1、密鑰管理服務(wù)產(chǎn)品簡介密鑰管理服務(wù)/產(chǎn)品簡介密鑰管理服務(wù)/產(chǎn)品簡介 PAGE 13 PAGE 13產(chǎn)品簡介密鑰管理服務(wù)（Key Management Service，簡稱：KMS）密鑰管理服務(wù)是阿里云提供的一款安全、易用的管理類服務(wù)。用戶無需花費(fèi)大量成本來保護(hù)密鑰的保密性、完 整性和可用性，借助密鑰管理服務(wù)，用戶可以安全、便捷的使用密鑰，專注于開發(fā)加解密功能場景。KMS要解決的主要需求角色問題KMS如何解決應(yīng)用/網(wǎng)站開發(fā)者我的程序需要使用密鑰、證書用于加密或者簽名，我希望密鑰管理的功能是安全且獨(dú)立的。不論我的應(yīng)用部署在哪里，都能安全的訪問到密鑰。我絕不接受把明文的密鑰到處部署，這太危險(xiǎn)了！使用信

2、封加密技術(shù)，主密鑰存放在KMS服務(wù)中，只部署加密后的數(shù)據(jù)密鑰，僅在需要使用時(shí)調(diào)用KMS服務(wù)解密數(shù)據(jù)密鑰服務(wù)開發(fā)者我不想承擔(dān)客戶密鑰、數(shù)據(jù)的安全責(zé)任。我希望用戶自己管理他的密鑰；在擁有授權(quán)的情況下，我會(huì)使用用戶指定的密鑰加密他的數(shù)據(jù)。這樣，我就能專注于服務(wù)功能的開發(fā)?；谛欧饧用芗夹g(shù)以及KMS開放的API，服務(wù)能夠集成KMS，使用用戶指定的主密鑰完成數(shù)據(jù)密鑰的加解密，能夠輕松的實(shí)現(xiàn)明文不落盤的要求，也不用為管理用戶的密鑰而犯愁。首席安全官(CSO)我希望公司的密鑰管理能滿足合規(guī)需求。我需要確保密鑰都被合理的授權(quán)，任何使用密鑰的情況都必須被審計(jì)KMS服務(wù)接入RAM服務(wù)實(shí)現(xiàn)統(tǒng)一的授權(quán)管理。接入Act

3、ionTrail服務(wù)實(shí)現(xiàn)密鑰使用的審計(jì)。產(chǎn)品名詞解釋這些名詞是密鑰管理服務(wù)的關(guān)鍵概念。術(shù)語全稱中文概念KMSKey Management密鑰管理服務(wù)阿里云計(jì)算提供的密鑰Service管理服務(wù)envelope encryptionenvelope encryption信封加密為要加密的數(shù)據(jù)產(chǎn)生 ，使用特定的主密鑰加密該對(duì)稱密鑰，使這個(gè)對(duì)稱密鑰處于一種被 密封的信封保護(hù)的狀態(tài)。在傳輸、存儲(chǔ)等非安全的通信過程中直接傳遞被密封保護(hù)的密鑰，當(dāng)且僅當(dāng)要使用該對(duì)稱密鑰時(shí)，打開信封取出密鑰。CMKCustomer Master Key用戶主密鑰用戶在阿里云密鑰管理服務(wù)中創(chuàng)建的主密鑰，主要用于加密保護(hù)數(shù)據(jù)密鑰，

4、產(chǎn)生信封。也可直接用于加密少量的數(shù)據(jù)。EDK/DKEnvelopedDataKey / DataKey信封數(shù)據(jù)密鑰/數(shù)據(jù)密鑰DK為加密數(shù)據(jù)使用的明文數(shù)據(jù)密鑰，EDK為通過信封加密技術(shù)保密后的密文數(shù)據(jù)密鑰。使用場景圖例說明圖例含義用戶主密鑰（CMK）明文證書密文證書明文數(shù)據(jù)密鑰密文數(shù)據(jù)密鑰明文文件密文文件直接使用KMS加密、解密用戶可以直接調(diào)用KMS的API，使用指定的CMK來加密、解密數(shù)據(jù)。這種場景適用于少量（少于4KB）數(shù)據(jù)的 加解密，用戶的數(shù)據(jù)會(huì)通過安全信道傳遞到KMS服務(wù)端，對(duì)應(yīng)的結(jié)果將在服務(wù)端完成加密、解密后通過安全信 道返回給用戶。場景舉例：保護(hù)服務(wù)器HTTPS證書流程：1.首先用戶

