本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

# AWS CloudHSM 集群管理最佳实践
<a name="bp-cluster-management"></a>

创建、访问和管理 AWS CloudHSM 集群时，请遵循本节中的最佳实践。

## 扩展集群以应对峰值流量
<a name="bp-cluster-performance"></a>

有几个因素影响您的集群可以处理的最大吞吐量，包括客户端实例大小、集群大小、网络拓扑以及您的用例所需的加密操作。

首先，有关常见集群大小和配置的性能估计，请参阅主题 [AWS CloudHSM 性能信息](performance.md)。我们建议您根据峰值负载预期，对集群进行负载测试，以确定当前架构是否有弹性和规模得当。

## 构建集群以实现高可用性
<a name="bp-high-availability"></a>

**增加冗余以进行维护**： AWS 可能会替换您的 HSM 进行定期维护或检测到问题。一般而言，您的集群大小至少应有 \$11 冗余。例如，如果您的服务需要两个 HSMs 才能在高峰时段运行，那么理想的集群大小将是三个。如果您遵循与可用性相关的最佳做法，则这些 HSM 替代品不应影响您的服务。但是，在更换后的 HSM 上运行的操作可能会失败，因此必须重试。

将@@ **您的服务分散到 HSMs 多个可用区**：考虑在可用区中断期间，您的服务将如何运行。 AWS 建议您将您的 HSMs 可用区分散到尽可能多的可用区。对于具有三个可用区的集群 HSMs，您应该 HSMs 分布在三个可用区中。根据您的系统，您可能需要额外冗余。

## 至少有三个 HSMs ，以确保新生成的密钥的耐用性
<a name="bp-new-key-durability"></a>

对于需要新生成的密钥持久性的应用程序，我们建议将至少三个密钥 HSMs 分布在一个区域的不同可用区。

## 安全访问您的集群
<a name="bp-secure-access"></a>

**使用私有子网限制对您的实例的访问**：在 VPC 的私有子网中启动您的实例 HSMs 和客户端实例。这限制了外 HSMs 界对你的访问。

**使用 VPC 终端节点进行访问 APIs**： AWS CloudHSM 数据平面旨在无需访问互联网或 AWS 即可运行 APIs。如果您的客户端实例需要访问 AWS CloudHSM API，则可以使用 VPC 终端节点访问 API，而无需在客户端实例上访问互联网。请参阅[AWS CloudHSM 和 VPC 终端节点](cloudhsm-vpc-endpoint.md)了解更多信息。

## 根据您的需求扩展，从而降低成本
<a name="bp-reduce-cost"></a>

无需预付费用即可使用 AWS CloudHSM。终止 HSM 之前，您需要为启动的每个 HSM 支付每小时费用。如果您的服务不需要持续使用 AWS CloudHSM，则可以在不需要时将其缩小（删除） HSMs 为零，从而降低成本。再次需要 HSMs 时，您可以 HSMs 从备份中恢复。例如，如果您的工作负载要求您每月签署一次代码，尤其是在该月的最后一天，则可以在此前扩展您的集群，在工作完成 HSMs 后通过删除您的集群来缩小集群，然后在下个月底恢复集群以再次执行签名操作。

AWS CloudHSM 自动对集群 HSMs 中的进行定期备份。稍后添加新 HSM 时， AWS CloudHSM 会将最新的备份还原到新 HSM 上，这样您就可以从离开它的地方恢复使用。要计算您的 AWS CloudHSM 架构成本，请参阅[AWS CloudHSM 定价](https://aws.amazon.com/cloudhsm/pricing/)。

相关资源：
+ [备份一般概述](backups.md)
+ [备份保留政策](manage-backup-retention.md)
+ [跨 AWS 区域复制 AWS CloudHSM 集群备份](copy-backup-to-region.md)