Anahtarlar, Key Management Service (KMS) hizmetinin temel bileşenidir. KMS, müşteri anahtarları (CMK) ve varsayılan anahtarlar olmak üzere iki anahtar türünü yönetir; cloud-native API çağrıları aracılığıyla tam yaşam döngüsü yönetimi, güvenli depolama, veri şifreleme ve dijital imzalama işlemlerini kapsar.
Kullanım senaryoları
KMS anahtarları başlıca iki amaçla kullanılır:
Kendi uygulamalarınızda kriptografik işlemler: Uygulamalarınızda doğrudan şifreleme, şifre çözme, dijital imzalama ve imza doğrulama yapmak için KMS OpenAPI veya SDK arayüzlerini kullanın. Ayrıntılar için bkz. KMS'i kendi uygulamalarınızla entegre etme.
Alibaba Cloud hizmetleri için sunucu tarafı şifreleme: Anahtarları, Object Storage Service (OSS), Elastic Block Storage (EBS) ve ApsaraDB RDS gibi KMS destekli hizmetlerle entegre ederek verilerin dinlenme durumundaki şeffaf şifrelemesini etkinleştirin. Ayrıntılar için bkz. Sunucu tarafı şifreleme için KMS entegrasyonuna genel bakış.
Anahtar türleri
KMS, anahtarı kimin yönettiğine ve ne düzeyde kontrol sağladığınıza bağlı olarak iki anahtar türü sunar.
| **Anahtar türü** | **Kullanım senaryoları** | **Alt tür** | **Algoritma** | **Yönetim izinleri** | **Paylaşılabilirlik** | **Maliyet** |
|---|---|---|---|---|---|---|
| CMK | API aracılığıyla kendi uygulamalarınızda kullanım; Alibaba Cloud hizmetleriyle sunucu tarafı şifreleme | Yazılım korumalı anahtar; donanım korumalı anahtar; harici anahtar (XKI) | Simetrik ve asimetrik | Tam yaşam döngüsü kontrolü: oluşturma, etkinleştirme, devre dışı bırakma, döndürme ve silme | Hizmetler ve hesaplar arasında paylaşılabilir | Ücretli |
| Varsayılan anahtar | Alibaba Cloud hizmetleriyle sunucu tarafı şifreleme | Hizmet anahtarı; varsayılan CMK | Yalnızca simetrik | Sınırlı: yalnızca bazı özellikler değiştirilebilir; oluşturma desteklenmez. Ayrıntılar için aşağıdaki Anahtar yönetimi özellik karşılaştırması bölümüne bakın. | Yalnızca mevcut hesapla sınırlı | Ücretsiz |
CMK
CMK'ler, sizin oluşturduğunuz ve tamamen kontrol ettiğiniz anahtarlardır. Kendi uygulamalarınızda özel kriptografik mantık kullanmanız gerektiğinde veya anahtar materyalini kendiniz getirmeniz (BYOK) ve döndürme, silme ile erişim ilkelerini kontrol etmeniz gerektiğinde bu anahtarları kullanın.
CMK'ler hem simetrik hem de asimetrik anahtarları destekler. Ayrıntılar için bkz. Anahtar yönetimi türleri ve anahtar teknik özellikleri.
CMK alt türleri
Kullanım senaryonuzun gerektirdiği koruma düzeyine ve anahtar materyali sahipliğine göre bir CMK alt türü seçin.
| **CMK alt türü** | **Ne zaman kullanılır** | **Koruma yöntemi** | **Anahtar materyali kaynağı** | **Faturalama** |
|---|---|---|---|---|
| Yazılım korumalı anahtar | Maliyet ve güvenliği dengeleyen genel kullanım senaryoları | Yazılım düzeyi: KMS içindeki özel bir şifreli veritabanında saklanır | KMS tarafından oluşturulan (varsayılan) veya Bring Your Own Key (BYOK) yoluyla içe aktarılan | Yazılım anahtar yönetimi örneği gerektirir. Abonelik ve kullandıkça öde modellerini destekler. |
| Donanım korumalı anahtar | Yüksek uyumluluk gerektiren senaryolar: finans, devlet veya GM/T ya da FIPS standartlarına tabi iş yükleri | Donanım düzeyinde fiziksel koruma: Anahtar yalnızca bir Donanım Güvenlik Modülü (HSM) içinde oluşturulur ve kullanılır; düz metin anahtar materyali HSM'den asla çıkmaz. Anahtar meta verileri KMS veritabanında saklanır ve özel bir donanım örneği üzerinden yönetilir. | KMS tarafından oluşturulan (varsayılan) veya BYOK yoluyla içe aktarılan | Donanım anahtar yönetimi örneği ve iki HSM örneği gerektirir. Abonelik ve kullandıkça öde modellerini destekler. HSM fiyatlandırması için bkz. Cloud Hardware Security Module faturalandırması. |
| Harici anahtar (XKI) | Anahtar materyalini kendi altyapınızda tutmanız gereken hibrit veya çoklu cloud dağıtımları | Tüm anahtar materyali ve kriptografik işlemler harici anahtar yöneticiniz (EKM) tarafından yapılır; KMS yalnızca anahtar meta verilerini saklar ve istekleri EKM'nize proxy eder | Yalnızca EKM | Harici anahtar yönetimi örneği gerektirir |
Varsayılan anahtarlar
Varsayılan anahtarlar, KMS veya diğer Alibaba Cloud hizmetleri tarafından otomatik olarak oluşturulur. Ücretsizdirler ve kurulum gerektirmezler; bu nedenle entegre cloud hizmetlerinde sunucu tarafı şifrelemeyi etkinleştirmek için en az efor gerektiren seçenektir.
