Key Management Service (KMS) adalah layanan enkripsi berbasis cloud yang, bersama dengan Cloud Hardware Security Module (HSM), membantu Anda mengelola kunci, melindungi rahasia, dan memenuhi persyaratan keamanan data.
Ikhtisar
Key Management Service (KMS) menyediakan manajemen kunci dan rahasia yang aman serta sesuai regulasi sebagai solusi SaaS. Layanan ini mendukung enkripsi sisi server untuk produk cloud dan menawarkan layanan kriptografi yang mematuhi standar nasional Tiongkok. KMS juga menyimpan data sensitif sebagai rahasia, menghilangkan kredensial yang di-hardcode, serta mengurangi risiko kebocoran data. Dengan menggunakan KMS, Anda terbebas dari beban membangun dan memelihara infrastruktur kriptografi sendiri.
Cloud Hardware Security Module (HSM) adalah solusi IaaS yang menyediakan enkripsi dan dekripsi berbasis cloud melalui modul keamanan perangkat keras. Layanan ini memenuhi persyaratan kepatuhan di Tiongkok daratan serta standar internasional seperti FIPS 140-3.
Skenario
Key Management Service (KMS)
Enkripsi dan lindungi data sensitif
Alibaba Cloud menyediakan berbagai metode enkripsi untuk melindungi data sensitif yang dihasilkan atau disimpan di cloud.
Penuhi persyaratan kepatuhan keamanan untuk sistem informasi
Perusahaan atau organisasi yang mengevaluasi kepatuhan sistem informasi umumnya menghadapi dua situasi:
Regulasi mewajibkan penggunaan kriptografi untuk sistem informasi. Teknik kriptografi dan sistem manajemen kuncinya harus memenuhi standar teknis dan regulasi keamanan tertentu.
Regulasi tidak mewajibkan kriptografi, tetapi penggunaannya mempercepat kepatuhan—misalnya, dengan memperoleh lebih banyak poin dalam evaluasi berbasis skor.
Integrasikan rahasia KMS dengan layanan ISV
Pengguna mengelola rahasia di KMS dan memberi otorisasi kepada layanan ISV untuk mengaksesnya. KMS bertindak sebagai perantara keamanan, memungkinkan kedua pihak mempertahankan perannya masing-masing sekaligus menjamin keamanan sistem.
Cloud Hardware Security Module (HSM)
Migrasikan beban kerja HSM on-premises ke cloud
Saat memindahkan beban kerja HSM dari pusat data ke Elastic Compute Service (ECS), gantilah perangkat keras on-premises dengan Cloud HSM untuk enkripsi, dekripsi, penandatanganan, dan verifikasi signature guna melindungi data cloud Anda.
Sediakan enkripsi dan dekripsi yang sesuai regulasi untuk aplikasi enkripsi
Misalnya, Anda dapat menggunakan Cloud HSM bersama Alibaba Cloud Dedicated KMS untuk mengenkripsi dan mendekripsi data aplikasi sensitif, dengan aplikasi enkripsi database untuk mengenkripsi dan mendekripsi data database, serta dengan aplikasi enkripsi file untuk mengenkripsi dan mendekripsi penyimpanan file.
SSL offloading untuk situs web HTTPS
GVSM di Tiongkok daratan mendukung SSL offloading, mengurangi beban CPU server, dan meningkatkan waktu respons klien. Cloud HSM juga menghasilkan kunci privat sertifikat, memperkuat perlindungan kunci privat, serta mencegah kebocoran kunci privat dari server.
Lindungi kunci privat sertifikat
Untuk sertifikat digital yang dikeluarkan oleh otoritas sertifikasi (CA), Anda dapat menyimpan kunci privat sertifikat di HSM dan menggunakan HSM untuk operasi penandatanganan guna melindungi kunci privat sertifikat Anda.
Integrasi Oracle TDE
Cloud HSM terintegrasi dengan database Oracle untuk menyediakan Transparent Data Encryption (TDE). TDE menyimpan kunci enkripsi di HSM di luar database dan menggunakan kunci tersebut untuk mengenkripsi data sensitif dalam file database, sehingga menjamin keamanan data sensitif.
Enkripsi data sensitif
Di sektor layanan publik, e-commerce, dan keuangan, Anda dapat mengintegrasikan Cloud HSM dengan aplikasi Anda untuk mengenkripsi atau menyimpan data pengguna sensitif guna memenuhi persyaratan keamanan dan kepatuhan.
Fitur
Key Management Service (KMS)
Kelola dan gunakan kunci
Manajemen siklus hidup kunci: Mengelola kunci sepanjang siklus hidupnya—pembuatan, penyimpanan, distribusi, penggunaan, dan penghancuran.
Rotasi kunci: Mendukung rotasi kunci otomatis dan manual.
Bring Your Own Key (BYOK): Impor bahan kunci Anda sendiri untuk kontrol lebih besar atas keamanan data.
Operasi kriptografi: Mendukung kunci simetris dan asimetris untuk enkripsi, dekripsi, penandatanganan, dan verifikasi.
Kelola dan gunakan rahasia
Manajemen siklus hidup rahasia: Mengelola rahasia sepanjang siklus hidupnya—pembuatan, penyimpanan, distribusi, penggunaan, dan penghancuran.
Gunakan rahasia: Ambil rahasia dari KMS alih-alih menyematkan data sensitif secara hard-coded di aplikasi.
Berbagi sumber daya multi-akun: Pemilik instans KMS (pemilik resource) dapat berbagi instans dengan akun Alibaba Cloud lain (principal). Principal dapat membuat kunci dan rahasia, menggunakan kunci untuk enkripsi sisi server atau enkripsi data di aplikasi yang dikelola sendiri, serta menyimpan rahasia untuk menghilangkan kredensial yang di-hardcode.
Manajemen backup: Backup data KMS setelah membeli kuota backup. Backup lintas wilayah ke instans KMS lain juga didukung.
Kontrol akses: Menyediakan fitur kontrol akses dan audit untuk kunci guna memastikan hanya pengguna dan sistem yang berwenang yang dapat mengaksesnya.
Pencatatan log: Mencatat log akses kunci dan rahasia untuk audit dan pemantauan.
Cloud Hardware Security Module (HSM)
HSM virtual bersama dan HSM spesifikasi khusus: Semua HSM memenuhi Undang-Undang Kriptografi Tiongkok dan standar internasional seperti FIPS 140-3. Usaha kecil dan menengah atau skenario berkinerja-menengah dapat memilih HSM virtual bersama. Perusahaan besar, lembaga keuangan, atau skenario berkeamanan tinggi dan berkinerja-tinggi dapat memilih HSM spesifikasi khusus.
Manajemen kunci: Izin manajemen perangkat dan kunci dipisahkan. Alibaba Cloud mengelola ketersediaan dan aktivasi HSM; pelanggan mengelola semua kunci. Alibaba Cloud tidak dapat mengakses kunci pelanggan.
Enkripsi dan dekripsi: Gunakan API vendor HSM untuk enkripsi, dekripsi, penandatanganan, dan validasi.
Backup dan pemulihan data: Pulihkan data instans HSM untuk memulihkan diri dari operasi yang tidak disengaja atau replikasi data ke instans lain.
Audit keamanan: Log operasional HSM secara otomatis disimpan ke Object Storage Service (OSS) dalam format audit untuk kepatuhan.