一、前提条件
·已注册腾讯云账号并完成企业实名认证。
·如需注册腾讯云账号，详情请参见 注册腾讯云账号。
·如需企业实名认证，详情请参见 企业实名认证指引。
·已创建腾讯云集团账号。
·当前账号具备集团账号的密钥管理权限（管理员账号或委派管理员账号）。
二、操作概述
| 操作 | 适用场景 |
| 购买 KMS 多账号管理服务 | 由管理员账号统一购买 KMS 配额与多账号管理服务，供集团内的成员账号共享使用。 |
| 开启 KMS 集团服务管理 | 服务管理指管理员和委派管理员可以操作成员的密钥资源；开启服务管理后，管理员将拥有成员账号密钥资源的除加解密外的全部操作权限；未开启则仅拥有查看权限。 |
| 配置委派管理员 | 通过配置委派管理员，可以将组织管理任务与业务管理任务相分离，管理账号执行集团账号的组织管理任务，委派管理员账号执行集团服务管理的业务管理任务。 |
| 授权成员账号使用 KMS | 控制成员账号是否可使用管理员购买的 KMS 配额。 |
| 查看成员账号下的密钥数量 | 查看集团内已共享 KMS 的账号及其密钥托管的数量与状态。 |
| 查看密钥的所属账号 | 在密钥列表中定位每条密钥归属的账号。 |
三、购买 KMS 多账号管理服务
管理员账号可统一购买 KMS 配额，并将成员账号纳入共享范围，使成员账号无需单独购买即可使用 KMS。
四、前提条件
·当前登录账号为集团账号的管理员账号。
·集团内成员账号未单独购买 KMS，或成员账号的购买范围与本次购买不冲突。
五、操作步骤
1. 进入 密钥管理系统（KMS）购买页 ，按需选择数据密钥数量、多账号管理数量，单击立即购买。
2. 购买前，请按以下规则确认购买范围与配额共享关系：
| 场景 | 购买限制 | 配额共享与订单操作 |
| 管理员账号已购买 KMS，成员账号均未单独购买。 | 成员账号可单独购买 KMS。 | 各账号配额相互不共享，各账号分别操作自己的订单。 |
| 管理员账号购买 KMS，并为成员账号统一购买。 | 已被统一购买的成员账号不可再单独购买。 | 管理员账号与成员账号共享配额，订单由管理员账号统一操作，成员账号不可独立操作订单。 |
| 管理员账号为部分成员账号购买，其余成员账号已单独购买。 | 管理员账号不可再为已单独购买的成员账号购买，已单独购买的成员账号不可再单独购买其他配额。 | 管理员账号与已统一购买的成员账号共享配额，已单独购买的成员账号不参与共享，仍操作自己的订单。 |
六、开启 KMS 集团服务管理
服务管理指管理员和委派管理员可以操作成员的密钥资源；开启服务管理后，管理员将拥有成员账号密钥资源的除加解密之外的所有操作权限；未开启则仅拥有查看权限。
七、操作步骤
1. 登录 集团账号管理控制台。
2. 在左侧导航栏，选择资源管理 > 集团服务管理。
3. 在 KMS 服务所在行，单击启用或禁用按钮，在弹窗中单击确定，即可启用或禁用 KMS 服务的集团服务管理。
八、配置委派管理员
集团账号的管理账号可以将集团账号中的成员设置为集团服务管理的委派管理员账号。设置成功后，委派管理员账号将获得管理账号的授权，可以在对应集团账号管理中访问集团账号的组织和成员信息，并在该组织范围内进行业务管理。
九、操作步骤
1. 使用管理账号登录 集团账号管理控制台。
2. 在左侧导航栏，选择资源管理 > 集团服务管理。
3. 在集团服务管理页面，单击 KMS 服务管理操作列的新增。
4. 在账号区域，选中成员，单击确定。
注意：说明：
注意：添加成功后，使用该委派管理员账号访问 KMS 服务的多账号管理模块，即可进行集团账号组织范围内的管理操作。
十、授权成员账号使用 KMS
在集团账号管理员或委派管理员购买 KMS 后，可在 KMS 控制台中通过启用状态控制成员账号的使用权限。启用状态用于决定成员账号是否可以使用管理员账号购买的 KMS 配额。关闭后，该账号将不再共享 KMS 配额。
十一、操作步骤
1. 登录 密钥管理系统控制台。
2. 在左侧导航栏中，选择多账号管理。
3. 在列表中定位目标账号，在启用状态列开启或关闭该账号的共享状态。
4. 开启后，成员账号即可正常使用管理员购买的 KMS 服务；关闭后，成员账号将无权限使用。
注意：说明：
注意：关闭共享状态要求该账号下所有密钥类型的数量均为 0。
十二、查看成员账号下的密钥数量
KMS 多账号管理模块统计了已开启共享状态的成员账号已创建的根密钥、数据密钥、云产品密钥数量。
十三、操作步骤
1. 登录 密钥管理系统控制台。
2. 在左侧导航栏中，选择多账号管理。
3. 在列表中定位目标账号，通过根密钥数量、数据密钥数量、云产品密钥数量列查看使用数量。
十四、查看密钥的所属账号
密钥列表提供所属账号展示，便于在多账号视角下判断每条密钥的归属。
十五、操作步骤
1. 登录 密钥管理系统控制台。
2. 在左侧导航栏中，选择密钥管理 > 用户主密钥。
3. 在密钥列表中查看所属账号列，展示每条密钥归属的账号。
十七、为什么无法通过多账号管理为某个成员账号开启 KMS？
成员账号的购买范围与管理员账号的购买范围互斥。若该成员账号已单独购买过 KMS，则在购买页中为不可选状态。如需将该账号纳入统一管理，请先登录成员账号，完成退费销毁。
十八、关闭共享账号时提示“当该账号托管密钥数为 0 时，才可关闭”，如何处理？
该提示表示目标账号下仍有被 KMS 托管的密钥。请先删除该账号下的密钥，确认所有密钥类型的数量均为 0 后，再关闭其启用状态。
十九、当前是否支持已创建的密钥进行共享？
当前不支持，该模式的支持情况请以产品发布说明为准。
20、共享后，管理员账号和成员账号对密钥的管理范围有何区别？
管理员账号可管理共享范围内所有账号创建的密钥；成员账号只能管理自己创建的密钥。两者的管理范围均不包含调用对方密钥进行加解密。