Varsayılan anahtarlar yalnızca Alibaba Cloud hizmetleri için sunucu tarafı şifrelemeyi destekler. Şifreleme ve şifre çözme için API çağrıları gibi bağımsız kriptografik işlemleri desteklemezler.
KMS 1.0'dan geçişi yapılan anahtarlar salt okunur durumdadır ve herhangi bir işlemi desteklemez.
Varsayılan anahtar alt türleri
| **Varsayılan anahtar alt türü** | **Oluşturan** | **Yapabilecekleriniz** | **Benzersizlik** |
|---|---|---|---|
| Varsayılan CMK | KMS 3.0'da otomatik olarak oluşturulur | Bazı özellikleri değiştirin; anahtarı ilk kez etkinleştirirken harici anahtar materyalini (BYOK) içe aktarın; yeni anahtar oluşturma desteklenmez | Bölge başına Alibaba Cloud hesabı başına bir adet |
| Hizmet anahtarı | OSS veya ApsaraDB RDS gibi belirli bir cloud hizmeti tarafından oluşturulur ve kullanılır | Anahtar özellikleri değiştirilemez; anahtar döndürme için ek bir hizmet satın alınmalıdır | Bölge başına cloud hizmeti başına Alibaba Cloud hesabı başına bir adet |
Varsayılan anahtarlar yalnızca simetrik anahtarları destekler. Ayrıntılar için bkz. Anahtar yönetimi türleri ve anahtar teknik özellikleri.
Bir anahtar türü seçin
Gereksinimlerinize uygun anahtar türünü belirlemek için aşağıdaki tabloyu kullanın.
| **Gereksinim** | **Önerilen anahtar türü** |
|---|---|
| Kurulum veya maliyet gerektirmeyen çözüm | Varsayılan anahtar (hizmet anahtarı veya varsayılan CMK) |
| Tam yaşam döngüsü kontrolü: döndürme, silme ve BYOK | CMK (yazılım korumalı anahtar) |
| Uyumluluk için donanım destekli koruma (GM/T, FIPS) | CMK (donanım korumalı anahtar) |
| Anahtar materyalinin kendi altyapınızda kalması gerekir | CMK (harici anahtar / XKI) |
| Uygulamanızdan şifreleme/şifre çözme API'lerini çağırma | CMK (herhangi bir alt tür) |
| İmzalama ve doğrulama için asimetrik anahtarlar | CMK (yazılım korumalı veya donanım korumalı anahtar) |
Özellik karşılaştırması
Entegrasyon ve uygulama desteği
| Anahtar türü | Alt tür | Veri şifreleme/şifre çözme (kendi uygulamalarınız) | İmzalama/doğrulama (kendi uygulamalarınız) | Alibaba Cloud hizmetleri için sunucu tarafı şifreleme |
|---|---|---|---|---|
| Varsayılan anahtar | Varsayılan CMK | Desteklenmez | Desteklenir | |
| Hizmet anahtarı | Desteklenir | |||
| CMK | Yazılım korumalı anahtar | Desteklenir | Desteklenir | |
| Donanım korumalı anahtar | Desteklenir | |||
| Harici anahtar (XKI) | Desteklenir | Desteklenmez | Desteklenmez | |
Ayrıntılar için bkz. Sunucu tarafı şifreleme için KMS entegrasyonuna genel bakış. KMS'i kendi kodunuzdan çağırmak için bkz. KMS'i kendi uygulamalarınızla entegre etme ve Alibaba Cloud SDK'ları.
Anahtar yönetimi özellik karşılaştırması
Tüm anahtar türleri anahtar tanımlayıcı yönetimini (takma adlar ve etiketler) destekler.
