密碼運算。
登入Key Management Service控制台，在頂部功能表列選擇地區後，在左側導覽列單擊。
在密钥管理頁面，在用户主密钥或默认密钥頁簽，定位到目標密鑰，單擊操作列的禁用。
在禁用密钥對話方塊，確認無誤後，單擊確定。
您可以單擊密钥关联信息，檢測該密鑰是否被用於雲產品服務端加密。詳細內容，請參見密鑰關聯檢測。
成功禁用密鑰後，密鑰狀態由启用中變為已禁用。您也可以單擊启用，再次啟用密鑰。
開啟刪除保護
為密鑰開啟刪除保護後，您將無法通過控制台或API刪除該密鑰，從而避免誤刪除密鑰。如果您確認需要刪除密鑰，要先關閉刪除保護。
待刪除狀態的密鑰無法開啟刪除保護。
登入Key Management Service控制台，在頂部功能表列選擇地區後，在左側導覽列單擊。
在密钥管理頁面，在用户主密钥或默认密钥頁簽，定位到目標密鑰，單擊操作列的详情。
在密鑰詳情頁面，開啟删除保护開關。
在确认开启對話方塊，確認無誤後，單擊开启。
計劃刪除密鑰
KMS不支援直接刪除密鑰，僅支援計劃刪除密鑰，即通過設定預刪除周期，在到期後刪除密鑰。計劃刪除密鑰前請確保密鑰已經關閉刪除保護。
如果您不再使用密鑰，推薦您先禁用密鑰，確保不影響您的業務後再通過計劃刪除密鑰來進行刪除。
系統會在預刪除周期後刪除密鑰，使用該祕密金鑰加密的內容及產生的資料密鑰也將無法解密。刪除密鑰前，請確認該密鑰已不再使用，否則會導致您的業務不可用。
服務密鑰不支援刪除，服務密鑰由雲產品管理生命週期，不再使用該服務密鑰時無需任何操作，保留即可，保留服務密鑰不會收取您的任何費用。
登入Key Management Service控制台，在頂部功能表列選擇地區後，在左側導覽列單擊。
在用户主密钥或默认密钥頁簽，定位到目標密鑰，單擊操作列的
表徵圖後，單擊计划删除密钥。在计划删除密钥對話方塊，確認無誤後，單擊確定。
您可以單擊密钥关联信息，檢測該密鑰是否被用於雲產品服務端加密。詳細內容，請參見密鑰關聯檢測。
設定預刪除周期後，密鑰狀態由启用中變為待刪除。處於待刪除狀態的密鑰無法用於加解密和產生資料密鑰。在預刪除周期結束前，您也可以取消删除。
下載非對稱金鑰的公開金鑰
建立非對稱金鑰後，您可以下載金鑰組中的公開金鑰，不支援下載私密金鑰。
登入Key Management Service控制台，在頂部功能表列選擇地區後，在左側導覽列單擊。
在用户主密钥或默认密钥頁簽，定位到目標密鑰，單擊操作列的详情。
在頁面下方的密钥版本頁簽，單擊操作列的查看公钥。
在查看公钥對話方塊中單擊下载。
產生並下載CSR檔案
KMS支援非對稱金鑰類型的使用者主要金鑰產生認證簽章要求CSR（Certificate Signing Request）檔案，認證申請者提交CSR給憑證授權單位後，憑證授權單位使用其CA私密金鑰為使用者簽發數位憑證。簽發的數位憑證可以用於安全電子郵件、安全終端保護、程式碼簽署保護、可信網站服務、身份授權管理等。
如何使用CSR建立認證，請參考Certificate Management Service (Original SSL Certificate)的建立認證。
登入Key Management Service控制台，在頂部功能表列選擇地區後，在左側導覽列單擊。
在用户主密钥頁簽，定位到目標密鑰，單擊操作列的详情。
在頁面下方的密钥版本頁簽，單擊操作列的生成CSR，填寫各配置項後，單擊確定。
配置項
說明
通用名稱(CN)
認證綁定的主體，例如網域名稱、服務名、裝置名稱等。
企業/單位名稱
企業的法定名稱，用於認證歸屬驗證。
必須與營業執照完全一致（包括標點、大小寫）。
若企業名稱含特殊符號（如
&、-），需保留原樣。
部門(OU)
企業內具體部門或團隊。
省份(S)
企業所在省份、直轄市或自治區的名稱。支援使用中文、英文字元，無需添加“省”或“Province”。
城市(L)
組織機構所在城市的名稱。支援使用中文、英文字元，無需添加“市”或“City”。
國家或地區(C)
國家代碼。使用ISO 3166-1的二位國家代碼，具體請參考ISO。
密鑰演算法
請根據憑證授權單位的支援能力、業務安全標準、相容性需求等，選擇合適的密鑰演算法。
RSA_PKCS1_SHA_256：對資料使用SHA-256演算法計算雜湊值，按照RFC 3447/PKCS#1中定義的RSASSA-PKCS1-v1_5演算法計算簽名。
RSA_PSS_SHA_256：對資料使用SHA-256演算法計算雜湊值，按照RFC 3447/PKCS#1中定義的RSASSA-PSS演算法計算簽名，使用MGF1（SHA-256）。
郵箱(E)
輸入您的聯絡郵箱。
在CSR對話方塊中，單擊下载CSR文件並妥善保管。
密鑰關聯檢測
僅支援檢測該密鑰是否被用於雲產品服務端加密，不支援檢測是否被您的自建應用使用。根據檢測結果，如果密鑰仍被使用，請您謹慎刪除。
登入Key Management Service控制台，在頂部功能表列選擇地區後，在左側導覽列單擊。
在用户主密钥或默认密钥頁簽，定位到目標密鑰，單擊操作列的详情。
在密钥关联頁簽，單擊关联检测，等待約1分鐘後，單擊右側的
表徵圖，查看檢測結果。云产品：支援ECS、MSE、RabbitMQ、RocketMQ、ACK。
最后一次调用时间：雲產品向KMS訪問該密鑰的最近時間。
說明僅365天內的調用請求展示調用時間，對365天之前的調用，不展示最近一次調用時間。
检测状态：本次檢測狀態。如顯示失敗，請重新整理後重試。
云产品查询入口：雲產品提供的查詢功能，查詢KMS密鑰用於加密哪個雲產品資源。
重要僅展示當前帳號有許可權訪問的資源。