密钥管理（KMS）安全最佳实践

安全性是华为云与您的共同责任。华为云负责云服务自身的安全，提供安全的云；作为租户，您需要合理使用云服务提供的安全能力对数据进行保护，安全地使用云。详情请参见责任共担。

本文提供了KMS使用过程中的安全最佳实践，旨在为提高整体安全能力提供可操作的规范性指导。根据该指导文档您可以持续评估KMS的安全状态，提高对KMS的整体安全防御能力，保护存储在KMS的数据不泄露、不被篡改，以及数据在传输过程中不泄露、不被篡改。

本文从以下几个维度给出建议，您可以评估KMS使用情况，并根据业务需要在本指导的基础上进行安全配置。

1. 完善自定义策略相关配置，确保权限管理合规

   如果不限定自定义策略中所配置的密钥资源范围，则拥有该授权的用户可获得所有密钥的加解密权限，无法达到最小化的安全管控要求。建议您配置自定义策略时，使用“选择资源”选项填入仅需授权的密钥Id信息，确保该策略仅对特定密钥生效。

2. 开启密钥轮转，减少密钥泄露风险

   长期使用同一个密钥会增加密钥泄露的风险。建议您开启密钥轮转策略，定期轮换密钥，更改原密钥的密钥材料。

3. 开启操作保护，降低误操作风险

   密钥作为业务重要数据，管理员可通过开启操作保护，当子用户需要删除密钥时，需要操作员或指定人员进行验证，避免误操作带来的风险和损失。