| Anahtar türü | Alt tür | Anahtar döndürme | Anahtar silmeyi zamanla | Silme koruması | Harici anahtar materyalini içe aktarma (BYOK) | Yedekleme yönetimi |
|---|---|---|---|---|---|---|
| Varsayılan anahtar | Varsayılan CMK | Desteklenir (ek hizmet gerektirir) | Desteklenir | Desteklenmez | Desteklenmez | |
| Hizmet anahtarı | Desteklenmez | Desteklenmez | Desteklenmez | Desteklenmez | ||
| CMK | Yazılım korumalı anahtar | Desteklenir (yalnızca simetrik anahtarlar) | Desteklenir | Desteklenir | Desteklenir | |
| Donanım korumalı anahtar |
|
Desteklenir | Desteklenmez | |||
| Harici anahtar (XKI) | Desteklenmez | Desteklenmez | Desteklenmez | |||
İşlem ayrıntıları için bkz.:
Anahtar döndürme: Anahtar döndürme
Anahtar silme: Anahtar silmeyi zamanla ve Silme korumasını etkinleştir
Anahtar tanımlayıcı yönetimi: Anahtar takma adlarını yönet ve Etiket yönetimi
Harici anahtar materyalini içe aktarma: Simetrik anahtar materyalini içe aktar ve Asimetrik anahtar materyalini içe aktar
Yedekleme yönetimi: Yedekleme yönetimi
Güvenlik ve performans
Tüm anahtar türleri ActionTrail aracılığıyla güvenlik denetimini destekler. Performans verileri için bkz. Performans ölçümleri ve ActionTrail kullanarak Key Management Service için yönetim olaylarını sorgula.
| Anahtar türü | Alt tür | Simetrik şifreleme/şifre çözme performansı |
|---|---|---|
| Varsayılan anahtar | Varsayılan CMK | Saniyede 1.000 istek; yükseltme desteklenmez |
| Hizmet anahtarı | Saniyede 1.000 istek; yükseltme desteklenmez | |
| CMK | Yazılım korumalı anahtar | Paylaşılan ağ geçidi: Saniyede 1.000 istek; yükseltme desteklenmez. Özel ağ geçidi: Saniyede 1.000, 2.000 veya 4.000 istek; yükseltme desteklenir. |
| Donanım korumalı anahtar | Paylaşılan ağ geçidi: Saniyede 1.000 istek; yükseltme desteklenmez. Özel ağ geçidi: Saniyede 2.000, 4.000, 6.000 veya 8.000 istek; yükseltme desteklenir. | |
| Harici anahtar (XKI) | Saniyede 1.000 istek; yükseltme desteklenmez |
SSS
BYOK nedir?
BYOK (Bring Your Own Key), anahtar materyalini KMS dışında oluşturmanıza ve içe aktarmanıza olanak tanıyan bir özelliktir. BYOK bağımsız bir anahtar türü değil, bir özelliktir. Aşağıdaki tabloda hangi anahtar türlerinin bunu desteklediği gösterilmektedir.
| Anahtar türü | Alt tür | BYOK desteği | Ayrıntılar |
|---|---|---|---|
| CMK | Yazılım korumalı anahtar | Evet | Anahtarı oluşturduktan sonra anahtar materyalini içe aktarın. Bkz. Simetrik anahtar materyalini içe aktar ve Asimetrik anahtar materyalini içe aktar. |
| Donanım korumalı anahtar | Yazılım korumalı anahtarlarla aynı içe aktarma süreci. | ||
| Harici anahtar (XKI) | Hayır | Anahtar materyali tamamen EKM tarafından yönetilir; KMS'e içe aktarma desteklenmez. | |
| Varsayılan anahtar | Varsayılan CMK | Evet | İçe aktarma yalnızca anahtarı ilk kez etkinleştirirken kullanılabilir. |
| Hizmet anahtarı | Hayır | Anahtar materyali cloud hizmeti tarafından yönetilir; içe aktarma desteklenmez. |
Alibaba Cloud anahtar türleri AWS anahtar türleriyle nasıl eşleşir?
| **Alibaba Cloud** | **Amazon Web Services (AWS)** |
|---|---|
| CMK | Müşteri tarafından yönetilen anahtarlar |
| Hizmet anahtarı | AWS tarafından yönetilen anahtarlar |
Ek: Bir anahtarın bileşenleri
Tam bir anahtar üç bölümden oluşur: anahtar tanımlayıcı, meta veri ve anahtar materyali.
Anahtar tanımlayıcı
Konsolda, API'de veya bir ilke içinde kullanılan benzersiz bir referanstır. KMS üç tanımlayıcı türünü destekler:
ID: Anahtarın birincil tanımlayıcısı olarak hizmet veren benzersiz bir dizedir.
Alibaba Cloud Resource Name (ARN): Bölge ID'sini, Alibaba Cloud hesap ID'sini ve anahtar ID'sini içerir. Biçim:
acs:kms:<REGION_ID>:<ALIBABA_CLOUD_ACCOUNT_ID>:key/<KEY_ID>.Anahtar takma adı: Belirli bir anahtarı işaret eden kullanıcı tanımlı bir addır. Biçim:
alias/<ALIAS_NAME>.
Meta veri
Anahtarın özelliklerini açıklayan bilgiler: ID, oluşturma tarihi, durum (etkin veya devre dışı) ve amaç (şifreleme/şifre çözme veya imzalama/doğrulama).
Anahtar materyali
Kriptografik işlemler için kullanılan ikili verilerdir. KMS iki kaynağı destekler:
KMS tarafından oluşturulan: KMS anahtar materyalini dahili olarak oluşturur.
Harici (BYOK): Anahtar materyalini yerel olarak oluşturun ve KMS'e içe aktarın.