密钥管理服务KMS（Key Management Service）具有广泛的应用场景，本文为您介绍KMS常见的应用场景。

典型场景

场景用户角色诉求说明
信息系统满足安全合规要求首席风险官（CRO）保证信息系统的安全与合规。作为首席风险官（CRO），我希望IT系统满足针对信息系统安全保护的要求，包括：
  • 恰当地使用密码技术和密钥管理设施对重要数据进行加密保护，并可对密钥进行完全的访问控制和安全审计。
  • 对数据库账号口令、服务器账号口令、SSH Key等凭据信息安全存储和管控使用，防范凭据泄漏带来的信息泄露和系统被攻击风险。
敏感数据加密保护IT系统建设者保证应用系统中敏感数据的安全。作为IT系统建设者，应IT安全部门要求，应用程序需对存储或使用的敏感业务数据和运行数据进行加密保护。通过使用KMS，相比自建密钥管理和加解密设施，可极大地降低实施成本。
ISV服务集成KMS凭据管理方案服务提供商ISV服务需要使用用户的凭据，但是用户不希望凭据内容暴露给服务提供商人员。ISV服务运行过程中需要使用用户的凭据信息，但用户不希望敏感的凭据信息暴露给服务提供商。ISV服务可集成KMS，将KMS作为第三方的凭据管理解决方案。

信息系统满足安全合规要求

企业或者组织在评估信息系统的安全合规要求时，可能会遇到以下两种情况：
  • 安全规范要求使用密码技术对信息系统进行保护，并且所使用的密码技术、密钥管理设施必须满足特定的技术标准和安全规范。
  • 安全规范并不强制要求使用密码技术，但使用密码技术会对加快满足规范的过程。例如：在打分制的规范中获得更多的得分点。
KMS提供以下方面的能力，帮助企业满足合规要求：
功能说明参考文档
密码合规

KMS支持连接您在阿里云加密服务的密码机实例（HSM）集群实现密钥的管理和密码计算，硬件密钥的密钥材料不会离开您的密码机实例HSM安全边界。KMS支持您通过硬件密钥实现常用密码算法的密钥管理、数据加解密和数字签名等密码计算服务。

说明 阿里云加密服务提供的密码机实例（HSM）满足FIPS 140-2第三级认证的合规性。
凭据管理通过使用凭据管家，轻松满足对RAM AccessKey、RDS账号口令、ECS SSH密钥等凭据的安全管理要求，同时带来高效而可靠的数据泄露应急处理能力。凭据管理概述
数据保密性通过KMS对个人隐私进行加密保护，防止个人隐私在攻击场景下泄露，满足数据保护相关法律法规要求。密钥服务概述
身份认证和访问控制KMS通过接入访问控制（RAM），实现统一的认证和授权管理。KMS实例仅提供VPC地址，同时通过应用接入点（AAP）为您提供便捷的应用级别认证和授权管理。使用RAM实现对资源的访问控制
审计密钥的使用KMS将所有的API调用记录存储到操作审计（ActionTrail），操作审计可以对密钥的使用情况进行合规性审计。

KMS实例支持您开启安全审计，将实例服务网关的所有API调用记录存储到您指定的OSS存储空间。

使用操作审计查询密钥管理服务的操作事件

敏感数据加密保护

您可以通过数据加密技术，保护云上产生或存储的敏感数据。阿里云支持您通过多种方式实现对敏感数据的加密保护。

加密保护方式诉求说明参考文档
应用系统使用KMS对数据直接加密通过加密技术保护应用系统中敏感数据的安全。这些敏感数据加解密QPS不高且数据大小不超过6K。

例如对您的应用配置AK、数据库账密等敏感信息加密。

调用KMS的加密API，使用密钥直接加密敏感数据。使用KMS主密钥在线加密和解密数据
应用系统使用KMS对数据进行信封加密通过加密技术保护应用系统中敏感数据的安全。这些敏感数据需要高QPS加解密或者加密数据量过大无法使用直接加密方式。

例如对您的用户的手机号、身份证号等敏感信息加密。

使用信封加密技术将密钥存放在KMS中，只部署加密后的数据密钥。仅在需要使用数据密钥时，使用KMS获取数据密钥的明文，用于本地加解密业务数据。

您也可以使用封装了信封加密的加密SDK进行加密保护。

云产品服务端加密为云上的IT设施数据安全的环境提供基础保障。

例如：通过对象存储服务端加密，保护存储敏感数据的OSS桶或通过数据库透明数据加密（TDE），保护存储敏感数据的表。

如果您使用阿里云产品来保存数据，您可以使用云产品的服务端加密功能，更有效地对数据进行加密保护。支持服务端集成加密的云服务
使用凭据管家为您提供凭据的全生命周期管理和安全便捷的应用接入方式，帮助您规避在代码中硬编码凭据带来的敏感信息泄露风险。

例如：您可以将口令、Token、SSH Key、AK等敏感数据托管到凭据管家，通过安全的接入方式进行管理。

将您的敏感信息访问凭据托管到凭据管家，通过应用级别安全访问机制确保敏感信息访问安全。您也可以动态轮转凭据，避免数据泄露风险。凭据管理概述

ISV服务集成KMS凭据管理方案

用户可在KMS中管理凭据，并授权ISV服务使用凭据，KMS充当了ISV服务和用户中间的第三方安全保护机制，使用户和ISV服务可以各司其职，共同保证系统的安全性。

用户角色说明参考文档
用户的管理员在KMS中管理凭据。在访问控制（RAM）中管理凭据使用的权限，通过跨阿里云账号的资源授权等方式，允许ISV服务使用KMS中的指定凭据。跨阿里云账号的资源授权
ISV服务ISV服务通过集成KMS的API使用用户指定的凭据。API概览
用户的审计员通过操作审计（ActionTrail），对ISV服务每次访问KMS使用密钥的行为进行事后审计。使用操作审计查询密钥管理服务的操作事件