密鑰管理服務(KMS)是雲服務商给予的安全、易用的管理類服務。客戶不用花費許多成本來保障密鑰的機密性、完整性與可用性。利用密鑰管理服務，客戶可安全、便捷地使用密鑰,專注於開發加解密功能場景。
KMS可解決不同角色的不同密鑰需求,如下表所示。
|
角色 |
問題 |
解決方法 |
|
應用/網站開發者 |
·程序需用密鑰、證書來加密或簽名,希望密鑰管理的功能是安全且獨立的 ·不論應用部署在哪裏,都能安全地訪問到密鑰。 ·絕不接受把明文的密鑰到處部署 |
主密鑰存放在KMS服務中,在使用時調用KMS服務解密數據密鑰。 |
|
服務開發者 |
·不想承擔客戶密鑰、數據的安全責任 ·希望客戶自己管理密鑰 ·在有授權的情況下用用戶指定的密鑰加密數據 |
用信封加密技術及開放的API，服務能集成KMS,用用戶指定的主密鑰完成數據密鑰的加解密,能輕鬆的實現明文不落盤,也不用為管理用戶的密鑰發愁 |
|
首席安全官（CSO） |
·密鑰管理能滿足合規需求 ·確保密鑰都被合理地授權,任何使用密鑰的情況都必須被審計 |
KMS服務接入RAM服務實現統一的授權管理。接入ActionTrail服務實現密鑰使用的審計 |
從表中可看出,用KMS解決密鑰管理問題有2種方式:一種是直接用KMS來加密/解密客戶數據,另一種是基於信封加密方法實現本地加解密。
1.直接使用KMS加密、解密客戶數據
客戶可直接調用KMS的API,用指定的客戶主密鑰來加解密數據,此場景適合少量數據的加解密,用戶的數據可經安全信道傳至KMS服務端,對應結果會在服務端加解密後經安全信道返給用戶。
2.使用信封加密方法實現本地加解密
信封加密指給要加密的數據得到“一次一密”的對稱密鑰,借特定的主密鑰加密此對稱密鑰,讓其處在被“密封的信封保護”的狀態。在傳輸、存儲等非安全的通信過程中直接傳遞“被密封保護的密鑰”,當且只在用此對稱密鑰時,打開信封拿出密鑰。
客戶可直接調用KMS的API,用指定的CMK得到解密數據密鑰,自行用數據密鑰在本地加解密數據,這適合大量數據的加解密,客戶不用經網絡傳輸許多數據，可低成本的進行大量數據的加解密。
