Key Management Service：多帳號共用KMS執行個體

步驟一：準備資來源目錄並開通組織內共用

1. 啟用資來源目錄：

   1. 登入控制台

      使用管理帳號登入資源管理主控台。

   2. 開通資來源目錄

      在左側導覽列，選擇資來源目錄 > 目錄開通。單擊開通資來源目錄。具體操作，請參見開通資來源目錄。

   3. 建立資源夾

      在目錄管理頁面右上方單擊資源群組織視圖。在左側的資來源目錄樹中，單擊目標資源夾，然後在成員頁簽單擊建立資源夾，填寫資源夾名稱，然後單擊確定。具體操作，請參見建立資源夾。

   4. 配置成員

      在成員頁簽單擊建立成員或邀請成員，並參照建立成員、邀請阿里雲帳號加入資來源目錄和移動成員完成帳號名稱、帳號UID、結算帳號等資訊的配置。

      邀請成員

      參數	描述
      邀請的帳號UID或帳號登入郵箱	帳號UID：擷取方式，請參見如何查看阿里雲帳號ID？。 帳號登入郵箱：該郵箱為註冊帳號時填寫的登入郵箱。沒有登入郵箱的，請填寫帳號UID。 支援一次性輸入多個進行批量邀請，多個帳號之間用英文逗號（,）分隔。
      備忘	填寫邀請備忘，方便被邀請方確認邀請行為的可信性，從而使流程快速完成。
      標籤	為成員綁定標籤，方便基於標籤的成員管理。
      歸屬資源夾	預設邀請的帳號歸屬在Root資源夾下，您可以單擊修改，按需將成員歸屬到目標資源夾下。該項在成員邀請成功後也支援調整。

      建立成員

      參數	描述
      阿里雲帳號名稱	阿里雲帳號名稱是成員的唯一標識，在資來源目錄內必須唯一。 阿里雲帳號名稱長度為2~50個字元，允許輸入英文字母、數字和特殊字元_.-，必須以英文字母或數字開頭和結尾，且不能輸入連續的特殊字元_.-。
      顯示名稱	顯示名稱長度為2~50個字元或漢字，允許輸入漢字、英文字母、數字和特殊字元_.-。
      結算帳號	設定新建立成員的費用承擔者。 使用管理帳號為新成員付款：指定資來源目錄的管理帳號作為託管結算帳號。 使用已有成員為新成員付款：指定資來源目錄的已有成員作為託管結算帳號。您需要在指定一個成員面板中，從資來源目錄的分類樹中選擇一個成員。 說明 若成員不具備付款能力則無法被選中。關於如何判斷成員是否具備付款能力，請參見財務託管。 新成員自主付款：指定當前成員作為結算帳號。
      標籤	為成員綁定標籤，方便基於標籤的成員管理。
      歸屬資源夾	預設邀請的帳號歸屬在Root資源夾下，您可以單擊修改，按需將成員歸屬到目標資源夾下。該項在成員邀請成功後也支援調整。

2. 開通資源共用

   開通後，資源所有者（管理帳號或成員）可以在資來源目錄內，將資源共用給整個資來源目錄及其下的資源夾或成員。更多資訊，可參見啟用資來源目錄組織共用。

   1. 使用資來源目錄的管理帳號登入資源共用控制台，在左側導覽列，選擇資源共用 > 設定。

   2. 單擊啟用，然後在資源共用服務關聯角色對話方塊，單擊確定。

      說明

      系統會自動建立一個名為AliyunServiceRoleForResourceSharing的服務關聯角色，用於擷取資來源目錄的組織資訊。更多資訊，可參見資源共用服務關聯角色。

