全部產品
Search
文件中心

Key Management Service:應用情境

更新時間:Jul 06, 2024

Key Management Service(Key Management Service)具有廣泛的應用情境,本文為您介紹KMS常見的應用情境。

典型情境

情境使用者角色訴求說明
資訊系統滿足安全合規要求首席風險官(CRO)保證資訊系統的安全與合規。作為首席風險官(CRO),我希望IT系統滿足針對資訊系統安全保護的要求,包括:
  • 恰當地使用密碼技術和密鑰管理設施對重要資料進行加密保護,並可對密鑰進行完全的存取控制和安全審計。
  • 對資料庫帳號口令、伺服器帳號口令、SSH Key等憑據資訊安全儲存和管控使用,防範憑據泄漏帶來的資訊泄露和系統被攻擊風險。
敏感性資料加密保護IT系統建設者保證應用系統中敏感性資料的安全。作為IT系統建設者,應IT安全部門要求,應用程式需對儲存或使用的敏感業務資料和運行資料進行加密保護。通過使用KMS,相比自建密鑰管理和加解密設施,可極大地降低實施成本。
ISV服務整合KMS憑據管理方案服務提供者ISV服務需要使用使用者的憑據,但是使用者不希望憑據內容暴露給服務提供者人員。ISV服務運行過程中需要使用使用者的憑據資訊,但使用者不希望敏感的憑據資訊暴露給服務提供者。ISV服務可整合KMS,將KMS作為第三方的憑據管理解決方案。

資訊系統滿足安全合規要求

企業或者組織在評估資訊系統的安全合規要求時,可能會遇到以下兩種情況:
  • 安全規範要求使用密碼技術對資訊系統進行保護,並且所使用的密碼技術、密鑰管理設施必須滿足特定的技術標準和安全規範。
  • 安全規範並不強制要求使用密碼技術,但使用密碼技術會對加快滿足規範的過程。例如:在打分制的規範中獲得更多的得分點。
KMS提供以下方面的能力,協助企業滿足合規要求:
功能說明參考文檔
密碼合規

KMS支援串連您在阿里雲Data Encryption Service的密碼機執行個體(HSM)叢集實現密鑰的管理和密碼計算,硬體密鑰的密鑰材料不會離開您的密碼機執行個體HSM安全邊界。KMS支援您通過硬體密鑰實現常用密碼演算法的密鑰管理、資料加解密和數位簽章等密碼計算服務。

說明 阿里雲Data Encryption Service提供的密碼機執行個體(HSM)滿足FIPS 140-2第三級認證的合規性。
憑據管理通過使用憑據管家,輕鬆滿足對RAM AccessKey、RDS帳號口令、ECS SSH密鑰等憑據的安全管理要求,同時帶來高效而可靠的資料泄露應急處理能力。憑據管理概述
資料保密性通過KMS對個人隱私進行加密保護,防止個人隱私在攻擊情境下泄露,滿足資料保護相關法律法規要求。密鑰服務概述
身份認證和存取控制KMS通過接入存取控制(RAM),實現統一的認證和授權管理。KMS執行個體僅提供VPC地址,同時通過應用存取點(AAP)為您提供便捷的應用層級認證和授權管理。Key Management Service自訂權限原則參考
審計密鑰的使用KMS將所有的API調用記錄儲存到Action Trail(ActionTrail),Action Trail可以對密鑰的使用方式進行合規性審計。

KMS執行個體支援您開啟安全審計,將執行個體服務網關的所有API調用記錄儲存到您指定的OSS儲存空間。

使用Action Trail查詢Key Management Service的操作事件

敏感性資料加密保護

您可以通過資料加密技術,保護雲上產生或儲存的敏感性資料。阿里雲支援您通過多種方式實現對敏感性資料的加密保護。

加密保護方式訴求說明參考文檔
應用系統使用KMS對資料直接加密通過加密技術保護應用系統中敏感性資料的安全。這些敏感性資料加解密QPS不高且資料大小不超過6K。

例如對您的應用配置AK、資料庫賬密等敏感資訊加密。

調用KMS的加密API,使用密鑰直接加密敏感性資料。使用KMS密鑰線上加密和解密資料
應用系統使用KMS對資料進行信封加密通過加密技術保護應用系統中敏感性資料的安全。這些敏感性資料需要高QPS加解密或者加密資料量過大無法使用直接加密方式。

例如對您的使用者的手機號、社會安全號碼等敏感資訊加密。

使用信封加密技術將密鑰存放在KMS中,只部署加密後的資料密鑰。僅在需要使用資料密鑰時,使用KMS擷取資料密鑰的明文,用於本地加解密業務資料。

您也可以使用封裝了信封加密的加密SDK進行加密保護。

雲產品服務端加密為雲上的IT設施資料安全的環境提供基礎保障。

例如:通過Object Storage Service服務端加密,保護儲存敏感性資料的OSS桶或通過資料庫透明資料加密(TDE),保護儲存敏感性資料的表。

如果您使用阿里雲產品來儲存資料,您可以使用雲產品的服務端加密功能,更有效地對資料進行加密保護。支援整合KMS加密的雲產品
使用憑據管家為您提供憑據的全生命週期管理和安全便捷的應用接入方式,協助您規避在代碼中寫入程式碼憑據帶來的敏感資訊泄露風險。

例如:您可以將口令、Token、SSH Key、AK等敏感性資料託管到憑據管家,通過安全的接入方式進行管理。

將您的敏感資訊訪問憑據託管到憑據管家,通過應用層級安全訪問機制確保敏感資訊訪問安全。您也可以動態輪轉憑據,避免資料泄露風險。憑據管理概述

ISV服務整合KMS憑據管理方案

使用者可在KMS中管理認證,並授權ISV服務使用憑據,KMS充當了ISV服務和使用者中間的第三方安全保護機制,使使用者和ISV服務可以各司其職,共同保證系統的安全性。

使用者角色說明參考文檔
使用者的管理員在KMS中管理認證。在存取控制(RAM)中管理認證使用的許可權,通過跨阿里雲帳號的資源授權等方式,允許ISV服務使用KMS中的指定憑據。跨阿里雲帳號的資源授權
ISV服務ISV服務通過整合KMS的API使用使用者指定的憑據。API參考
使用者的審計員通過Action Trail(ActionTrail),對ISV服務每次訪問KMS使用密鑰的行為進行事後審計。使用Action Trail查詢Key Management Service的操作事件