如何在 OnBoard™ IoT Security 中创建密钥
本文将指导你如何在 OnBoard™ IoT Security (OBIS) 中创建对称密钥和非对称密钥。
前提条件
在开始之前，请确保你已获得 System Manager 或 Resource Manager 的 OBIS 角色权限。
操作步骤
创建密钥后，可在产品配置 Key 时进行选择。
-
登录 OBIS。
-
点击左侧菜单中的 KMS，在密钥管理系统页面，点击创建。
第一步：配置基本信息
-
在创建密钥页面，选择和输入密钥的基本信息。
信息 是否必填 说明 密钥名称 是 名称必须唯一。 密钥类型 是 有两种类型可以选择，对称密钥和非对称密钥。 密钥规范 是 选择对称密钥和非对称密钥的加密算法： - 对称密钥：AES128，AES192，AES256
- 非对称密钥：RSA2048，RSA3072，RSA4096，ECC P256，ECC P384
环境 是 有两种环境可以选择，分别是 TEST 环境和 PROD 环境。 备注 否 用于补充说明密钥相关的额外信息，如特殊要求和注意事项等。 使用 是 限定本密钥所允许执行的操作（可多选）： - 签名：允许使用非对称密钥生成数字签名。
- 验证：允许使用非对称密钥验证数字签名。
- 加密：允许使用对称密钥或非对称密钥对数据进行加密。
- 解密：允许使用对称密钥或非对称密钥对数据进行解密。
- 生成并验证 MAC：允许使用对称密钥生成和验证消息认证码，用于保障数据完整性。
过期日 是 设定密钥的过期日。 -
确认基本信息无误后，点击下一步，页面会跳转至密钥配置页面。
第二步：设定密钥配置
你可以在密钥配置页面中点击跳过，暂时不配置密钥源，直接为密钥配置权限。在完成密钥配置前，该密钥状态将处于待完成，且该密钥无法正常使用。
如果你选择跳过密钥配置，后续可在密钥管理系统页面中点击对应的密钥。在密钥页面，点击提示中关于这些最后的步骤的链接进行配置。
对称密钥
- 系统生成
- 导入密钥
- BYOK AK/SK
- BYOK AWS 账户角色
系统会在硬件安全模块（HSM）内安全地生成一对随机密钥。
在密钥配置页面，找到密钥源区域，选择系统生成，点击下一步，页面会跳转至权限管理页面。
手动上传在系统外部生成的对称密钥。
-
在密钥配置页面，找到密钥源区域，选择导入密钥。选择加密方式和密钥算法。
导入密钥信息说明：
信息 是否必填 说明 选择加密 是 选择加密算法。目前仅支持 RSA_2048，提供基本安全强度，适用于密钥加密及数字签名等场景。 密钥算法 是 选择密钥算法: - RSA_AES_KEY_WRAP_SHA_1
- RSA_AES_KEY_WRAP_SHA_256
-
点击下载
图标，下载加密密钥文件。
-
将下载的加密密钥导入到 HSM 中，并使用它对对称密钥进行加密。
-
对称密钥加密完成后，在上传加密密钥文件区域中，选择并上传格式为 .json 的加密密钥文件。
-
确认信息无误后，点击下一步，页面会跳转至权限管理页面。
使用访问密钥和密钥凭证从第三方 KMS 访问外部密钥。
-
在密钥配置页面，找到密钥源区域，选择 BYOK AK/SK ，输入相关的信息。
AWS AK/SK 信息说明：
信息 是否必填 说明 AWS AK 是 AK（Access Key ID）： - 身份标识符：唯一标识 AWS IAM (Identity and Access Management) 中的用户，类似于用户名。
- 公开属性：可安全分享（如配置在代码或 CLI 中），但需配合 SK 使用才能完成认证。
AWS SK 是 SK（Secret Access Key）： - 私密凭证：用于生成请求签名，验证身份合法性，类似于密码。
- 严格保密：泄露会导致账户被完全控制，需像密码一样妥善保管。
Key ARN 是 ARN (Amazon Resource Name) ：唯一标识 AWS KMS 中的加密密钥，用于数据加密与解密。 -
