两级密钥结构支撑海量数据和高并发

解决的规模化场景

使用信封加密技术，通过KMS产生两级密钥结构：主密钥加密数据密钥，应用通过JCE、OpenSSL等加密库，使用数据密钥本地加密业务数据，数据密钥的密文和被加密的业务数据一同存储。解密时，首先解密相应数据密钥密文，获得数据密钥明文后本地解密业务数据。

海量数据加密存储OSS

您可以使用OSS客户端加密SDK，用于在上传之前完成对大量数据的加密操作。也可以自行调用KMS实现信封加密。

NoSQL高并发读写加密后的数据

按照空间或者时间化分，在一定范围内（如：每个表或每5秒钟）使用相同的数据密钥加密，并且在内存中缓存数据密钥明文，将其密文存入NoSQL存储。

KMS搭配裸金属服务器构建安全计算环境

神龙裸金属服务器提供安全物理隔离，支持芯片级可信执行环境(Intel® SGX) ，您可以搭建安全计算环境，在KMS和安全计算环境之间，通过信封加密传递数据密钥；使用此数据密钥，在安全计算环境内，对离开边界的敏感业务数据进行加密保护，对进入边界的业务数据密文进行解密。

能够解决

敏感数据不出安全环境

敏感业务数据的明文仅在安全环境中存在，在进入持久化存储之前，已经被KMS保护起来，并且加密的过程并不需要向KMS传递敏感的业务数据。

数据密钥不出安全环境

从KMS获取的数据密钥，被安全计算环境保护，在环境内用于加解密进出边界的持久化数据。数据密钥的密文可以离开安全环境，和被其加密的业务数据一同持久化存储。

服务端集成KMS加密，您只需要配置密钥和权限

云产品集成KMS，使用KMS中的主密钥对云产品的数据进行加密保护。您只需要在云产品的加密配置中，指定所使用的KMS密钥；随后通过RAM配置密钥的使用权限；在ActionTrail中审计云产品调用KMS的操作。

能够解决

通过加密来控制分布式计算存储环境

云上计算和存储环境，是分布式和多租户的。云产品加密将计算和存储行为和KMS绑定起来。例如ECS实例的启动需要解密被加密的云盘。而加密云盘在分布式存储系统的多个冗余拷贝、从云盘自动生成的快照也都被KMS保护起来。

将海量数据的加密负载交给阿里云

如果您产生了海量数据，其数据的加密解密行为，会消耗大量的计算资源，对系统性能和吞吐量产生负面影响。通过云产品的服务端加密，您将加密负载交给了阿里云，而仍然保持对数据加密行为的可控和可见能力。