# 使用场景 本章节为您介绍密钥管理（Key Management Service, KMS）的使用场景。 #### 信息系统满足安全合规要求 - 密钥由经过安全认证的第三方硬件安全模块（HSM）生成，符合中国和国际法律合规的要求。 - 硬件加密模块经过国家密码局管理检测认证，具备国密资质。 - 多台加密机同时运作，服务多AZ部署，支持跨region创建用户主密钥副本进行容灾备份。 KMS提供以下能力，帮助企业满足合规要求： 表1合规能力 | 功能 | 说明 | 参考文档 | |:---|:---|:---| | 密码合规 | KMS通过使用硬件安全模块HSM（Hardware Security Module, HSM）保护密钥的安全，所有的用户密钥都由HSM中的根密钥保护，避免密钥泄露。并且HSM模块满足国家密码管理局认证安全要求。 | - [密钥管理概述](https://support.huaweicloud.com/usermanual-dew/dew_01_7775.html) - [产品功能](https://support.huaweicloud.com/productdesc-dew/dew_01_0001.html) | | 数据保密性 | 通过KMS对个人隐私进行加密保护，防止个人隐私在攻击场景下泄露，满足数据保护相关法律法规要求。 | [密钥管理概述](https://support.huaweicloud.com/usermanual-dew/dew_01_7775.html) | | 身份认证和访问控制 | KMS通过接入访问控制（RAM），实现统一的认证和授权管理。 | [通过RAM共享DEW资源](https://support.huaweicloud.com/usermanual-dew/dew_01_0307.html) | | 审计密钥的使用 | KMS将所有的API调用记录存储到云审计服务（CTS），操作审计可以对密钥的使用情况进行合规性审计。 同时，KMS支持通过配置审计（Config）服务的资源合规特性，可以帮助您快速创建一组DEW合规规则，用于评估您的资源是否满足合规要求。 | - [使用CTS审计DEW](https://support.huaweicloud.com/usermanual-dew/dew_01_0019.html) - [使用Config审计DEW](https://support.huaweicloud.com/usermanual-dew/dew_01_2019.html) | #### 敏感数据加密保护 您可以通过数据加密技术，保护云上产生或存储的敏感数据。KMS支持您通过多种方式实现对敏感数据的加密保护。 表2敏感数据加密保护 | 加密保护方式 | 诉求 | 说明 | 参考文档 | |:---|:---|:---|:---| | 应用系统使用KMS对数据直接加密 | 有少量数据需要加解密时，可以通过KMS界面使用在线工具加解密数据，或者调用KMS的API接口使用指定的用户主密钥直接加密、解密数据。当前支持不大于4KB的小数据加解密。 例如：密码、证书、电话号码等。 | 调用KMS的加密API，使用密钥直接加密敏感数据。 | [敏感信息加解密（小量数据加解密）](https://support.huaweicloud.com/bestpractice-dew/dew_06_0001.html) | | 应用系统使用KMS对数据进行信封加密 | 有大量数据需要加解密时，用户可采用信封加密方式加解密数据，无需通过网络传输大量数据即可完成数据加解密。 例如：照片、视频或者数据库文件等。 | 采用信封加密技术将密钥存储在KMS中，仅部署加密后的数据密钥。仅在需要使用数据密钥时，通过KMS获取数据密钥的明文，用于本地的业务数据加解密。 您也可以使用封装了信封加密的加密SDK进行加密保护。 | - [信封加解密（大量数据加解密）](https://support.huaweicloud.com/bestpractice-dew/dew_06_0013.html) - [使用加密SDK进行本地文件加解密](https://support.huaweicloud.com/bestpractice-dew/dew_06_0029.html) | | 云产品服务端加密 | 为云上的IT设施数据安全的环境提供基础保障。 例如：通过对象存储服务端加密，保护存储敏感数据的OBS桶或通过数据库透明数据加密（TDE），保护存储敏感数据的表。 | 如果您使用华为云产品来保存数据，您可以使用云产品的服务端加密功能，更有效地对数据进行加密保护。 | [使用KMS加密的云服务](https://support.huaweicloud.com/bestpractice-dew/dew_06_0002.html) | #### 场景示例 #### 应用自集成KMS 图1应用自集成KMS原理 ![](https://support.huaweicloud.com/productdesc-dew/zh-cn_image_0000002563921273.png "点击放大") - 用户使用KMS密钥管理对业务系统进行数据的加密与解密，需使用集成SDK，具体请参见[SDK概述](https://support.huaweicloud.com/sdkreference-dew/dew_02_0001.html)。 - 用户在业务系统中使用KMS密钥管理时，可灵活调用API实现更多功能，例如[签名数据](https://support.huaweicloud.com/api-dew/Sign.html)、[验证签名](https://support.huaweicloud.com/api-dew/ValidateSignature.html)等。 #### 云服务集成KMS加解密 图2云服务集成KMS原理 ![](https://support.huaweicloud.com/productdesc-dew/zh-cn_image_0000002533121364.png "点击放大") - 用户在使用KMS加解密功能时，无需额外开发，具体操作可参见[使用KMS加密的云服务](https://support.huaweicloud.com/bestpractice-dew/dew_06_0002.html)。 - 针对大量数据的加解密场景，操作可参见[加解密大量数据](https://support.huaweicloud.com/bestpractice-dew/dew_06_0013.html)。 #### 相关链接 | 相关文档 | 文档链接 | |:---|:---| | 最佳实践 | - 小数据加解密，请参见[加解密小数据](https://support.huaweicloud.com/bestpractice-dew/dew_06_0001.html)。 - 大量数据加解密，请参见[加解密大量数据](https://support.huaweicloud.com/bestpractice-dew/dew_06_0013.html)。 | | API示例 | - 小数据加解密，请参见[加解密小数据](https://support.huaweicloud.com/api-dew/dew_02_0317.html)。 - 大量数据加解密，请参见[加解密大数据](https://support.huaweicloud.com/api-dew/dew_02_0318.html)。 | | 代码示例 | - 小数据加解密，请参见[加解密小数据](https://codelabs.developer.huaweicloud.com/codelabs/samples/250def911f06474b9f89710e7e4ce588)。 - 大量数据加解密，请参见[加解密大数据](https://codelabs.developer.huaweicloud.com/codelabs/samples/f61505a5237446f79e67da1bc2a4725e)。 |