如何在 OnBoard™ IoT Security 中创建密钥

本文将指导你如何在 OnBoard™ IoT Security (OBIS) 中创建对称密钥和非对称密钥。

前提条件

在开始之前，请确保你已获得 System Manager 或 Resource Manager 的 OBIS 角色权限。

操作步骤

提示

创建密钥后，可在产品配置密钥时进行选择。

1. 登录 OBIS。

2. 在左侧菜单的核心分类中，点击 KMS，在密钥页面，点击创建。

   

第一步：配置基本信息

在基本信息区域，选择和输入密钥的基本信息。

信息	是否必填	说明
密钥名称	是	名称必须唯一。
环境	是	有两种环境可以选择，分别是 PROD 环境和 TEST 环境。
密钥类型	是	有两种类型可以选择，对称密钥和非对称密钥。
密钥规范	是	选择对称密钥和非对称密钥的加密算法： 对称密钥：AES-128，AES-192，AES-256 非对称密钥：RSA-2048，RSA-3072，RSA-4096，ECC-P256，ECC-P384，ECC-P521，ECC-P256K
密钥用途	是	限定本密钥所允许执行的操作（可多选）： 签名验签：允许使用非对称密钥生成或验证数字签名。 加密解密：允许使用对称密钥或非对称密钥对数据进行加密或解密。 生成并验证 MAC：允许使用对称密钥生成和验证消息认证码，用于保障数据完整性。 密钥协商：用于密钥交换协议（如 ECDH），用于安全地交换加密密钥。 注释：对于非对称密钥，选择密钥协商后，密钥来源配置区域中的导入公钥功能将不可用。

第二步：配置密钥来源

对称密钥

系统生成

提示

系统会在硬件安全模块（HSM）内安全地生成一对随机密钥。

在密钥来源配置区域，选择系统生成。

BYOK 账户角色

提示

使用基于 IAM 角色的访问权限连接到 AWS KMS - 安全可靠，是云原生部署的理想选择。

在密钥来源配置区域，选择 BYOK 账户角色，输入相关的信息。

账户角色信息说明：

信息	是否必填	说明
User RN	否	唯一标识 AWS IAM 中的用户（如管理员或开发者等），用于权限分配和资源访问控制。
Role RN	是	唯一标识 AWS IAM 中的角色，用于临时权限分配（如 EC2 实例或 Lambda 函数等跨账户访问）。
Key RN	是	唯一标识 AWS KMS 中的加密密钥，用于数据加密与解密。

BYOK AK/SK

提示

使用访问密钥和密钥凭证从第三方 KMS 访问外部密钥。

在密钥来源配置区域，选择 BYOK AK/SK ，输入相关的信息。

AK/SK 信息说明：

信息	是否必填	说明
AK	是	AK（Access Key ID）： 身份标识符：唯一标识 AWS IAM (Identity and Access Management) 中的用户，类似于用户名。 公开属性：可安全分享（如配置在代码或 CLI 中），但需配合 SK 使用才能完成认证。
SK	是	SK（Secret Access Key）： 私密凭证：用于生成请求签名，验证身份合法性，类似于密码。 严格保密：泄露会导致账户被完全控制，需像密码一样妥善保管。
Key RN	是	ARN (Amazon Resource Name) ：唯一标识 AWS KMS 中的加密密钥，用于数据加密与解密。

导入密钥

提示

手动上传在系统外部生成的对称密钥。

在密钥来源配置区域，选择导入密钥。选择加密方式和密钥算法。

导入密钥信息说明：

信息	是否必填	说明
选择加密	是	选择加密算法。目前仅支持 RSA_2048，提供基本安全强度，适用于密钥加密及数字签名等场景。
密钥算法	是	选择密钥算法: RSA_AES_KEY_WRAP_SHA_1 RSA_AES_KEY_WRAP_SHA_256

提示

密钥来源为导入密钥时，创建密钥后你需要完成密钥加密配置。在密钥加密配置完成之前，该密钥将处于待审核状态，且无法正常使用。

密钥加密配置

提示

密钥来源为导入密钥时，创建密钥后请参考以下步骤完成密钥加密。

1. 在密钥页面，点击对应的密钥。

2. 在密钥页面找到密钥加密配置区域，点击下载 图标，下载加密密钥文件。

   

