KMS fornisce principalmente due componenti aziendali: gestione delle chiavi e gestione delle credenziali.

Gestione delle chiavi

Gestione delle credenziali

concetto illustrare Servizio chiavi Key Service fornisce servizi di elaborazione crittografica come archiviazione sicura e gestione del ciclo di vita delle chiavi, crittografia e decrittografia dei dati tramite chiavi, firme digitali e verifica della firma. Per ulteriori informazioni sui servizi chiave, vedere Panoramica dei servizi chiave. Modulo di sicurezza hardware HSM (Modulo di sicurezza hardware) Un modulo di sicurezza hardware è un dispositivo hardware che esegue operazioni crittografiche, genera e archivia in modo sicuro le chiavi. La macchina crittografica è il modulo di sicurezza hardware più comunemente utilizzato nella realizzazione di sistemi IT. KMS supporta l'integrazione del cluster della tua macchina crittografica nel servizio di crittografia Alibaba Cloud, fornendo una garanzia di livello di sicurezza e conformità più elevata per le tue chiavi ospitate in KMS e soddisfacendo i requisiti di test e certificazione delle agenzie di regolamentazione. CMK (chiave principale del cliente) CMK (Customer Master Key) si riferisce alla chiave creata da te e ospitata in KMS, denominata in breve "Master Key". La chiave principale è costituita dall'ID della chiave, dai metadati di base e dal materiale della chiave. Chiave di servizio La chiave viene creata dal servizio cloud per tuo conto e ospitata nel KMS e viene utilizzata per impostazione predefinita durante la crittografia lato server del prodotto cloud. Gestione delle chiavi predefinita La gestione delle chiavi predefinita è un tipo di gestione delle chiavi fornita da KMS. Le chiavi predefinite possono essere integrate solo con prodotti cloud per la crittografia lato server, tra cui: Chiave del servizio: una chiave creata e ospitata dal servizio cloud per tuo conto per la crittografia lato server. Chiave principale: crei e gestisci il ciclo di vita della chiave principale in modo indipendente. È possibile crearne solo una in ciascuna regione. Il materiale della chiave può essere generato da KMS o importato da te. Per la chiave predefinita, KMS supporta solo l'utilizzo dell'algoritmo di crittografia simmetrica AES_256. Gestione delle chiavi software La gestione delle chiavi software è un tipo di gestione delle chiavi fornita da KMS. La chiave software contiene solo la chiave master creata dall'utente e gestisce il ciclo di vita della chiave in modo indipendente. Può essere integrata con prodotti cloud per la crittografia lato server e può anche essere integrata con le applicazioni create autonomamente per creare soluzioni di crittografia a livello di applicazione. Il materiale chiave può essere generato solo da KMS e non può essere importato dall'utente. Per le chiavi software, KMS ti supporta nell'utilizzo di più specifiche di chiave, inclusi algoritmi crittografici simmetrici e algoritmi crittografici asimmetrici. Gestione delle chiavi hardware La gestione delle chiavi hardware è un tipo di gestione delle chiavi fornito da KMS. La chiave hardware contiene solo la chiave master creata dall'utente e gestisce il ciclo di vita della chiave in modo indipendente. Può essere integrata con prodotti cloud per la crittografia lato server e può anche essere integrata con le applicazioni create autonomamente per creare soluzioni di crittografia a livello di applicazione. Il materiale della chiave può essere generato dalla macchina di crittografia (HSM) connessa a KMS oppure puoi importarlo tu stesso. Per le chiavi hardware, KMS ti supporta nell'utilizzo di più specifiche di chiave, inclusi algoritmi crittografici simmetrici e algoritmi crittografici asimmetrici. illustrare KMS ti fornisce la gestione delle chiavi hardware e le operazioni di crittografia connettendoti al cluster della tua macchina crittografica (HSM) nel servizio di crittografia cloud Alibaba. Pertanto, prima di utilizzare la chiave hardware, è necessario acquistare una macchina crittografica (HSM) e configurare un cluster di macchine crittografiche in Alibaba Cloud Encryption Service e collegarlo in KMS. Per operazioni specifiche, vedere Come configurare un cluster di macchina crittografica che può essere connesso tramite un'istanza di gestione delle chiavi hardware KMS. Materiale chiave Il materiale chiave è uno degli input importanti per le operazioni crittografiche. Si consiglia di mantenere riservato il materiale della chiave privata dell'algoritmo di crittografia asimmetrica e il materiale della chiave dell'algoritmo di crittografia simmetrica per proteggere le operazioni di crittografia basate sul materiale della chiave. Chiave predefinita: quando crei la chiave principale nella chiave predefinita, supporta la generazione del materiale della chiave da parte di KMS (l'attributo di origine è Aliyun_KMS) e supporta anche l'importazione del materiale della chiave da parte dell'utente (l'attributo di origine è EXTERNAL). Chiave software: quando crei una chiave software, è supportato solo il materiale della chiave generato da KMS (l'attributo di origine è Aliyun_KMS). L'importazione del materiale della chiave da parte dell'utente non è attualmente supportata. Chiave hardware: quando crei una chiave hardware, la macchina crittografica (HSM) connessa al KMS può generare il materiale della chiave (l'attributo di origine è Aliyun_KMS) oppure puoi importare tu stesso il materiale della chiave (l'attributo di origine è EXTERNAL). Credenziali Le credenziali sono informazioni sensibili utilizzate per autenticare le applicazioni, come password di account di database, chiavi SSH, indirizzi sensibili, dati sensibili AK, ecc. Responsabile dei segreti Credential Manager fornisce la gestione dell'intero ciclo di vita delle credenziali e un metodo di accesso alle applicazioni sicuro e conveniente, aiutandoti a evitare il rischio di perdita di informazioni sensibili causata dall'hardcoding delle credenziali nel codice. Per ulteriori informazioni sul maggiordomo delle credenziali, vedere Panoramica del maggiordomo delle credenziali. Punto di accesso all'applicazione Il punto di accesso dell'applicazione AAP è uno schema di controllo dell'accesso implementato da KMS, adatto per l'autenticazione dell'identità e l'autenticazione del comportamento quando le applicazioni accedono alle risorse KMS.

