密钥管理服务KMS（Key Management Service）具有广泛的应用场景，本文为您介绍KMS常见的应用场景。
典型场景
场景 | 用户角色 | 诉求 | 说明 |
首席风险官（CRO） | 保证信息系统的安全与合规。 | 作为首席风险官（CRO），我希望IT系统满足针对信息系统安全保护的要求，包括：
| |
IT系统建设者 | 保证应用系统中敏感数据的安全。 | 作为IT系统建设者，应IT安全部门要求，应用程序需对存储或使用的敏感业务数据和运行数据进行加密保护。通过使用KMS，相比自建密钥管理和加解密设施，可极大地降低实施成本。 | |
服务提供商ISV | 服务需要使用用户的凭据，但是用户不希望凭据内容暴露给服务提供商人员。 | ISV服务运行过程中需要使用用户的凭据信息，但用户不希望敏感的凭据信息暴露给服务提供商。ISV服务可集成KMS，将KMS作为第三方的凭据管理解决方案。 |
信息系统满足安全合规要求
企业或者组织在评估信息系统的安全合规要求时，可能会遇到以下两种情况：
安全规范要求使用密码技术对信息系统进行保护，并且所使用的密码技术、密钥管理设施必须满足特定的技术标准和安全规范。
安全规范并不强制要求使用密码技术，但使用密码技术会对加快满足规范的过程。例如：在打分制的规范中获得更多的得分点。
KMS提供以下方面的能力，帮助企业满足合规要求：
功能 | 说明 | 参考文档 |
密码合规 | KMS支持连接您在阿里云加密服务的密码机实例（HSM）集群实现密钥的管理和密码计算，硬件密钥的密钥材料不会离开您的密码机实例HSM安全边界。KMS支持您通过硬件密钥实现常用密码算法的密钥管理、数据加解密和数字签名等密码计算服务。 说明 阿里云加密服务提供的密码机实例（HSM）满足FIPS 140-3第三级认证的合规性。 | |
凭据管理 | 通过使用凭据管家，轻松满足对RAM AccessKey、RDS账号口令、ECS SSH密钥等凭据的安全管理要求，同时带来高效而可靠的数据泄露应急处理能力。 | |
数据保密性 | 通过KMS对个人隐私进行加密保护，防止个人隐私在攻击场景下泄露，满足数据保护相关法律法规要求。 | |
身份认证和访问控制 | KMS通过接入访问控制（RAM），实现统一的认证和授权管理。KMS实例仅提供VPC地址，同时通过应用接入点（AAP）为您提供便捷的应用级别认证和授权管理。 | |
审计密钥的使用 | KMS将所有的API调用记录存储到操作审计（ActionTrail），操作审计可以对密钥的使用情况进行合规性审计。 KMS实例支持您开启安全审计，将实例服务网关的所有API调用记录存储到您指定的OSS存储空间。 |
敏感数据加密保护
您可以通过数据加密技术，保护云上产生或存储的敏感数据。阿里云支持您通过多种方式实现对敏感数据的加密保护。
加密保护方式 | 诉求 | 说明 | 参考文档 |
应用系统使用KMS对数据直接加密 | 通过加密技术保护应用系统中敏感数据的安全。这些敏感数据加解密QPS不高且数据大小不超过6K。 例如对您的应用配置AK、数据库账密等敏感信息加密。 | 调用KMS的加密API，使用密钥直接加密敏感数据。 | |
应用系统使用KMS对数据进行信封加密 | 通过加密技术保护应用系统中敏感数据的安全。这些敏感数据需要高QPS加解密或者加密数据量过大无法使用直接加密方式。 例如对您的用户的手机号、身份证号等敏感信息加密。 | 使用信封加密技术将密钥存放在KMS中，只部署加密后的数据密钥。仅在需要使用数据密钥时，使用KMS获取数据密钥的明文，用于本地加解密业务数据。 您也可以使用封装了信封加密的加密SDK进行加密保护。 | |
云产品服务端加密 | 为云上的IT设施数据安全的环境提供基础保障。 例如：通过对象存储服务端加密，保护存储敏感数据的OSS桶或通过数据库透明数据加密（TDE），保护存储敏感数据的表。 | 如果您使用阿里云产品来保存数据，您可以使用云产品的服务端加密功能，更有效地对数据进行加密保护。 | |
使用凭据管家 | 为您提供凭据的全生命周期管理和安全便捷的应用接入方式，帮助您规避在代码中硬编码凭据带来的敏感信息泄露风险。 例如：您可以将口令、Token、SSH Key、AK等敏感数据托管到凭据管家，通过安全的接入方式进行管理。 | 将您的敏感信息访问凭据托管到凭据管家，通过应用级别安全访问机制确保敏感信息访问安全。您也可以动态轮转凭据，避免数据泄露风险。 |
ISV服务集成KMS凭据管理方案
用户可在KMS中管理凭据，并授权ISV服务使用凭据，KMS充当了ISV服务和用户中间的第三方安全保护机制，使用户和ISV服务可以各司其职，共同保证系统的安全性。
用户角色 | 说明 | 参考文档 |
用户的管理员 | 在KMS中管理凭据。在访问控制（RAM）中管理凭据使用的权限，通过跨阿里云账号的资源授权等方式，允许ISV服务使用KMS中的指定凭据。 | |
ISV服务 | ISV服务通过集成KMS的API使用用户指定的凭据。 | |
用户的审计员 | 通过操作审计（ActionTrail），对ISV服务每次访问KMS使用密钥的行为进行事后审计。 |