Las claves son el componente central de Key Management Service (KMS). KMS gestiona dos tipos de claves: claves maestras del cliente (CMK) y claves predeterminadas. Estas cubren la gestión completa del ciclo de vida, el almacenamiento seguro, el cifrado de datos y las firmas digitales mediante llamadas a API nativas de la nube.
Casos de uso
Las claves de KMS tienen dos propósitos principales:
Operaciones criptográficas en aplicaciones autogestionadas: Llame a la OpenAPI o al SDK de KMS para realizar operaciones de cifrado, descifrado, firma digital y verificación de firmas directamente en sus aplicaciones. Para obtener más información, consulte Integrar KMS con aplicaciones autogestionadas.
Cifrado del lado del servidor para servicios de Alibaba Cloud: Integre claves con servicios compatibles con KMS, como Object Storage Service (OSS), Elastic Block Storage (EBS) y ApsaraDB RDS, para habilitar el cifrado transparente de datos en reposo. Para obtener más información, consulte Overview of KMS integration for server-side encryption.
Tipos de claves
KMS ofrece dos tipos de claves que se distinguen por quién las gestiona y el nivel de control que usted conserva.
|
**Tipo de clave** |
**Casos de uso** |
**Subtipo** |
**Algoritmo** |
**Permisos de gestión** |
**Capacidad de uso compartido** |
**Costo** |
|
CMK |
Uso en aplicaciones autogestionadas mediante API; cifrado del lado del servidor con servicios de Alibaba Cloud |
Clave protegida por software; clave protegida por hardware; clave externa (XKI) |
Simétrico y asimétrico |
Control total del ciclo de vida: crear, habilitar, deshabilitar, rotar y eliminar |
Se puede compartir entre servicios y cuentas |
De pago |
|
Clave predeterminada |
Cifrado del lado del servidor con servicios de Alibaba Cloud |
Clave de servicio; CMK predeterminada |
Solo simétrico |
Limitado: solo se pueden modificar algunas propiedades; no se admite la creación. Para obtener más información, consulte Key management feature comparison a continuación. |
Limitada a la cuenta actual |
Gratuita |
CMK
Las CMK son claves que usted crea y controla por completo. Utilícelas cuando necesite lógica criptográfica personalizada en sus propias aplicaciones, o cuando requiera aportar su propio material de clave y controlar la rotación, la eliminación y las directivas de acceso.
Las CMK admiten tanto claves simétricas como asimétricas. Para obtener más información, consulte Key management types and key specifications.
Subtipos de CMK
Elija un subtipo de CMK según el nivel de protección y la propiedad del material de clave que requiera su caso de uso.
|
**Subtipo de CMK** |
**Cuándo utilizarla** |
**Método de protección** |
**Origen del material de clave** |
**Facturación** |
|
Clave protegida por software |
Casos de uso generales que equilibran costo y seguridad |
Nivel de software: se almacena en una base de datos cifrada dedicada dentro de KMS |
Generada por KMS (predeterminado) o importada mediante Bring Your Own Key (BYOK) |
Requiere una instancia de gestión de claves de software. Admite suscripción y pay-as-you-go. |
|
Clave protegida por hardware |
Escenarios de alto cumplimiento: finanzas, gobierno o cargas de trabajo que requieren estándares GM/T o FIPS |
Protección física a nivel de hardware: la clave se genera y utiliza exclusivamente dentro de un módulo de seguridad de hardware (HSM); el material de clave en texto plano nunca sale del HSM. Los metadatos de la clave se almacenan en la base de datos de KMS y se gestionan mediante una instancia de hardware dedicada. |
Generada por KMS (predeterminado) o importada mediante BYOK |
Requiere una instancia de gestión de claves de hardware y dos instancias de HSM. Admite suscripción y pay-as-you-go. Para conocer los precios de HSM, consulte Cloud Hardware Security Module billing. |
|
Clave externa (XKI) |
Implementaciones híbridas o multinube donde debe conservar el material de clave en su propia infraestructura |
Su gestor de claves externo (EKM) maneja todo el material de clave y las operaciones criptográficas; KMS solo almacena los metadatos de la clave y actúa como proxy de las solicitudes hacia su EKM |
Exclusivamente su EKM |
Requiere una instancia de gestión de claves externas |
Claves predeterminadas
Las claves predeterminadas son creadas automáticamente por KMS u otros servicios de Alibaba Cloud. Son gratuitas y no requieren configuración, lo que las convierte en la opción más sencilla para habilitar el cifrado del lado del servidor en servicios integrados de la nube.
