Key Management Service（Key Management Service）具有廣泛的應用情境，本文為您介紹KMS常見的應用情境。
典型情境
| 使用者角色 | 訴求 | 典型情境 | 解決方案 |
| 應用開發人員 | 保證應用系統中敏感性資料的安全。 | 作為開發人員，我的程式需要使用一些敏感的業務資料和運行資料。我希望敏感性資料被加密保護，而加密金鑰則通過KMS來保護。 | 敏感性資料加密保護 |
| IT營運人員 | 為部署在雲上的IT設施提供安全的環境。 | 雲上的IT設施與其他租戶共用，我無法像傳統自建機房那樣，在雲上建立物理的安全邊界。但是我仍然需要為雲上的計算與儲存託管環境構建一套可信、可見及可控的安全機制。 | 控制雲上計算與儲存環境 |
| 首席安全官 | 保證資訊系統的安全與合規。 | 作為首席安全官（CSO），我既需要滿足一些合規標準中對密鑰管理的直接要求，也需要利用密碼技術去滿足更多針對應用和資訊系統安全的要求。 | 資訊系統滿足合規要求 |
| 服務提供者 | 使用第三方加密作為服務的安全能力。 | 作為ISV服務提供者，使用者要求我們加密保護ISV服務中的使用者資料。
| ISV的第三方加密方案 |
敏感性資料加密保護
您可以通過資料加密，保護雲上產生或儲存的敏感性資料。阿里雲支援您通過多種方式實現對敏感性資料的加密保護。
| 加密保護方式 | 訴求 | 說明 | 參考文檔 |
| 信封加密 | 保護應用系統中敏感性資料的安全。這些敏感性資料需要高QPS加解密或者加密資料量過大無法使用直接加密方式。例如對您的客戶的手機號、社會安全號碼等敏感資訊加密。 | 使用信封加密技術將主要金鑰存放在KMS中，只部署加密後的資料密鑰。僅在需要使用資料密鑰時，使用KMS擷取資料密鑰的明文，用於本地加解密業務資料。 您也可以使用封裝了信封加密的加密SDK進行加密保護。 | |
| 直接加密 | 保護應用系統中敏感性資料的安全。這些敏感性資料加解密QPS小於系統限流閾值而且資料大小小於等於6K。例如對您的應用配置AK、資料庫賬密等敏感資訊加密。 | 調用KMS的加密API，使用主要金鑰直接加密敏感性資料。 | 使用KMS主要金鑰線上加密和解密資料 |
| 服務端加密 | 為雲上的IT設施資料安全的環境提供基礎保障。例如：通過Object Storage Service服務端加密，保護儲存敏感性資料的OSS桶或通過資料庫透明資料加密（TDE），保護儲存敏感性資料的表。 | 如果您使用阿里雲產品來儲存資料，您可以使用雲產品的服務端加密功能，更有效地對資料進行加密保護。 | 支援服務端整合加密的雲端服務 |
| 使用憑據管家 | 為您提供憑據的全生命週期管理和安全便捷的應用接入方式，協助您規避在代碼中寫入程式碼憑據帶來的敏感資訊泄露風險。例如：您可以將口令、Token、SSH Key、AK等敏感性資料託管到憑據管家，通過安全的接入方式進行管理。 | 將您的敏感資訊託管到憑據管家，通過應用層級安全訪問機制確保敏感資訊訪問安全。您也可以動態輪轉憑據，避免資料泄露風險。 |
控制雲上計算與儲存環境
通過雲產品整合KMS加密（服務端整合加密）的方式，阿里雲為您提供了控制雲上計算與儲存環境的能力，在分布式多租戶系統中隔離保護您的計算與儲存資源。您可以通過控制KMS主要金鑰的生命週期、使用狀態或存取控制的權限原則，控制分散式運算環境或儲存環境。您也可以配合Action Trail服務，檢查與審計KMS密鑰的使用方式。控制雲上計算與儲存環境有以下幾種常見應用情境：
| 應用情境 | 訴求 | 說明 | 參考文檔 |