确认信息无误后，点击下一步，页面会跳转至权限管理页面。
使用基于 IAM 角色的访问权限连接到 AWS KMS - 安全可靠，是云原生部署的理想选择。
-
在密钥配置页面，找到密钥源区域，选择 BYOK AWS 账户角色，输入相关的信息。
AWS 账户角色信息说明：
信息 是否必填 说明 User ARN 否 唯一标识 AWS IAM 中的用户（如管理员或开发者等），用于权限分配和资源访问控制。 Role ARN 是 唯一标识 AWS IAM 中的角色，用于临时权限分配（如 EC2 实例或 Lambda 函数等跨账户访问）。 Key ARN 是 唯一标识 AWS KMS 中的加密密钥，用于数据加密与解密。 -
确认信息无误后，点击下一步，页面会跳转至权限管理页面。
非对称密钥
- 系统生成
- 导入密钥对
- BYOK AK/SK
- BYOK AWS 账户角色
- 导入公钥
系统会在硬件安全模块（HSM）内安全地生成一对随机密钥。
在密钥配置页面，找到密钥源区域，选择系统生成，点击下一步，页面会跳转至权限管理页面。
手动上传在系统外部生成的非对称密钥对。
-
在密钥配置页面，找到密钥源区域，选择导入密钥，选择加密方式和密钥算法。
导入密钥对信息说明：
信息 是否必填 说明 选择加密 是 选择加密算法。目前仅支持 RSA_2048，提供基本安全强度，适用于密钥加密及数字签名等场景。 密钥算法 是 选择密钥算法： - RSA_AES_KEY_WRAP_SHA_1
- RSA_AES_KEY_WRAP_SHA_256
-
点击下载
图标，下载加密密钥文件。
-
将下载的加密密钥导入到 HSM 中，并使用它对私钥进行加密。
-
私钥加密完成后，在上传加密密钥文件区域中，上传格式为 .json 的加密密钥文件。
-
确认信息无误后，点击下一步，页面会跳转至权限管理页面。
使用访问密钥和密钥凭证从第三方 KMS 访问外部密钥。
-
在密钥配置页面，找到密钥源区域，选择 BYOK AK/SK，选择并输入相关的信息。
AWS AK/SK 信息说明：
信息 是否必填 说明 AWS AK 是 AK（Access Key ID）： - 身份标识符：唯一标识 AWS IAM (Identity and Access Management) 中的用户，类似于用户名。
- 公开属性：可安全分享（如配置在代码或 CLI 中），但需配合 SK 使用才能完成认证。
AWS SK 是 SK（Secret Access Key）： - 私密凭证：用于生成请求签名，验证身份合法性，类似于密码。
- 严格保密：泄露会导致账户被完全控制，需像密码一样妥善保管。
Key ARN 是 ARN (Amazon Resource Name) ：唯一标识 AWS KMS 中的加密密钥，用于数据加密与解密。 -
确认信息无误后，点击下一步，页面会跳转至权限管理页面。
使用基于 IAM 角色的访问权限连接到 AWS KMS - 安全可靠，是云原生部署的理想选择。
-
在密钥配置页面，找到密钥源区域，选择 BYOK AWS 账户角色，输入相关的信息。
AWS 账户角色信息说明：
信息 是否必填 说明 User ARN 否 唯一标识 AWS IAM 中的用户（如管理员或开发者等），用于权限分配和资源访问控制。 Role ARN 是 唯一标识 AWS IAM 中的角色，用于临时权限分配（如 EC2 实例或 Lambda 函数等跨账户访问）。 Key ARN 是 唯一标识 AWS KMS 中的加密密钥，用于数据加密与解密。 -
确认信息无误后，点击下一步，页面会跳转至权限管理页面。
第三步：配置密钥权限
密钥源配置完成后，你可以通过以下步骤，调整并设定用户对密钥的权限（View，Edit，Use，Archive，Lock， Grant 和 Delete）：
-
在权限管理页面，点击添加。
-
在分配用户权限窗口，输入邮箱并分配对应的角色权限。然后，点击添加。
-
点击完成，密钥创建成功后可在密钥管理系统页面中查看。
下载用户手册