Las claves predeterminadas solo admiten cifrado del lado del servidor para servicios de Alibaba Cloud. No admiten operaciones criptográficas independientes, como llamar a API para cifrar y descifrar.
Las claves migradas desde KMS 1.0 se encuentran en estado de solo lectura y no admiten ninguna operación.
Subtipos de claves predeterminadas
|
**Subtipo de clave predeterminada** |
**Creada por** |
**Acciones disponibles** |
**Unicidad** |
|
CMK predeterminada |
Se crea automáticamente en KMS 3.0 |
Modificar algunas propiedades; importar material de clave externo (BYOK) solo al habilitar la clave por primera vez; no se admite la creación de nuevas claves |
Una por cuenta de Alibaba Cloud por región |
|
Clave de servicio |
Creada y utilizada por un servicio específico de la nube, como OSS o ApsaraDB RDS |
No se pueden modificar las propiedades de la clave; la rotación de claves requiere adquirir un servicio de valor agregado |
Una por cuenta de Alibaba Cloud por servicio de la nube por región |
Las claves predeterminadas solo admiten claves simétricas. Para obtener más información, consulte Key management types and key specifications.
Elegir un tipo de clave
Utilice la siguiente guía para asociar sus requisitos con el tipo de clave adecuado.
|
**Requisito** |
**Tipo de clave recomendado** |
|
Sin configuración ni costos |
Clave predeterminada (clave de servicio o CMK predeterminada) |
|
Control total del ciclo de vida: rotación, eliminación y BYOK |
CMK (clave protegida por software) |
|
Protección respaldada por hardware para cumplimiento (GM/T, FIPS) |
CMK (clave protegida por hardware) |
|
El material de clave debe permanecer en su propia infraestructura |
CMK (clave externa / XKI) |
|
Llamar a API de cifrado/descifrado desde su aplicación |
CMK (cualquier subtipo) |
|
Claves asimétricas para firma y verificación |
CMK (clave protegida por software o por hardware) |
Comparativa de funciones
Integración y compatibilidad con aplicaciones
| Tipo de clave | Subtipo | Cifrado/descifrado de datos (aplicaciones autogestionadas) | Firma/verificación (aplicaciones autogestionadas) | Cifrado del lado del servidor para servicios de Alibaba Cloud |
|---|---|---|---|---|
| Clave predeterminada | CMK predeterminada | No compatible | Compatible | |
| Clave de servicio | Compatible | |||
| CMK | Clave protegida por software | Compatible | Compatible | |
| Clave protegida por hardware | Compatible | |||
| Clave externa (XKI) | Compatible | No compatible | No compatible | |
Para obtener más información, consulte Overview of KMS integration for server-side encryption. Para llamar a KMS desde su propio código, consulte Integrar KMS con aplicaciones autogestionadas y Alibaba Cloud SDKs.
Comparativa de funciones de gestión de claves
Todos los tipos de claves admiten la gestión de identificadores de clave (alias y etiquetas).