| Elastic Compute Service情境 | 通過KMS祕密金鑰加密方式保護您在雲上ECS系統硬碟、資料盤、快照及鏡像資料安全，適用於資料安全和法規合規等情境。 | 通過授權ECS使用KMS密鑰，協助ECS加密保護系統硬碟、資料盤、快照及鏡像。例如：啟動ECS執行個體需要同時解密系統硬碟和資料盤，從加密盤製作的快照也需要被加密。增加的這些限制措施，使ECS執行個體和儲存資源的使用，都通過KMS得到了安全強化。 | 加密雲端硬碟 |
| 持久化儲存情境 | 通過KMS密鑰用戶端加密或服務端加密方式保護您在OSS儲存資料安全，支援國密和AES兩種加密方式。 | 阿里雲提供的持久化儲存類服務（例如：RDS、OSS或NAS等），通過分布式多冗餘的方式，保證資料存放區的可靠性。這些服務通過整合KMS對資料進行落盤前的加密，讓您獲得對分布式系統中資料冗餘的可控與可見度，即任何讀取的請求都需要首先經過KMS對資料進行解密。 | 無 |
| 其他計算與儲存情境 | 通過KMS祕密金鑰加密方式保護您在雲上儲存產品資料安全。 | 多種雲端服務均支援服務端整合加密。 | 支援服務端整合加密的雲端服務 |
資訊系統滿足合規要求
企業或者組織在評估合規標準對密碼技術的要求時，可能會遇到以下兩種情況：
- 合規規範要求使用密碼技術對資訊系統進行保護，並且所使用的密碼技術必須滿足特定的技術標準和安全規範。
- 合規規範對密碼技術並不強制要求使用，但使用密碼技術會對加快滿足合規的過程。例如：在打分制的規範中獲得更多的得分點。
KMS提供以下方面的能力，協助企業滿足合規要求：
| 功能 | 說明 | 參考文檔 |
| 密碼合規 | KMS支援託管密碼機。託管密碼機使用了通過監管機構認證的第三方硬體裝置，在許可的安全模式下運行。針對不同市場，託管密碼機分別獲得了國密局的檢測和認證，以及FIPS 140-2第三級的檢測認證。 | |
| 密鑰輪轉 | KMS內建了加密金鑰的自動輪轉功能，企業可以自訂輪轉策略，快速滿足資料安全規範和最佳實務。 | |
| 憑據輪轉 | 通過使用憑據管家，輕鬆滿足對口令、存取金鑰等憑據的輪轉要求，同時帶來高效而可靠的資料泄露應急處理能力。 | 輪轉通用憑據 |
| 資料保密性 | 通過KMS對個人隱私進行加密保護，防止個人隱私在攻擊情境下泄露，滿足資料保護相關法律法規要求。 | 無 |
| 資料完整性 | KMS通過整合Log Service和Action Trail服務，對雲上日誌進行防止篡改的加密保護，同時滿足對日誌資料的保密性和完整性保護。 | 無 |
| 身份認證和存取控制 | KMS通過接入存取控制（RAM），實現統一的認證和授權管理。 | 使用RAM實現對資源的存取控制 |
| 審計密鑰的使用 | KMS將所有的API調用記錄儲存到Action Trail（ActionTrail），Action Trail可以對密鑰的使用方式進行合規性審計。 | 使用Action Trail查詢Key Management Service的操作事件 |
ISV的第三方加密方案
如果您是ISV服務提供者，您可以整合KMS，將KMS作為第三方的資料安全解決方案，保護您提供的服務中的使用者資料。通過允許使用者在KMS中管理密鑰，並授權ISV服務使用這些密鑰，KMS充當了ISV服務和使用者中間的第三方安全保護機制，使用者和ISV服務可以各司其職，共同保證系統的安全性。
| 使用者角色 | 說明 | 參考文檔 |
| 使用者的管理員 | 在KMS中產生密鑰並管理密鑰的生命週期。在存取控制（RAM）中管理密鑰使用的許可權，通過跨阿里雲帳號的資源授權等方式，允許ISV服務使用KMS中的指定密鑰。 | 跨阿里雲帳號的資源授權 |
| ISV服務 | 通過整合KMS的API使用使用者指定的密鑰，對ISV服務中的資料進行加密保護。 | API概覽 |
| 使用者的審計員 | 通過Action Trail（ActionTrail），對ISV服務每次訪問KMS使用密鑰的行為進行事後審計。 | 使用Action Trail查詢Key Management Service的操作事件 |