3. 将下载的加密密钥导入到 HSM 中，并使用它对对称密钥进行加密。

4. 对称密钥加密完成后，在上传已加密密钥区域中，选择并上传格式为 .json 的加密密钥文件。

5. 点击提交，即可完成密钥加密配置，密钥状态会变更为正常。

非对称密钥

系统生成

提示

系统会在硬件安全模块（HSM）内安全地生成一对随机密钥。

在密钥来源配置区域，选择系统生成。

导入密钥对

提示

手动上传在系统外部生成的非对称密钥对。

在密钥来源配置区域，选择导入密钥对，选择加密方式和密钥算法。

导入密钥对信息说明：

信息	是否必填	说明
选择加密	是	选择加密算法。目前仅支持 RSA_2048，提供基本安全强度，适用于密钥加密及数字签名等场景。
密钥算法	是	选择密钥算法： RSA_AES_KEY_WRAP_SHA_1 RSA_AES_KEY_WRAP_SHA_256

提示

密钥来源为导入密钥对时，创建密钥后你需要完成密钥加密配置。在密钥加密配置完成之前，该密钥将处于待审核状态，且无法正常使用。

密钥加密配置

提示

密钥来源为导入密钥对时，创建密钥后请参考以下步骤完成密钥加密。

1. 在密钥页面，点击对应的密钥。

2. 在密钥页面找到密钥加密配置区域，点击下载 图标，下载加密密钥文件。

   

3. 将下载的加密密钥导入到 HSM 中，并使用它对对称密钥进行加密。

4. 对称密钥加密完成后，在上传已加密密钥区域中，选择并上传格式为 .json 的加密密钥文件。

5. 点击提交，即可完成密钥加密配置，密钥状态会变更为正常。

BYOK 账户角色

提示

使用基于 IAM 角色的访问权限连接到 AWS KMS - 安全可靠，是云原生部署的理想选择。

在密钥来源配置区域，选择 BYOK 账户角色，输入相关的信息。

账户角色信息说明：

信息	是否必填	说明
User RN	否	唯一标识 AWS IAM 中的用户（如管理员或开发者等），用于权限分配和资源访问控制。
Role RN	是	唯一标识 AWS IAM 中的角色，用于临时权限分配（如 EC2 实例或 Lambda 函数等跨账户访问）。
Key RN	是	唯一标识 AWS KMS 中的加密密钥，用于数据加密与解密。

BYOK AK/SK

提示

使用访问密钥和密钥凭证从第三方 KMS 访问外部密钥。

在密钥来源配置区域，选择 BYOK AK/SK，选择并输入相关的信息。

AK/SK 信息说明：

信息	是否必填	说明
AK	是	AK（Access Key ID）： 身份标识符：唯一标识 AWS IAM (Identity and Access Management) 中的用户，类似于用户名。 公开属性：可安全分享（如配置在代码或 CLI 中），但需配合 SK 使用才能完成认证。
SK	是	SK（Secret Access Key）： 私密凭证：用于生成请求签名，验证身份合法性，类似于密码。 严格保密：泄露会导致账户被完全控制，需像密码一样妥善保管。
Key RN	是	ARN (Amazon Resource Name) ：唯一标识 AWS KMS 中的加密密钥，用于数据加密与解密。

导入公钥

提示

仅导入用于验证签名或设备身份的公钥 - 无需私钥。

在密钥来源配置区域，选择导入公钥，在公钥区域中，上传格式为 .pem 的公钥文件。

第三步：配置有效期

在有效期设置区域，可以根据实际需求选择按时长，按日期或无限期设置有效期。

第四步：填写备注

在备注区域，可以补充说明密钥相关的额外信息，如特殊要求和注意事项等。

第五步：完成创建

确认所有配置无误后，点击创建，密钥创建成功后可在密钥页面中查看。

提示

一般情况下，默认密钥创建人为密钥管理员。如果要更改密钥管理员，可以在成员标签页点击密钥管理员的选项 图标并选择转移管理员，然后选择新的密钥管理员并点击确认即可。