托管密码机是密钥管理服务KMS(Key Management Service)提供的一项重要功能,助您在阿里云上轻松使用具有合规资质的硬件密码机。

硬件密码机是一种执行密码运算、安全生成和存储密钥的硬件设备。通过将密钥托管在这些高安全等级的硬件设备中,可以保护您在阿里云上最敏感的计算任务和资产。

说明 硬件密码机也叫硬件安全模块(Hardware Security Module,简称HSM)。您无需单独购买硬件密码机,只需关注硬件密码机是否能满足您的合规要求。

支持的地域

您可以在下列地域使用托管密码机。
地域密码机检测类型地域标识符
华北2(北京)国密局商用密码检测认证cn-beijing
华北3(张家口)国密局商用密码检测认证cn-zhangjiakou
华东1(杭州)国密局商用密码检测认证cn-hangzhou
华东2(上海)国密局商用密码检测认证cn-shanghai
华南1(深圳)国密局商用密码检测认证cn-shenzhen
中国香港FIPS 140-2 第三级cn-hongkong
新加坡FIPS 140-2 第三级ap-southeast-1
澳大利亚(悉尼)FIPS 140-2 第三级ap-southeast-2
马来西亚(吉隆坡)FIPS 140-2 第三级 ap-southeast-3
印度尼西亚(雅加达)FIPS 140-2 第三级ap-southeast-5
美国(弗吉尼亚)FIPS 140-2 第三级us-east-1

合规

托管密码机帮助您满足严格的合规要求。根据各地区监管机构要求,阿里云提供的多种密码机分别由不同的第三方机构认证,从而适应不同市场的地区性差异,满足您的本地化和国际化需求。

对中国内地的地域:

  • 国密检测认证:阿里云运营的密码机,已通过国家密码管理局指定检测机构的检测认证。
  • 国密合规:阿里云的托管密码机符合国家密码管理局相关技术要求和规范,为阿里云用户提供符合国家和行业标准的商用密码算法。
对中国内地之外的地域:
  • 硬件的FIPS认证:阿里云运营的密码机,包含它们的硬件和固件,已获得FIPS 140-2第三级认证。NIST颁发的证书详情,请参见证书3254
  • FIPS 140-2第三级合规:阿里云的托管密码机运行在FIPS许可的第三级模式下。
  • PCI-DSS合规:阿里云的托管密码机符合PCI-DSS合规的要求。

高安全保证

  • 硬件保护

    托管密码机通过安全的硬件机制来保护KMS中的密钥。用户主密钥的明文密钥材料只会在密码机的内部被处理,用于密码运算,而不会离开密码机硬件的安全边界。

  • 安全的密钥生成

    随机性是密钥强度的关键。通过使用托管密码机,密钥材料的产生基于安全、许可、且以高系统熵值为种子的随机数生成算法,从而保护密钥不被攻击者恢复或者预判。

易运维

阿里云提供密码机硬件的完全托管,免去您自己管理硬件所带来的如下运维开销:
  • 硬件生命周期的管理
  • 密码机集群管理
  • 高可用和可伸缩性管理
  • 系统修补(Patching)
  • 大部分灾备工作

易集成

通过原生的密钥管理能力,您可以从以下功能中受益:
  • 密钥版本管理
  • 自动密钥轮转
  • 资源标签管理
  • 可控制的授权机制

这些功能支持您的应用与托管密码机快速集成,也支持云服务器ECS、关系型数据库RDS等其他云服务与托管密码机集成,实现云上数据静态加密,而您无需为此投入研发成本。

保持对密钥的控制

借助托管密码机,您可以更好地控制云上的加密密钥,将最具敏感性的计算任务和资产移动到云端。

同时使用托管密码机和BYOK (Bring Your Own Key),您可以实现以下功能:

  • 完全控制密钥材料的生成方式
  • 导入到托管HSM的密钥材料只能被销毁而无法被导出
  • 完全控制密钥的生命周期
  • 完全控制密钥的持久性

低成本

相比于通过本地密码机自建密钥基础设施,托管密码机采用云计算“用多少花多少”的计费模式,帮助您免去硬件采购的初始成本,以及后续研发和运维带来的持续性投入。