5、需要?jiǎng)?chuàng)建一個(gè)主密鑰2.調(diào)用KMS服務(wù)的Encrypt接口將明文證書加密為密文證書3.用戶在服務(wù)器上部署密文證書4.當(dāng)服務(wù)器啟動(dòng)需要使用證書時(shí)，調(diào)用KMS服務(wù)的Decrypt接口，將密文證書解密為明文證書使用信封加密在本地加密、解密用戶可以直接調(diào)用KMS的API，使用指定的CMK來產(chǎn)生、解密數(shù)據(jù)密鑰，自行使用數(shù)據(jù)密鑰在本地加解密數(shù)據(jù)。這種場景適用于大量數(shù)據(jù)的加解密，用戶的數(shù)據(jù)無需通過網(wǎng)絡(luò)傳輸大量數(shù)據(jù)，可以低成本的實(shí)現(xiàn)大量數(shù)據(jù)的 加解密。場景舉例：加密本地文件加密流程：1.首先用戶需要?jiǎng)?chuàng)建一個(gè)主密鑰接口，產(chǎn)生數(shù)據(jù)密鑰。這里用戶能夠得到一個(gè)明文的數(shù)據(jù)密鑰和 一個(gè)密文的數(shù)據(jù)密鑰3.用戶使用明文的數(shù)據(jù)密

6、鑰，加密文件，產(chǎn)生密文文件4.用戶將密文數(shù)據(jù)密鑰和密文文件一同存儲(chǔ)到持久化存儲(chǔ)設(shè)備或服務(wù)中解密流程：1.用戶從持久化存儲(chǔ)設(shè)備或服務(wù)中讀取密文數(shù)據(jù)密鑰和密文文件2.調(diào)用KMS服務(wù)的Decrypt接口，解密數(shù)據(jù)密鑰，取得明文數(shù)據(jù)密鑰3.使用明文數(shù)據(jù)密鑰解密文件注意事項(xiàng)：1.驗(yàn)證阿里云服務(wù)端的HTTPS證書，防止釣魚者竊取您的信息2.推薦使用RAM服務(wù)子賬號(hào)功能，實(shí)現(xiàn)最小權(quán)限原則產(chǎn)品優(yōu)勢優(yōu)勢傳統(tǒng)密鑰管理方案使用密鑰管理服務(wù)低成本采購安全的密鑰管理設(shè)備、建設(shè)安全的物理環(huán)境都需要很高的硬件成本，設(shè)計(jì)和執(zhí)行安全的密鑰管理規(guī)范需要很高的軟件成本。按需收費(fèi)，且價(jià)格低廉。易用硬件設(shè)備 API 缺乏標(biāo)準(zhǔn)，晦澀難用。信道安全的方案和配置繁瑣。統(tǒng)一、易用的 API 。標(biāo)準(zhǔn)的https 協(xié)議?？煽客ǔＪ褂秒x線備份方案實(shí)現(xiàn)高可靠。分布式系統(tǒng)與密碼硬件設(shè)備結(jié)合，實(shí)現(xiàn)高可靠。發(fā)展歷史發(fā)布時(shí)間發(fā)布版本發(fā)布內(nèi)容2016年4月6日1.0密鑰管理服務(wù)公測2016年5月19日1.1增加三個(gè)地區(qū)支持（北京、上海、深圳）2016年6月22日1.2支持密鑰禁用、啟用功能使用限制密鑰管理服務(wù)（KMS）是一個(gè)區(qū)域化的服務(wù)，對(duì)于每個(gè)用戶，在不同的地區(qū)的KMS資源與使用限制是相對(duì)獨(dú)立 的。目前已經(jīng)支持的地區(qū)共有五個(gè)：亞太（新加坡）、華東1（杭州）、華東2（上