从恢复加密单元恢复主密钥

如果服务实例包含恢复加密单元，那么恢复加密单元中的当前主密钥值可用作操作加密单元的备份值。如果使用恢复加密单元 (使用 ibmcloud tke auto-init 命令) 初始化服务实例，或者使用恢复加密单元 (使用 ibmcloud tke auto-mk-rotate 命令) 轮换主密钥，那么这是服务实例存在的主密钥的唯一备份值。

可以使用 ibmcloud tke auto-mk-recover 命令将恢复加密单元的当前主密钥寄存器中的值安全地传输到分配给当前资源组的服务实例中的其他当前主密钥寄存器。

在以下情况下，您可能需要使用该命令来恢复主密钥值:

您无意中将加密单元归零，需要对其进行重新初始化。
您无意中清除了加密单元中的当前主密钥寄存器。
您的硬件发生故障，需要更换加密单元。
您需要同一资源组中的不同服务实例才能使用相同的主密钥值。

当前，eu-es 区域中的服务实例不支持恢复加密单元，并且无法使用此命令。有关受支持区域的更多信息，请参阅区域和位置。

准备工作

要使用该命令，您需要确保恢复加密单元和所有目标加密单元满足以下需求:

它们未处于印记方式。
它们具有相同的签名阈值。
将一组公共管理员添加到恢复加密单元和所有目标加密单元，这可以满足签名阈值。

要检查是否满足初始条件，请使用 ibmcloud tke cryptounit-add 命令选择源和目标加密单元，然后运行 ibmcloud tke cryptounit-compare 命令。

恢复主密钥

运行以下命令以从恢复加密单元恢复主密钥值:

ibmcloud tke auto-mk-recover

使用此命令，可以将恢复加密单元的当前主密钥寄存器中的值传输到同一资源组中任何其他加密单元的当前主密钥寄存器。这些单元可以是可操作的加密单元或其他恢复加密单元。通过此命令，您可以在多个服务实例中使用相同的主密钥值 (如果它们位于同一个资源组中)。

要了解有关资源组的更多信息，请参阅管理资源组。

下一步

有关完整的 TKE CLI 插件命令参考，请参阅 IBM Cloud TKE CLI。