Key Management Service (KMS) は、鍵管理、データ暗号化、シークレット管理を実現するエンドツーエンドのプラットフォームです。暗号化インフラストラクチャの調達、運用・保守（O&M）、研究開発（R&D）コストを削減することで、アプリケーションロジックの開発に集中でき、基盤となるセキュリティハードウェアの管理から解放されます。
KMS は、鍵管理とシークレットマネージャーの 2 つのコンポーネントで構成されます。
鍵管理
鍵管理では、アプリケーションおよび Alibaba Cloud サービス全体でデータを保護するための暗号鍵の作成、コントロール、および利用が可能です。
鍵の種類
KMS では、さまざまなセキュリティ要件およびコンプライアンス要件に対応するため、以下の 3 種類の鍵を提供します。
| 鍵の種類 | 保護方式 | 利用シーン | 料金 |
|---|---|---|---|
| デフォルト キー | ソフトウェア | Alibaba Cloud サービスにおけるサーバ側暗号化 | 無料 |
| ソフトウェア保護鍵 | ソフトウェア | アプリケーションレベルの暗号化、サーバ側暗号化 | 有料 |
| ハードウェア保護鍵 | 認証済みハードウェアセキュリティモジュール（HSM） | アプリケーションにおけるデータ暗号化、Alibaba Cloud サービスにおけるサーバ側暗号化、厳格なコンプライアンス要件 | 有料 |
詳細については、「鍵管理の概要」をご参照ください。
主な機能
HSM 対応のコンプライアンス対応
ハードウェア保護鍵は、認証済みハードウェアセキュリティモジュール（HSM）を活用し、厳格なセキュリティおよびコンプライアンス要件を満たします。詳しくは、「ハードウェア保護鍵」をご参照ください。
クラウドネイティブな暗号化
KMS は、幅広い Alibaba Cloud サービスと統合されています。これらのサービスにおけるサーバ側暗号化や、Container Service for Kubernetes (ACK) Pro クラスターにおける保存時シークレット暗号化にご利用いただけます。詳しくは、「KMS と統合可能な Alibaba Cloud サービス」をご参照ください。
SDK および API を介したアクセス
KMS には、以下のようにプログラムによるアクセスが可能です。
Alibaba Cloud SDK — 鍵のライフサイクル管理
KMS Instance SDK — 暗号化、復号、署名および検証などの暗号操作の実行
インフラ規模の管理
Resource Orchestration Service (ROS) または Terraform を使用して、クラウドディスクを搭載した Elastic Compute Service (ECS) インスタンス、Object Storage Service (OSS) バケット、ApsaraDB RDS インスタンス、MaxCompute プロジェクトなどにおけるサーバ側暗号化を自動化できます。詳しくは、「Terraform の概要」をご参照ください。
シークレットマネージャー
シークレットマネージャーでは、シークレットの安全な保存、回転、配布が可能であり、アプリケーション内への認証情報のハードコーディングを不要にします。
主な機能
Alibaba Cloud リソース向けの動的シークレット
KMS は、Resource Access Management (RAM)、ApsaraDB RDS、ECS リソース向けのシークレットを管理します。回転サイクルを設定することで、動的シークレットを利用し、RAM ユーザーの AccessKey ペアや ApsaraDB RDS／ECS リソースのユーザー認証情報が漏洩した場合の影響を軽減できます。詳しくは、「シークレットマネージャーの概要」をご参照ください。
アプリケーション連携の簡素化
アプリケーション内でシークレットを取得するには、以下のいずれかをご利用ください。
インフラ規模の管理
ROS または Terraform を使用して、大規模なシークレット管理および運用オーケストレーションの自動化が可能です。詳しくは、「Terraform の概要」をご参照ください。