Key Management Service (KMS) menawarkan keunggulan signifikan dibandingkan infrastruktur manajemen kunci (KMI) tradisional, seperti integrasi dengan berbagai layanan, kemudahan penggunaan, keandalan tinggi, dan efisiensi biaya. Dengan KMS, Anda dapat fokus pada pengembangan aplikasi tanpa harus menghadapi kompleksitas manajemen kunci kriptografi.
Integrasi dengan berbagai layanan
Autentikasi dan kontrol akses
KMS mengautentikasi setiap permintaan melalui mekanisme otentikasi identitas seperti Pasangan Kunci Akses (AccessKey pairs). KMS juga terintegrasi dengan Resource Access Management (RAM), memungkinkan Anda mengonfigurasi kebijakan berbasis identitas maupun berbasis resource untuk berbagai skenario otorisasi. KMS hanya menerima permintaan dari pengguna yang sah dan telah lolos pemeriksaan izin dinamis dari RAM. Untuk informasi lebih lanjut, lihat Kontrol akses.
Audit penggunaan kunci
KMS terintegrasi dengan ActionTrail dan Simple Log Service (SLS), sehingga memberikan visibilitas terhadap aktivitas KMS terbaru. Anda juga dapat menyimpan informasi penggunaan KMS di layanan Alibaba Cloud lainnya, seperti Object Storage Service (OSS), untuk memenuhi kebutuhan audit jangka panjang. Untuk informasi lebih lanjut, lihat Gunakan ActionTrail untuk mengkueri log event KMS dan Ikhtisar Simple Log Service untuk KMS.
Enkripsi data untuk layanan terintegrasi
KMS terintegrasi dengan berbagai layanan Alibaba Cloud, termasuk Elastic Compute Service (ECS), ApsaraDB RDS, dan OSS. Anda dapat menggunakan kunci yang disimpan di KMS untuk mengenkripsi dan mengontrol data di seluruh layanan tersebut secara efisien—cukup kelola kunci Anda sendiri tanpa perlu menjalankan operasi enkripsi yang kompleks. KMS juga melindungi data native dari layanan-layanan terintegrasi tersebut. Untuk informasi lebih lanjut, lihat Memahami integrasi KMS dan Layanan Alibaba Cloud yang kompatibel dengan KMS.
Kemudahan penggunaan
-
Rotasi kunci otomatis: KMS menyediakan rotasi kunci otomatis sehingga Anda tidak perlu memperbarui kunci secara manual, meningkatkan keamanan sekaligus mengurangi beban manajemen.
-
Implementasi sederhana: KMS menyediakan operasi API kriptografi yang memungkinkan Anda mengenkripsi dan mendekripsi data dengan mudah, tanpa harus berurusan dengan primitif kriptografi yang rumit dan abstrak.
-
Akses lintas-Virtual Private Cloud (VPC): KMS memungkinkan Anda mengaitkan beberapa VPC dengan satu instans KMS, sehingga pengguna dapat melakukan enkripsi dan dekripsi data lintas VPC.
-
Bring Your Own Key (BYOK): KMS mendukung fitur BYOK. Anda dapat mengimpor kunci dari sistem eksternal seperti KMI on-premises, lalu menggunakan kunci tersebut untuk mengenkripsi data di layanan Alibaba Cloud atau di aplikasi dan sistem yang Anda kelola sendiri.
KMS menggunakan algoritma pertukaran kunci yang aman dan sesuai standar untuk memastikan operator atau pihak ketiga tidak dapat melihat kunci dalam bentuk teks biasa.
Keandalan, ketersediaan, dan skalabilitas tinggi
Keandalan tinggi
-
Penerapan multi-zona: KMS mendukung penerapan multi-zona untuk membantu mencegah titik kegagalan tunggal (SPOFs).
-
Backup berkala: KMS secara rutin mencadangkan kunci, rahasia, dan data terkait guna memastikan pemulihan cepat saat terjadi gangguan.
Ketersediaan tinggi
-
Komputasi kriptografi redundan: KMS menyediakan kemampuan komputasi kriptografi redundan di beberapa zona dengan load balancing, mencapai Recovery Time Objective (RTO) dalam hitungan menit.
-
Penerapan aktif-aktif dua zona: Instans KMS menggunakan penerapan dua zona dengan instans komputasi aktif-aktif antar zona, memastikan pemanfaatan sumber daya optimal dan ketersediaan layanan tinggi. Baik layanan Alibaba Cloud maupun aplikasi yang Anda kelola sendiri dapat mengirimkan permintaan ke KMS dengan latensi rendah.
-
Throughput tinggi: Instans KMS mendukung spesifikasi permintaan per detik (QPS) sebesar 2.000 dan 4.000. Bahkan di bawah volume permintaan konkuren yang besar, instans KMS tetap dapat memberikan layanan.
Skalabilitas
Anda dapat meningkatkan spesifikasi instans KMS sesuai kebutuhan bisnis Anda.
Contoh arsitektur
Pada contoh penerapan dua zona berikut, aplikasi layanan Anda diterapkan di VPC_1 dan VPC_2. Instans KMS Anda diterapkan di VPC_1 dan dikaitkan dengan VPC_2. Gambar berikut menunjukkan arsitektur KMS.
Keamanan dan kepatuhan
KMS memberikan perlindungan tingkat tinggi bagi kunci Anda. Desain keamanan yang ketat dan proses verifikasi yang cermat diterapkan selama pengembangan KMS.
-
Instans eksklusif: Kunci dikelola oleh instans eksklusif Anda dan tidak dibagikan dengan penyewa lain, sehingga meningkatkan keamanan data.
-
Transmisi terenkripsi: KMS hanya menyediakan saluran aman berbasis TLS untuk akses dan hanya menggunakan paket sandi yang aman untuk transmisi data. KMS mematuhi standar keamanan seperti Standar Keamanan Data Industri Kartu Pembayaran (PCI DSS).
-
Fasilitas kriptografi bersertifikasi: KMS mendukung fasilitas kriptografi yang telah diverifikasi dan disertifikasi oleh regulator.Perangkat kriptografi yang disediakan oleh CloudHSM telah memperoleh sertifikasi FIPS 140-2 Level 3. Cloud Hardware Security Module dari Alibaba Cloud menawarkan modul keamanan perangkat keras (HSMs) yang memenuhi Federal Information Processing Standard (FIPS) Publication 140-2 Level 3. Anda dapat mengintegrasikan KMS dengan Cloud Hardware Security Module dari Alibaba Cloud untuk menggunakan kluster HSM yang diterapkan di Cloud Hardware Security Module guna mengelola kunci dan menjalankan operasi kriptografi. Untuk informasi lebih lanjut tentang Cloud Hardware Security Module, lihat Apa itu Layanan Enkripsi Data?
Efisiensi biaya
-
Tidak perlu investasi perangkat keras: Anda tidak perlu membeli, mengoperasikan, memperbaiki, atau mengganti perangkat kriptografi berbasis perangkat keras.
-
Tidak perlu penerapan kluster HSM: Anda tidak perlu menerapkan kluster HSM yang sangat tersedia dan andal atau membayar biaya R&D dan maintenance untuk KMI yang Anda kelola sendiri.
-
Enkripsi data yang disederhanakan: KMS terintegrasi dengan layanan Alibaba Cloud lainnya, sehingga menghilangkan beban R&D dalam membangun sistem enkripsi data. Anda hanya perlu mengelola kunci Anda untuk mencapai enkripsi data yang terkontrol di cloud.