密钥管理服务KMS_密钥管理系统_云数据加密_安全-阿里云

密钥管理服务
密钥管理服务(Key Management Service,简称KMS)是阿里云针对云上数据加密需求精心设计的密码应用服务,为您的应用提供符合国密要求的密钥服务及极简应用加解密服务,助您轻松使用密钥来加密保护敏感的数据资产。

产品优势

完整的密钥控制权
阿里云提供了高安全的密钥管理服务专属版,您可以将密钥存储到自己独享的云密码机集群中,拥有云密码机的完整控制权,也就拥有了更高的密钥安全保障,从而也获得更高云上数据安全性保证。
严格设计安全合规
密钥管理服务经过严格的安全设计和审核,保证您的密钥在阿里云得到最严格的保护。通过使用具备中国国家密码管理局托管密码机,您可以满足相应的监管与合规要求。
广泛的云产品集成
密钥管理服务和云服务器、云数据库、对象存储、文件存储等阿里云产品广泛集成,您可以使用密钥管理服务中的密钥加密这些产品中的数据,帮助您保护敏感的数据资产,增强云产品默认安全能力。
可用、可靠、弹性
密钥管理服务在每个地域构建了多可用区冗余的密码计算能力,保证向密钥管理服务发起的请求可以得到低延迟处理。您可以根据需要,在不同地域的密钥管理服务创建足够的密钥,而不必担心底层设施的扩容或缩容。

密钥产品使用实践

  • 适用场景
  • 加密方式
  • 数据访问特点
  • 处理性能
  • 是否需要集成SDK
  • SDK开发语言支持情况
  • Terraform是否支持
  • SLA
  • 计费单元
  • 产品价格
  • 云产品落盘/透明加密
  • 支持阿里云80+云产品包含ECS、RDS、OSS等
  • 落盘/透明
  • 实时访问-云产品调用
  • 不限制
  • 不涉及
  • 遵循各个云产品
  • 免费
  • ¥ 0.0元 /月
    免费
  • 数据字段加密
  • 支持文件、数据字段、证书链等加密
  • 应用加密
  • 实时访问/缓存访问
  • 十万+QPS
  • JAVA、Go、PHP、Python等
  • 99.95%
  • QPS、密钥数量、VPC等
  • ¥ 2499元 /月
    软件密钥
  • AK/SK凭据管理
  • 支持AK/SK、Token、数据库账号密码等
  • 应用加密
  • 实时访问
  • 十万+QPS
  • JAVA、Go、PHP、Python等
  • 99.95%
  • QPS、凭据数量
  • ¥ 2748元 /月
    凭据管家
  • 密钥备份与恢复
  • 支持对密钥、凭据进行全球多地域进行备份
  • 不涉及
  • 归档后可以实时请求
  • 不涉及
  • 不涉及
  • 99.9999%
  • 备份周期
  • ¥ 64元 /月
    密钥备份
  • 国密改造
  • 支持国密算法,支持企业国密改造
  • 应用加密/落盘/透明加密
  • 实时访问
  • 十万+QPS
  • JAVA、Go、PHP、Python等
  • 99.95%
  • QPS、VPC、HSM等
  • ¥ 7699元 /月
    硬件密钥管理

产品功能

理想的云上数据加密方案
使用权威认证密码机,满足监管合规需求密钥管理服务密钥的产生基于密码机中安全、高系统熵值为种子的随机数生成算法,从而保护密钥不被攻击者恢复。密钥通过硬件安全机制来保护,密钥明文只在密码机的内部用于密码运算,不会离开密码机硬件的安全边界。
全方位的密钥管理,帮助构建云上密钥管理中心密钥管理服务提供密钥全生命周期管理,您可以在密钥管理服务生成密钥,或者导入您的自带密钥到托管密码机中(也就是BYOK:Bring Your Own Key),也可以禁用、启用、延迟删除、自动轮转密钥。
极简的应用加密接口,加速用户应用快速集成密钥管理服务为简化应用使用密码服务,精心设计极简的密码服务接口,提供SM2/SM3/SM4等国密算法或国际算法的对称加解密、非对称加解密、签名验签等密码服务。
和阿里云产品的集成,实现云上数据“默认加密”密钥管理服务和阿里云产品广泛集成,您可以使用云产品服务托管创建密钥、在KMS控制台自行创建密钥,或者导入外部密钥,对您存放在RDS、ECS、OSS等20多款云产品上的数据进行加密保护,保障您的数据安全。
全面审计密钥的使用,确认密钥被正确使用您可以通过ActionTrail服务追踪和审计密钥的使用情况,无论是使用云产品使用密钥,还是用户应用使用密钥,您都可以审计调用KMS接口使用密钥的情况。你也可以将日志输出到OSS、日志服务用于长期存储、数据分析、SIEM集成等更多的场景。

