Key Management Service（Key Management Service）具有廣泛的應用情境，本文為您介紹KMS常見的應用情境。
典型情境
| 情境 | 使用者角色 | 訴求 | 說明 |
| 資訊系統滿足安全合規要求 | 首席風險官（CRO） | 保證資訊系統的安全與合規。 | 作為首席風險官（CRO），我希望IT系統滿足針對資訊系統安全保護的要求，包括：
|
| 敏感性資料加密保護 | IT系統建設者 | 保證應用系統中敏感性資料的安全。 | 作為IT系統建設者，應IT安全部門要求，應用程式需對儲存或使用的敏感業務資料和運行資料進行加密保護。通過使用KMS，相比自建密鑰管理和加解密設施，可極大地降低實施成本。 |
| ISV服務整合KMS憑據管理方案 | 服務提供者ISV | 服務需要使用使用者的憑據，但是使用者不希望憑據內容暴露給服務提供者人員。 | ISV服務運行過程中需要使用使用者的憑據資訊，但使用者不希望敏感的憑據資訊暴露給服務提供者。ISV服務可整合KMS，將KMS作為第三方的憑據管理解決方案。 |
資訊系統滿足安全合規要求
企業或者組織在評估資訊系統的安全合規要求時，可能會遇到以下兩種情況：
- 安全規範要求使用密碼技術對資訊系統進行保護，並且所使用的密碼技術、密鑰管理設施必須滿足特定的技術標準和安全規範。
- 安全規範並不強制要求使用密碼技術，但使用密碼技術會對加快滿足規範的過程。例如：在打分制的規範中獲得更多的得分點。
KMS提供以下方面的能力，協助企業滿足合規要求：
| 功能 | 說明 | 參考文檔 |
| 密碼合規 | KMS支援串連您在阿里雲Data Encryption Service的密碼機執行個體（HSM）叢集實現密鑰的管理和密碼計算，硬體密鑰的密鑰材料不會離開您的密碼機執行個體HSM安全邊界。KMS支援您通過硬體密鑰實現常用密碼演算法的密鑰管理、資料加解密和數位簽章等密碼計算服務。 說明 阿里雲Data Encryption Service提供的密碼機執行個體（HSM）滿足FIPS 140-2第三級認證的合規性。 | |
| 憑據管理 | 通過使用憑據管家，輕鬆滿足對RAM AccessKey、RDS帳號口令、ECS SSH密鑰等憑據的安全管理要求，同時帶來高效而可靠的資料泄露應急處理能力。 | 憑據管理概述 |
| 資料保密性 | 通過KMS對個人隱私進行加密保護，防止個人隱私在攻擊情境下泄露，滿足資料保護相關法律法規要求。 | 密鑰服務概述 |
| 身份認證和存取控制 | KMS通過接入存取控制（RAM），實現統一的認證和授權管理。KMS執行個體僅提供VPC地址，同時通過應用存取點（AAP）為您提供便捷的應用層級認證和授權管理。 | Key Management Service自訂權限原則參考 |
| 審計密鑰的使用 | KMS將所有的API調用記錄儲存到Action Trail（ActionTrail），Action Trail可以對密鑰的使用方式進行合規性審計。 KMS執行個體支援您開啟安全審計，將執行個體服務網關的所有API調用記錄儲存到您指定的OSS儲存空間。 | 使用Action Trail查詢Key Management Service的操作事件 |
敏感性資料加密保護
您可以通過資料加密技術，保護雲上產生或儲存的敏感性資料。阿里雲支援您通過多種方式實現對敏感性資料的加密保護。
| 加密保護方式 | 訴求 | 說明 | 參考文檔 |
| 應用系統使用KMS對資料直接加密 | 通過加密技術保護應用系統中敏感性資料的安全。這些敏感性資料加解密QPS不高且資料大小不超過6K。 例如對您的應用配置AK、資料庫賬密等敏感資訊加密。 | 調用KMS的加密API，使用密鑰直接加密敏感性資料。 | 使用KMS密鑰線上加密和解密資料 |
| 應用系統使用KMS對資料進行信封加密 | 通過加密技術保護應用系統中敏感性資料的安全。這些敏感性資料需要高QPS加解密或者加密資料量過大無法使用直接加密方式。 例如對您的使用者的手機號、社會安全號碼等敏感資訊加密。 | 使用信封加密技術將密鑰存放在KMS中，只部署加密後的資料密鑰。僅在需要使用資料密鑰時，使用KMS擷取資料密鑰的明文，用於本地加解密業務資料。 您也可以使用封裝了信封加密的加密SDK進行加密保護。 | |
| 雲產品服務端加密 | 為雲上的IT設施資料安全的環境提供基礎保障。 例如：通過Object Storage Service服務端加密，保護儲存敏感性資料的OSS桶或通過資料庫透明資料加密（TDE），保護儲存敏感性資料的表。 | 如果您使用阿里雲產品來儲存資料，您可以使用雲產品的服務端加密功能，更有效地對資料進行加密保護。 | 支援整合KMS加密的雲產品 |
| 使用憑據管家 | 為您提供憑據的全生命週期管理和安全便捷的應用接入方式，協助您規避在代碼中寫入程式碼憑據帶來的敏感資訊泄露風險。 例如：您可以將口令、Token、SSH Key、AK等敏感性資料託管到憑據管家，通過安全的接入方式進行管理。 | 將您的敏感資訊訪問憑據託管到憑據管家，通過應用層級安全訪問機制確保敏感資訊訪問安全。您也可以動態輪轉憑據，避免資料泄露風險。 | 憑據管理概述 |
ISV服務整合KMS憑據管理方案
使用者可在KMS中管理認證，並授權ISV服務使用憑據，KMS充當了ISV服務和使用者中間的第三方安全保護機制，使使用者和ISV服務可以各司其職，共同保證系統的安全性。
| 使用者角色 | 說明 | 參考文檔 |
| 使用者的管理員 | 在KMS中管理認證。在存取控制（RAM）中管理認證使用的許可權，通過跨阿里雲帳號的資源授權等方式，允許ISV服務使用KMS中的指定憑據。 | 跨阿里雲帳號的資源授權 |
| ISV服務 | ISV服務通過整合KMS的API使用使用者指定的憑據。 | API參考 |
| 使用者的審計員 | 通過Action Trail（ActionTrail），對ISV服務每次訪問KMS使用密鑰的行為進行事後審計。 | 使用Action Trail查詢Key Management Service的操作事件 |