使用场景

密码合规

KMS通过使用硬件安全模块HSM（Hardware Security Module, HSM）保护密钥的安全，所有的用户密钥都由HSM中的根密钥保护，避免密钥泄露。并且HSM模块满足国家密码管理局认证安全要求。

• 密钥管理概述
• 产品功能

数据保密性

通过KMS对个人隐私进行加密保护，防止个人隐私在攻击场景下泄露，满足数据保护相关法律法规要求。

密钥管理概述

身份认证和访问控制

KMS通过接入访问控制（RAM），实现统一的认证和授权管理。

通过RAM共享DEW资源

审计密钥的使用

KMS将所有的API调用记录存储到云审计服务（CTS），操作审计可以对密钥的使用情况进行合规性审计。

同时，KMS支持通过配置审计（Config）服务的资源合规特性，可以帮助您快速创建一组DEW合规规则，用于评估您的资源是否满足合规要求。

• 使用CTS审计DEW
• 使用Config审计DEW

应用系统使用KMS对数据直接加密

有少量数据需要加解密时，可以通过KMS界面使用在线工具加解密数据，或者调用KMS的API接口使用指定的用户主密钥直接加密、解密数据。当前支持不大于4KB的小数据加解密。

例如：密码、证书、电话号码等。

调用KMS的加密API，使用密钥直接加密敏感数据。

敏感信息加解密（小量数据加解密）

应用系统使用KMS对数据进行信封加密

有大量数据需要加解密时，用户可采用信封加密方式加解密数据，无需通过网络传输大量数据即可完成数据加解密。

例如：照片、视频或者数据库文件等。

采用信封加密技术将密钥存储在KMS中，仅部署加密后的数据密钥。仅在需要使用数据密钥时，通过KMS获取数据密钥的明文，用于本地的业务数据加解密。

您也可以使用封装了信封加密的加密SDK进行加密保护。

• 信封加解密（大量数据加解密）
• 使用加密SDK进行本地文件加解密

云产品服务端加密

为云上的IT设施数据安全的环境提供基础保障。

例如：通过对象存储服务端加密，保护存储敏感数据的OBS桶或通过数据库透明数据加密（TDE），保护存储敏感数据的表。

如果您使用华为云产品来保存数据，您可以使用云产品的服务端加密功能，更有效地对数据进行加密保护。

使用KMS加密的云服务

最佳实践

• 小数据加解密，请参见加解密小数据。
• 大量数据加解密，请参见加解密大量数据。

API示例

• 小数据加解密，请参见加解密小数据。
• 大量数据加解密，请参见加解密大数据。

代码示例

• 小数据加解密，请参见加解密小数据。
• 大量数据加解密，请参见加解密大数据。