应用场景

敏感数据加密防止被明文拖库
客户端文件数据加密防泄漏
账密、证书私钥等凭据加密防泄漏
云产品数据服务端加密
场景描述与概要
您部署的互联网应用中存储有用户手机号码、身份证号、银行卡号等用户敏感数据,存在被攻击明文拖库的风险。使用kms提供的极简应用加密服务,在应用层对敏感数据进行加密保护后再存到数据库,增加攻击难度,降低数据批量明文泄露风险。
能够解决
敏感数据集中加密存储
敏感数据在数据库持久化存储之前已经被KMS加密,数据加密密钥被密码机的硬件保护机制保护,任何人无法窃取,数据安全性高。
业务系统按需解密数据
业务系统需要处理或展示敏感数据时,通过用户鉴权后调用KMS,按需解密数据,整个过程只有业务所需的小部分数据在内存中被解密为明文,数据暴露和泄露风险小。
推荐搭配使用
场景描述与概要
您的客户端应用需要对文件进行加密后传输或存储。常规将文件传递到密码机加密的方案,加密过程跨互联网,安全难保障,且网络开销导致加密时延较长。使用KMS信封加密技术,KMS负责密钥安全管理和交换,应用调KMS接口在本地完成数据加密,保障文件数据的安全性和加密效率。
能够解决
海量数据加密存储OSS
您可以使用OSS客户端加密SDK,用于在上传之前完成对大量数据的加密操作。也可以自行调用KMS实现信封加密。
NoSQL高并发读写加密后的数据
按照空间或者时间化分,在一定范围内(如:每个表或每5秒钟)使用相同的数据密钥加密,将数据密文在NoSQL中存储。
推荐搭配使用
场景描述与概要
您在云服务器、容器、函数计算等服务部署的应用,需要诸如密码、OAuth Secret、服务器证书私钥等敏感数据。通过KMS在部署前托管凭据,部署后动态使用的方式,保证敏感数据在运维、传输、存储等过程的安全性。
能够解决
规避在代码库或配置中泄露密码、密钥等敏感数据。
规避研发人员接触密码、密钥等敏感数据,防止人为泄露。
自动周期性轮转凭据,提升安全水位,满足规范要求。
简化凭据泄露后的应急处置,减少应急部署带来的故障风险。
满足对各类凭据的中心化、规模化的安全管理需求。
通过各类客户端工具,支持极简的应用接入。
推荐搭配使用
场景描述与概要
云产品集成KMS,使用KMS中的主密钥对云产品的数据进行加密保护。您只需要在云产品的加密配置中,指定所使用的KMS密钥,随后通过RAM配置密钥的使用权限,在ActionTrail中审计云产品调用KMS的操作。
能够解决
通过加密来控制分布式计算存储环境
云上计算和存储环境是分布式和多租户的。云产品加密将计算与存储行为和KMS绑定起来。例如ECS实例的启动需要解密被加密的云盘。而加密云盘在分布式存储系统的多个冗余拷贝、从云盘自动生成的快照也都被KMS保护起来。
将海量数据的加密负载交给阿里云
如果您产生了海量数据,其数据的加密解密行为,会消耗大量的计算资源,对系统性能和吞吐量产生负面影响。通过云产品的服务端加密,您将加密负载交给了阿里云,而仍然保持对数据加密行为的可控和可见能力。
推荐搭配使用

产品动态

2016-11-25 新地域/新可用区
澳洲数据中心上线
查看详情
2016-11-25 新地域/新可用区
迪拜数据中心上线
查看详情
2016-11-28 功能优化
DescribeKey接口增加显示密钥创建者
查看详情
2017-01-26 新地域/新可用区
香港数据中心上线
查看详情
2017-03-01 功能优化
主密钥轮转功能
查看详情
2017-03-01 功能优化
API调用流控
查看详情
2018-03-30 新功能/规格
密钥管理服务支持密钥导入 (BYOK)
查看详情
2018-07-24 新功能/规格
KMS支持操作审计
查看详情
2019-05-01 新功能/规格
密钥管理服务支持标签管理以及基于标签的访问控制
查看详情
2020-01-01 新功能/规格
KMS发布非对称密钥(RSA、椭圆曲线ECC)功能
查看详情
2020-12-17 新功能/规格
KMS-凭据管家 全新上线 动态RDS凭据
查看详情
2023-02-09 新功能/规格
控制台3.0版本发布(中国站)
查看详情
查看全部日志

更多产品与服务

加密服务
加密服务基于国家密码局认证的硬件加密机,提供了云上数据加解密服务,用户能够对密钥进行安全可靠的管理,也能使用多种加密算法对云上业务数据进行可靠的加解密运算。
云服务器ECS
面向云计算服务器提供默认加密的能力,并支持云盘加密、系统盘加密,面向用户提供安全可靠的数据加密能力。
云数据库RDS MySQL版
MySQL 是全球最受欢迎的开源数据库之一,作为开源软件组合 LAMP中的重要一环,广泛应用于各类应用场景。
对象存储 OSS
面向OSS存储提供默认的加密服务能力,支持服务端与客户端加密能力。

文档与工具