密钥管理服务是一个综合的云上数据加密服务，它提供密钥管理服务KMS、加密服务HSM，为您解决数据安全、密钥安全、密钥管理、凭据管理等问题。
产品简介
密钥管理服务KMS提供安全合规的密钥管理和凭据管理。它不仅支持云产品服务端加密，还支持为业务应用提供符合国密标准的密钥服务和简便的加解密服务。此外，KMS允许将敏感数据保存为凭据，从而避免在应用中硬编码凭据，降低敏感数据泄露的风险。KMS帮助您降低在密码基础设施、数据加解密产品和凭据管理产品上的采购、运维、研发开销，以便您只需关注业务本身，是一种SaaS（Software as a Service，软件即服务）化的服务。
加密服务HSM基于硬件密码机提供云上数据加解密服务，满足中国内地监管要求及国际FIPS 140-2/3的安全合规监管要求，是一种IaaS（Infrastructure as a Service，基础设施即服务）化的服务。
应用场景
密钥管理服务KMS
敏感数据加密保护
您可以通过数据加密技术，保护云上产生或存储的敏感数据。阿里云支持您通过多种方式实现对敏感数据的加密保护。
信息系统满足安全合规要求
企业或者组织在评估信息系统的安全合规要求时，可能会遇到以下两种情况：
安全规范要求使用密码技术对信息系统进行保护，并且所使用的密码技术、密钥管理设施必须满足特定的技术标准和安全规范。
安全规范并不强制要求使用密码技术，但使用密码技术会对加快满足规范的过程。例如：在打分制的规范中获得更多的得分点。
ISV服务集成KMS凭据管理方案
用户可在KMS中管理凭据，并授权ISV服务使用凭据，KMS充当了ISV服务和用户中间的第三方安全保护机制，使用户和ISV服务可以各司其职，共同保证系统的安全性。
加密服务HSM
本地机房中的密码机应用迁移到云上服务器
当您的本地机房密码机应用迁移到云上服务器时，您可以直接使用加密服务替代本地机房密码机，实现数据的加解密、签名验签等功能，保护您的云上数据安全。
金融支付相关领域
例如，在证券、银行支付结算等场景，您可以使用金融数据密码机EVSM实现PIN加密、PIN转加密等来保护金融数据安全；在网联平台支付清算等场景，您可以使用签名验证服务器SVSM实现签名验签、证书解析、证书链验证功能，确保业务的真实性、完整性和不可否认性。
为加密应用提供合规的加解密功能
例如，您可以借助加密服务为阿里云专属KMS实现应用系统敏感数据的加解密，为数据库加密应用实现数据库数据的加解密，为文件加密应用实现文件存储的加解密等。
支持HTTPS网站的SSL卸载
加密服务提供SSL卸载，减少服务器的性能压力，提升客户端的访问响应速度。同时加密服务使用密码机生成证书私钥，加强了私钥保护防止从服务器泄漏私钥，从而提升其安全性。
保护证书私钥
对于由证书颁构机构颁发的数字证书，您可以将证书私钥存储在密码机中，并使用密码机执行签名操作，保护您的证书私钥安全。
Oracle TDE集成
加密服务与Oracle数据库集成，向用户提供透明数据加密 (Transparent Data Encryption，TDE) 功能。TDE将加密密钥存储在数据库外部的加密机中，并使用密钥在数据文件中加密敏感数据，保证敏感数据的安全性。
敏感数据加密
在公共服务、电子商务、金融等行业中，可以将加密服务与应用程序集成，来加密处理或者存储用户敏感数据，以满足安全性和合规性要求。
功能特性
密钥管理服务KMS
管理及使用密钥
密钥生命周期管理：确保密钥在整个生命周期中的安全性，包括创建、存储、分发、使用和销毁。
密钥轮换：提供自动或手动轮换密钥，以提高安全性。
支持BYOK：导入您自己的密钥材料，为需要更高数据安全性和控制水平的企业提供了灵活且安全的选择。
使用密钥进行密码运算操作：支持多种类型的对称密钥和非对称密钥，用于加密解密和签名验签。
管理及使用凭据
凭据生命周期管理：确保凭据在整个生命周期中的安全性，包括创建、存储、分发、使用和销毁。
使用凭据：通过从KMS中获取凭据值，避免用户在应用中硬编码敏感信息，提高安全性。
多账号资源共享：KMS实例的所有者账号（资源所有者）可以将KMS实例共享给其他阿里云账号（资源使用者），资源使用者可以在KMS实例中创建密钥和凭据，然后使用密钥进行云产品服务端加密或自建应用加密，使用凭据规避在代码中硬编码敏感信息带来的泄露风险。
备份管理：支持您购买备份额度后备份，也支持跨地域备份到其他KMS实例中。
访问控制：提供对密钥的访问权限控制和审计功能，确保只有授权人员和系统可以访问密钥。
日志记录：记录密钥和凭据的使用及访问日志，以便进行审计和监控。
加密服务HSM
支持共享虚拟密码机和专属密码机：提供满足国家密码法要求及国际安全标准FIPS 140-2/3的密码机，中小企业或对性能要求不高的场景下可以选择共享虚拟密码机，大型企业、金融机构或对安全性、性能要求极高的场景下可以选择专属密码机。
密钥管理：设备管理和密钥管理权限分离。阿里云只能管理密码机硬件设备，主要包括监控设备可用性指标、开通服务等。密钥完全由客户管理，阿里云没有任何方法可以获取客户密钥。
使用密钥加解密：使用HSM对应厂商提供的API进行加密、解密、签名、验证等操作。
数据备份恢复：您可以在误操作后恢复本密码机实例的数据，也可以将数据恢复到其他密码机实例，达到密码机实例之间数据复制的目的。
安全审计：将密码机实例的运行信息自动保存到对象存储OSS中，并以特定的审计日志格式进行持久化储存，以满足合规和审计需求。