密钥管理服务(KMS)具有广泛的应用场景,本文为您介绍KMS常见的应用场景。

典型场景

用户角色 诉求 典型场景 解决方案
应用开发者 保证应用系统中敏感数据的安全。 作为开发者,我的程序需要使用一些敏感数据。我希望敏感数据被加密保护,而加密密钥则通过KMS来保护。 敏感数据加密保护
IT运维人员 为部署在云上的IT设施提供安全的环境。 云上的IT设施与其他租户共享,我无法像传统自建机房那样,在云上建立物理的安全边界。但是我仍然需要为云上的计算与存储托管环境构建一套可信、可见及可控的安全机制。 控制云上计算与存储环境
首席安全官 保证信息系统的安全与合规。 作为首席安全官(CSO),我既需要满足一些合规标准中对密钥管理的直接要求,也需要利用密码技术去满足更多针对应用和信息系统安全的要求。 信息系统满足合规要求
服务提供商 使用第三方加密作为服务的安全能力。 作为ISV服务提供商,用户要求我们加密保护ISV服务中的用户数据。
  • 我们专注于服务的业务功能开发,不希望重复实现密钥的管理和分发功能。
  • 用户也希望我们提供的数据加密保护能力是可控、可信的。
ISV的第三方加密方案

敏感数据加密保护

您可以通过数据加密,保护云上产生或存储的敏感数据。阿里云支持您通过多种方式实现对敏感数据的加密保护:

  • 信封加密

    使用信封加密技术将主密钥存放在KMS服务中,只部署加密后的数据密钥。详情请参见什么是信封加密?仅在需要使用数据密钥时,调用KMS服务获取数据密钥的明文,用于本地加解密业务数据。详情请参见使用KMS信封加密在本地加密、解密数据

  • 直接加密

    您也可以直接调用KMS的加解密API,使用主密钥直接加密或解密敏感数据。详情请参见使用KMS主密钥在线加密、解密数据

  • 服务端加密

    如果您使用阿里云产品来保存数据,您可以使用云产品的服务端加密功能,更简单有效的对数据进行加密保护。例如:通过对象存储服务端加密,保护存储敏感数据的OSS桶或通过数据库透明数据加密(TDE),保护存储敏感数据的表。详情请参见服务端集成加密的云产品

控制云上计算与存储环境

通过云产品集成KMS加密(服务端集成加密)的方式,阿里云为您提供了控制云上计算与存储环境的能力,在分布式多租户系统中隔离保护您的计算与存储资源。您可以通过控制KMS主密钥的生命周期、使用状态或访问控制的权限策略,控制分布式计算环境或存储环境。另外配合操作审计服务,检查与审计相应KMS密钥的使用情况。控制云上计算与存储环境有以下几种常见的应用场景:

  • 云服务器ECS场景

    通过用户授权ECS使用KMS密钥,ECS可以加密保护系统盘、数据盘、快照及镜像,ECS将控制权交给了KMS。例如:启动ECS实例需要同时解密系统盘和数据盘,从加密盘制作的快照也需要被加密。增加的这些限制措施,使ECS实例和存储资源的使用,都通过KMS得到了安全加固。

  • 持久化存储场景

    阿里云提供的持久化存储类服务(例如RDS、OSS或NAS等),通过分布式多冗余的方式,保证数据存储的可靠性。这些服务通过集成KMS 对数据进行落盘前的加密,让您获得对分布式系统中数据冗余的可控与可见性,即任何读取的请求都需要首先经过KMS对数据进行解密。

  • 其他计算与存储场景

    详情请参见服务端集成加密的云产品

信息系统满足合规要求

企业或者组织在评估合规标准对密码技术的要求时,可能会遇到以下两种情况:

  • 合规规范要求使用密码技术对信息系统进行保护,并且所使用的密码技术必须满足特定的技术标准和安全规范。
  • 合规规范对密码技术并不强制要求使用,但使用密码技术会对加快满足合规的过程。例如:在打分制的规范中获得更多的得分点。

KMS提供以下方面的能力,帮助企业满足合规要求:

  • 托管密码机

    KMS提供了托管密码机。托管密码机使用通过监管机构认证的第三方硬件设备,运行在许可的安全模式下。针对不同市场,托管密码机分别获得了国密局的检测和认证,以及FIPS 140-2 第三级的检测认证。详情请参见托管密码机简介使用托管密码机

  • 密钥轮转

    KMS内置了加密密钥的自动轮转功能,企业可以自定义轮转策略,快速满足数据安全规范和最佳实践。详情请参见密钥轮转概述自动轮转密钥

  • 身份认证和访问控制

    KMS通过接入访问控制(RAM),实现统一的认证和授权管理。详情请参见使用RAM实现访问控制

  • 审计密钥的使用

    KMS将所有的API调用记录存储到操作审计(ActionTrail),操作审计可以对密钥的使用情况进行合规性审计。详情请参见使用ActionTrail记录操作事件

ISV的第三方加密方案

如果您是ISV服务提供商,您也可以集成KMS,将KMS作为第三方的数据安全解决方案,来保护您提供的服务中归属于用户的数据。通过允许用户在阿里云KMS中管理密钥,并授权ISV服务使用这些密钥,KMS充当了ISV服务和用户中间的第三方安全保护机制,用户和ISV服务可以各司其职,共同保证系统的安全性。

  • 用户的管理员

    在KMS中生成密钥并管理密钥的生命周期。在访问控制(RAM)中管理密钥使用的权限,通过跨云账号的资源授权等方式,允许ISV服务使用KMS中的指定密钥。

  • ISV服务

    通过集成KMS的API使用用户指定的密钥,对ISV服务中的数据进行加密保护。详情请参见API概览

  • 用户的审计员

    通过操作审计(ActionTrail),对ISV服务每次访问KMS使用密钥的行为进行事后审计。