托管密码机是密钥管理服务KMS（Key Management Service）提供的一项重要功能，助您在阿里云上轻松使用具有合规资质的硬件密码机。
硬件密码机是一种执行密码运算、安全生成和存储密钥的硬件设备。通过将密钥托管在这些高安全等级的硬件设备中，可以保护您在阿里云上最敏感的计算任务和资产。
硬件密码机也叫硬件安全模块（Hardware Security Module，简称HSM）。您无需单独购买硬件密码机，只需关注硬件密码机是否能满足您的合规要求。
支持的地域
您可以在下列地域使用托管密码机。
地域 | 密码机检测类型 | 地域标识符 |
华北2（北京） | 国密局商用密码检测认证 | cn-beijing |
华北3（张家口） | 国密局商用密码检测认证 | cn-zhangjiakou |
华东1（杭州） | 国密局商用密码检测认证 | cn-hangzhou |
华东2（上海） | 国密局商用密码检测认证 | cn-shanghai |
华南1（深圳） | 国密局商用密码检测认证 | cn-shenzhen |
中国香港 | FIPS 140-2 第三级 | cn-hongkong |
新加坡 | FIPS 140-2 第三级 | ap-southeast-1 |
马来西亚（吉隆坡） | FIPS 140-2 第三级 | ap-southeast-3 |
印度尼西亚（雅加达） | FIPS 140-2 第三级 | ap-southeast-5 |
美国（弗吉尼亚） | FIPS 140-2 第三级 | us-east-1 |
合规
托管密码机帮助您满足严格的合规要求。根据各地区监管机构要求，阿里云提供的多种密码机分别由不同的第三方机构认证，从而适应不同市场的地区性差异，满足您的本地化和国际化需求。
对中国内地的地域：
国密检测认证：阿里云运营的密码机，已通过国家密码管理局指定检测机构的检测认证。
国密合规：阿里云的托管密码机符合国家密码管理局相关技术要求和规范，为阿里云用户提供符合国家和行业标准的商用密码算法。
对中国内地之外的地域：
硬件的FIPS认证：阿里云运营的密码机，包含它们的硬件和固件，已获得FIPS 140-2第三级认证。NIST颁发的证书详情，请参见证书3254。
FIPS 140-2第三级合规：阿里云的托管密码机运行在FIPS许可的第三级模式下。
PCI-DSS合规：阿里云的托管密码机符合PCI-DSS合规的要求。
高安全保证
硬件保护
托管密码机通过安全的硬件机制来保护KMS中的密钥。用户主密钥的明文密钥材料只会在密码机的内部被处理，用于密码运算，而不会离开密码机硬件的安全边界。
安全的密钥生成
随机性是密钥强度的关键。通过使用托管密码机，密钥材料的产生基于安全、许可、且以高系统熵值为种子的随机数生成算法，从而保护密钥不被攻击者恢复或者预判。
易运维
阿里云提供密码机硬件的完全托管，免去您自己管理硬件所带来的如下运维开销：
硬件生命周期的管理
密码机集群管理
高可用和可伸缩性管理
系统修补（Patching）
大部分灾备工作
易集成
通过原生的密钥管理能力，您可以从以下功能中受益：
密钥版本管理
自动密钥轮转
资源标签管理
可控制的授权机制
这些功能支持您的应用与托管密码机快速集成，也支持云服务器ECS、关系型数据库RDS等其他云服务与托管密码机集成，实现云上数据静态加密，而您无需为此投入研发成本。
保持对密钥的控制
借助托管密码机，您可以更好地控制云上的加密密钥，将最具敏感性的计算任务和资产移动到云端。
同时使用托管密码机和BYOK （Bring Your Own Key），您可以实现以下功能：
完全控制密钥材料的生成方式
导入到托管HSM的密钥材料只能被销毁而无法被导出
完全控制密钥的生命周期
完全控制密钥的持久性
低成本
相比于通过本地密码机自建密钥基础设施，托管密码机采用云计算“用多少花多少”的计费模式，帮助您免去硬件采购的初始成本，以及后续研发和运维带来的持续性投入。