密鑰管理服務KMS（Key Management Service）具有廣泛的應用場景，本文為您介紹KMS常見的應用場景。

典型場景

場景用戶角色訴求說明
信息系統滿足安全合規要求首席風險官（CRO）保證信息系統的安全與合規。作為首席風險官（CRO），我希望IT系統滿足針對信息系統安全保護的要求，包括：
  • 恰當地使用密碼技術和密鑰管理設施對重要數據進行加密保護，并可對密鑰進行完全的訪問控制和安全審計。
  • 對數據庫賬號口令、服務器賬號口令、SSH Key等憑據信息安全存儲和管控使用，防范憑據泄漏帶來的信息泄露和系統被攻擊風險。
敏感數據加密保護IT系統建設者保證應用系統中敏感數據的安全。作為IT系統建設者，應IT安全部門要求，應用程序需對存儲或使用的敏感業務數據和運行數據進行加密保護。通過使用KMS，相比自建密鑰管理和加解密設施，可極大地降低實施成本。
ISV服務集成KMS憑據管理方案服務提供商ISV服務需要使用用戶的憑據，但是用戶不希望憑據內容暴露給服務提供商人員。ISV服務運行過程中需要使用用戶的憑據信息，但用戶不希望敏感的憑據信息暴露給服務提供商。ISV服務可集成KMS，將KMS作為第三方的憑據管理解決方案。

信息系統滿足安全合規要求

企業或者組織在評估信息系統的安全合規要求時，可能會遇到以下兩種情況：
  • 安全規范要求使用密碼技術對信息系統進行保護，并且所使用的密碼技術、密鑰管理設施必須滿足特定的技術標準和安全規范。
  • 安全規范并不強制要求使用密碼技術，但使用密碼技術會對加快滿足規范的過程。例如：在打分制的規范中獲得更多的得分點。
KMS提供以下方面的能力，幫助企業滿足合規要求：
功能說明參考文檔
密碼合規

KMS支持連接您在阿里云加密服務的密碼機實例（HSM）集群實現密鑰的管理和密碼計算，硬件密鑰的密鑰材料不會離開您的密碼機實例HSM安全邊界。KMS支持您通過硬件密鑰實現常用密碼算法的密鑰管理、數據加解密和數字簽名等密碼計算服務。

說明 阿里云加密服務提供的密碼機實例（HSM）滿足GM/T 0028 第二級認證的合規性。
憑據管理通過使用憑據管家，輕松滿足對RAM AccessKey、RDS賬號口令、ECS SSH密鑰等憑據的安全管理要求，同時帶來高效而可靠的數據泄露應急處理能力。憑據管理概述
數據保密性通過KMS對個人隱私進行加密保護，防止個人隱私在攻擊場景下泄露，滿足數據保護相關法律法規要求。密鑰服務概述
身份認證和訪問控制KMS通過接入訪問控制（RAM），實現統一的認證和授權管理。KMS實例僅提供VPC地址，同時通過應用接入點（AAP）為您提供便捷的應用級別認證和授權管理。使用RAM實現對資源的訪問控制
審計密鑰的使用KMS將所有的API調用記錄存儲到操作審計（ActionTrail），操作審計可以對密鑰的使用情況進行合規性審計。

KMS實例支持您開啟安全審計，將實例服務網關的所有API調用記錄存儲到您指定的OSS存儲空間。

使用操作審計查詢密鑰管理服務的操作事件

敏感數據加密保護

您可以通過數據加密技術，保護云上產生或存儲的敏感數據。阿里云支持您通過多種方式實現對敏感數據的加密保護。

加密保護方式訴求說明參考文檔
應用系統使用KMS對數據直接加密通過加密技術保護應用系統中敏感數據的安全。這些敏感數據加解密QPS不高且數據大小不超過6K。

例如對您的應用配置AK、數據庫賬密等敏感信息加密。

調用KMS的加密API，使用密鑰直接加密敏感數據。使用KMS主密鑰在線加密和解密數據
應用系統使用KMS對數據進行信封加密通過加密技術保護應用系統中敏感數據的安全。這些敏感數據需要高QPS加解密或者加密數據量過大無法使用直接加密方式。

例如對您的用戶的手機號、身份證號等敏感信息加密。

使用信封加密技術將密鑰存放在KMS中，只部署加密后的數據密鑰。僅在需要使用數據密鑰時，使用KMS獲取數據密鑰的明文，用于本地加解密業務數據。

您也可以使用封裝了信封加密的加密SDK進行加密保護。

云產品服務端加密為云上的IT設施數據安全的環境提供基礎保障。

例如：通過對象存儲服務端加密，保護存儲敏感數據的OSS桶或通過數據庫透明數據加密（TDE），保護存儲敏感數據的表。

如果您使用阿里云產品來保存數據，您可以使用云產品的服務端加密功能，更有效地對數據進行加密保護。支持服務端集成加密的云服務
使用憑據管家為您提供憑據的全生命周期管理和安全便捷的應用接入方式，幫助您規避在代碼中硬編碼憑據帶來的敏感信息泄露風險。

例如：您可以將口令、Token、SSH Key、AK等敏感數據托管到憑據管家，通過安全的接入方式進行管理。

將您的敏感信息訪問憑據托管到憑據管家，通過應用級別安全訪問機制確保敏感信息訪問安全。您也可以動態輪轉憑據，避免數據泄露風險。憑據管理概述

ISV服務集成KMS憑據管理方案

用戶可在KMS中管理憑據，并授權ISV服務使用憑據，KMS充當了ISV服務和用戶中間的第三方安全保護機制，使用戶和ISV服務可以各司其職，共同保證系統的安全性。

用戶角色說明參考文檔
用戶的管理員在KMS中管理憑據。在訪問控制（RAM）中管理憑據使用的權限，通過跨阿里云賬號的資源授權等方式，允許ISV服務使用KMS中的指定憑據。跨阿里云賬號的資源授權
ISV服務ISV服務通過集成KMS的API使用用戶指定的憑據。API概覽
用戶的審計員通過操作審計（ActionTrail），對ISV服務每次訪問KMS使用密鑰的行為進行事后審計。使用操作審計查詢密鑰管理服務的操作事件