| Tipo de clave | Subtipo | Rotación de claves | Programar eliminación de clave | Protección contra eliminación | Importar material de clave externo (BYOK) | Gestión de copias de seguridad |
|---|---|---|---|---|---|---|
| Clave predeterminada | CMK predeterminada | Compatible (requiere un servicio de valor agregado) | Compatible | No compatible | No compatible | |
| Clave de servicio | No compatible | No compatible | No compatible | No compatible | ||
| CMK | Clave protegida por software | Compatible (solo claves simétricas) | Compatible | Compatible | Compatible | |
| Clave protegida por hardware |
|
Compatible | No compatible | |||
| Clave externa (XKI) | No compatible | No compatible | No compatible | |||
Para obtener detalles sobre las operaciones, consulte:
Rotación de claves: Key rotation
Eliminación de claves: Schedule key deletion y Enable deletion protection
Gestión de identificadores de clave: Manage key aliases y Gestión de etiquetas
Importar material de clave externo: Import symmetric key material y Import asymmetric key material
Gestión de copias de seguridad: Gestión de copias de seguridad
Seguridad y rendimiento
Todos los tipos de claves admiten auditorías de seguridad a través de ActionTrail. Para consultar los datos de rendimiento, vea Performance metrics y Use ActionTrail to query management events for Key Management Service.
| Tipo de clave | Subtipo | Rendimiento de cifrado/descifrado simétrico |
|---|---|---|
| Clave predeterminada | CMK predeterminada | 1,000 solicitudes/segundo; no se admiten actualizaciones |
| Clave de servicio | 1,000 solicitudes/segundo; no se admiten actualizaciones | |
| CMK | Clave protegida por software | Gateway compartido: 1,000 solicitudes/segundo; no se admiten actualizaciones. Gateway dedicado: 1,000, 2,000 o 4,000 solicitudes/segundo; se admiten actualizaciones. |
| Clave protegida por hardware | Gateway compartido: 1,000 solicitudes/segundo; no se admiten actualizaciones. Gateway dedicado: 2,000, 4,000, 6,000 u 8,000 solicitudes/segundo; se admiten actualizaciones. | |
| Clave externa (XKI) | 1,000 solicitudes/segundo; no se admiten actualizaciones |
Preguntas frecuentes
¿Qué es BYOK?
BYOK (Bring Your Own Key) es una función que le permite generar material de clave fuera de KMS e importarlo posteriormente. BYOK es una función, no un tipo de clave independiente. La siguiente tabla muestra qué tipos de claves la admiten.
| Tipo de clave | Subtipo | Compatibilidad con BYOK | Detalles |
|---|---|---|---|
| CMK | Clave protegida por software | Sí | Importe el material de clave después de crear la clave. Consulte Import symmetric key material y Import asymmetric key material. |
| Clave protegida por hardware | Mismo proceso de importación que las claves protegidas por software. | ||
| Clave externa (XKI) | No | El material de clave lo gestiona íntegramente su EKM; no se admite la importación a KMS. | |
| Clave predeterminada | CMK predeterminada | Sí | La importación solo está disponible al habilitar la clave por primera vez. |
| Clave de servicio | No | El material de clave lo gestiona el servicio de la nube; no se admite la importación. |
¿Cómo se corresponden los tipos de claves de Alibaba Cloud con los de AWS?
|
**Alibaba Cloud** |
**Amazon Web Services (AWS)** |
|
CMK |
Customer managed keys |
|
Clave de servicio |
AWS managed keys |
Apéndice: Componentes de una clave
Una clave completa consta de tres partes: un identificador de clave, metadatos y material de clave.
Identificador de clave
Es una referencia única que se utiliza en la consola, una API o una directiva. KMS admite tres tipos de identificadores:
ID: Una cadena única que sirve como identificador principal de la clave.
Alibaba Cloud Resource Name (ARN): Incluye el ID de región, el ID de cuenta de Alibaba Cloud y el ID de clave. Formato:
acs:kms:<REGION_ID>:<ALIBABA_CLOUD_ACCOUNT_ID>:key/<KEY_ID>.Alias de clave: Un nombre definido por el usuario que apunta a una clave específica. Formato:
alias/<ALIAS_NAME>.
Metadatos
Información que describe las propiedades de la clave: ID, fecha de creación, estado (habilitada o deshabilitada) y propósito (cifrado/descifrado o firma/verificación).
Material de clave
Son los datos binarios utilizados para las operaciones criptográficas. KMS admite dos orígenes:
Generado por KMS: KMS genera el material de clave internamente.
Externo (BYOK): Genere el material de clave localmente e impórtelo a KMS.