步驟二：配置共用KMS執行個體

本步驟指導執行個體擁有者如何將KMS執行個體共用給一個或多個使用者。

1. 登入控制台

   使用執行個體擁有者登入Key Management Service控制台，在頂部功能表列選擇地區資訊後，在左側導覽列單擊实例管理。

2. 選擇共用模式

   在实例管理頁面，定位到目標KMS執行個體，單擊操作列的资源共享。在RD多账号共享设置面板，首先根據共用模式選擇指南選擇共享模式。

3. 配置共用單元

   在添加到共用單元地區，選擇或新增共用單元。

   對比項	新增共用單元（推薦）	從已有中選擇
   適用情境	首次共用或需要許可權隔離時。	需要將當前執行個體添入已有共用單元，並複用其使用者和許可權時。
   特點	許可權隔離：只包含當前 KMS 執行個體，許可權獨立。 控制範圍：僅新添加的帳號可使用共用執行個體。	許可權共用： 原共用單元的所有使用者將自動獲得新執行個體的訪問權，消耗執行個體的訪問管理配額。 對該共用單元的任何許可權變動，將同時影響該單元內所有已加入的資源。 控制範圍：原共用單元的資源使用者以及新添加的帳號均可使用共用執行個體。 警告 可能導致非預期的許可權提升和配額消耗，請謹慎操作。

4. 配置共用參數

   根據所選方式，完成以下配置後，單擊確認。

   新增共用單元（推薦）

   • 共用單元名稱

     支援中文字元、英文大小寫字元、數字及特殊字元（“.”、“_”或“-”），最長不超過50個字元。

   • 資源使用者（執行個體使用者）

     指定可以使用此KMS執行個體的帳號。

     重要

     • 建議按“資源夾”或“雲帳號”添加，以實現精細化控制。每次添加都會消耗執行個體的“訪問管理數量”配額。

     • 若在已有的共用單元中增加或刪除使用者，該變更將對單元內所有資源生效。

     支援添加以下三種類型：

     • 阿里雲帳號：資源僅共用給指定的阿里雲帳號（UID）。

     • 資來源目錄組織：將資源共用給整個資來源目錄下的所有成員帳號，包括後續新增的成員。

     • 資源夾（組織單元）：輸入資源夾 ID，將資源共用給該資源夾下的所有成員，包括後續新增的成員。資源夾ID格式：fd-字串，如何查看資源夾資訊，請參見查看資源夾基本資料。

   • 關聯許可權

     配置資源使用者（執行個體使用者）的許可權。具體的許可權詳情，請在資源共用控制台上的許可權庫中查看。

     • AliyunRSDefaultPermissionKMSInstance（推薦）：有兩個版本（v1、v2），新建立的許可權預設為v2。關於如何查看許可權版本，可參見查看許可權詳情。

     • AliyunRSPermissionKMSInstanceReadWrite（已廢棄）：若之前使用該許可權，可以繼續正常使用。

   從已有中選擇

   • 選擇共用單元

     系統會同步當前帳號下的所有共用單元。更多內容參見建立共用單元。

   • 共用資源列表

     此列表自動展示所選共用單元中已有的資源（不可修改）。本次操作完成後，當前KMS執行個體將被添加至該共用單元。

   • 資源使用者（執行個體使用者）

     指定可以使用此KMS執行個體的帳號.

     重要

     • 建議按“資源夾”或“雲帳號”添加，以實現精細化控制。每次添加都會消耗執行個體的“訪問管理數量”配額。

     • 若在已有的共用單元中增加或刪除使用者，該變更將對單元內所有資源生效。

     支援添加以下三種類型：

     • 阿里雲帳號：資源僅共用給指定的阿里雲帳號（UID）。

     • 資來源目錄組織：將資源共用給整個資來源目錄下的所有成員帳號，包括後續新增的成員。

     • 資源夾（組織單元）：輸入資源夾 ID，將資源共用給該資源夾下的所有成員，包括後續新增的成員。資源夾ID格式：fd-字串，如何查看資源夾資訊，請參見查看資源夾基本資料。

   • 關聯許可權

     配置資源使用者（執行個體使用者）的許可權。具體的許可權詳情，請在資源共用控制台上的許可權庫中查看。

     • AliyunRSDefaultPermissionKMSInstance（推薦）：有兩個版本（v1、v2），新建立的許可權預設為v2。關於如何查看許可權版本，可參見查看許可權詳情。

     • AliyunRSPermissionKMSInstanceReadWrite（已廢棄）：若之前使用該許可權，可以繼續正常使用。