密钥管理服务（KMS）的重要性

随着《网络安全等级保护》、《网络安全法》等各种安全法律法规的发布执行以及个人、企业的安全意识逐渐增强。人们采用加密的方式进行数据存储及传输，避免个人隐私数据、企业重要数据信息被监听、泄露、篡改、丢失等风险。密钥是打开网络世界的钥匙，因此加解密使用的密钥必须妥善管理，如果密钥泄露则数据被解密，如果密钥丢失则无法被使用者解密。密钥管理服务的意义在于把管理各种数据信息的复杂问题简化成加解密数据的密钥管理。密钥管理服务可以帮助您轻松创建和管理密钥，保护密钥的保密性、完整性和可用性，满足多应用多业务的密钥管理需求，并符合监管和合规要求。极大的降低在密码基础设施和数据加解密产品上的采购、运维、研发开销，帮助您更好的关注业务的发展。

青云KMS方案介绍

QingCloud密钥管理服务（KMS）是一项托管服务，可助您轻松创建和管理密钥，满足审计、法规、合规性需求。实现用户可控的数据安全加密，避免数据安全事故的发生。您可以通过控制台以及API两种方式创建和管理用户主密钥（CMK）。默认开启密钥轮转功能，加强密钥使用的安全性，实现数据保护的安全策略和最佳实践。

日前，青云QingCloud密钥管理服务（KMS）已上线，点击以下链接即可访问（https://console.qingcloud.com/pek3/kms/）。

创建密钥

1、在 QingCloud 控制台，点击安全–>密钥管理服务，进入密钥管理服务页面。

2、点击创建，弹出创建用户CMK窗口。

3、填写相应的参数信息，然后点击提交。

（1）名称：用户密钥的名称。

（2）密钥别名：用户密钥的别名。对密钥的使用， 您既可以使用密钥ID，也可以使用密钥别名。

（3）密钥类型：对称加密。

（4）加密算法：SYMMETRIC_DEFAULT

（5）密钥轮转：是否打开密钥自动轮换功能。默认每年轮转一次。选项：开启，关闭。

（6）描述：用户密钥的描述信息。

云服务器加载密钥

您可以在创建云服务器时选择密钥。目前仅云服务器类型为企业级e2时支持加密功能。

备份制作镜像加载密钥

您可以在备份制作镜像时加载密钥。

1、在 QingCloud 控制台，点击存储–>备份，进入备份页面。

2、右键点击要创建镜像的备份，然后点击制作成新镜像，进入根据云服务器备份制作镜像页面。

3、输入镜像名称并选择是否加密，然后点击制作成新镜像。

SSD企业级硬盘加载密钥

您可以在创建SSD企业级硬盘时加载密钥。

青云KMS适用对象

1、等保测评：通过采用密码技术保证重要数据在传输、存储过程中的保密性，包括但不限于鉴别数据、重要业务数据和重要个人信息。满足等保数据保密性要求。

2、云计算数据安全：云服务用户通过使用密钥管理服务（KMS），实现自行对敏感、核心数据的加解密过程。实现用户可控的数据安全加密，避免数据安全事故的发生。

3、开发者：满足Kubernetes集群 Secret落盘加密、信封加解密本地数据、在线加解密 SSL私钥、敏感配置文件等需求。

青云KMS应用场景

1、云产品（云硬盘）加密

随着云计算、云存储的广泛应用，越来越多的企业将重要核心数据存储在云端，云产品的加密管理刻不容缓。青云KMS与大多数用于加密数据的其他青云的云服务集成。您通过使用在KMS中管理的密钥，云产品可以加密任何归属于您的数据。这些数据既可以是您可以直接访问的数据，也可以是您无法直接访问的云产品内部数据（例如数据库引擎产生的文件）。从而达到增加云上数据的安全和隐私目的。

2、信封加密

信封加密是类似数字信封技术的一种加密手段。这种技术将加密数据的数据密钥封入信封中存储、传递和使用，不再使用主密钥直接加解密数据。当您的业务需要使用信封加密时，您可以调用KMS的API生成一个对称密钥，同时使用指定的用户主密钥加密该对称密钥（被密封的信封保护）。在传输或存储等非安全的通信过程中，直接传递被信封保护的对称密钥。当您需要使用该对称密钥时，打开信封取出密钥即可。

3、密钥轮转

多次重复的使用加密密钥，会增加加密密钥的安全风险。密钥轮转是用来加强密钥使用的安全性，实现数据保护的安全策略和最佳实践。开启密钥轮换后，密钥管理服务会根据设置的轮换周期（默认一年）自动轮换密钥，每次轮换都会生成一个新版本的用户主密钥。加密数据时，KMS会自动使用当前最新版本的用户主密钥来执行加密操作；解密数据时，KMS会自动使用加密时所使用的用户主密钥来执行解密操作。KMS会保留与该用户主密钥关联的所有版本的用户主密钥。这使得KMS可以解密使用该用户主密钥加密的任何密文。

青云KMS功能介绍

功能架构图

主要功能如下：

1、密钥管理：您可以按需创建多个用户主密钥CMK。KMS CMK满足审计、法规和合规性需求的情况。支持对密钥进行修改、禁用、启用、计划删除等操作。默认开启密钥轮转功能，加强密钥使用的安全性，实现数据保护的安全策略和最佳实践。

2、密钥加密存储：密钥常用于保护特定的数据，因此数据的安全依赖于密钥的安全。支持对用户主密钥CMK多重加密存储，保障CMK不泄露。

3、密钥操作API：您可以通过API的方式进行用户主密钥CMK创建、数据密钥创建、在线加解密、密钥轮转等操作。

更多信息详见：https://docsv3.qingcloud.com/security/key_management_service/