Autenticazione dell'identità e controllo degli accessi

Controlla l'utilizzo delle chiavi

Crittografia integrata del prodotto cloud

La crittografia diventa semplice

Deposito chiavi centralizzato

Supporto porta la tua chiave (BYOK)

KMS supporta funzionalità di calcolo delle password ridondanti in più zone di disponibilità in ciascuna regione, garantendo che le richieste avviate da vari prodotti su Alibaba Cloud e le tue applicazioni personalizzate su KMS possano essere elaborate con bassa latenza. Puoi aggiornare rapidamente secondo necessità.

KMS è stato sottoposto a rigorosi controlli e progettazione della sicurezza per garantire che le tue chiavi ricevano la protezione più rigorosa in Alibaba Cloud.

KMS fornisce solo canali di accesso sicuri basati su TLS e utilizza solo una suite di algoritmi di crittografia del trasporto sicuro conforme alle specifiche di sicurezza come PCI DSS.

KMS supporta strutture crittografiche autorizzate e certificate da agenzie di regolamentazione.

Alibaba Cloud Encryption Service fornisce apparecchiature di crittografia hardware che sono state testate e certificate dalla State Cryptozoology Administration e hanno ottenuto la certificazione GM/T 0028 Livello 2. KMS supporta l'integrazione del cluster di macchine di crittografia che gestisci in Alibaba Cloud Encryption Service per la gestione delle chiavi e il calcolo delle password.

Non è necessario pagare il costo iniziale per l'acquisto di dispositivi di crittografia hardware e le spese correnti di funzionamento, manutenzione, installazione di patch e sostituzione di quelli vecchi.

KMS ti fa risparmiare sui costi di ricerca e sviluppo e sulle spese di manutenzione legate alla creazione di un cluster di dispositivi crittografici con disponibilità e affidabilità, nonché strutture di gestione delle chiavi autocostruite.

L'integrazione di KMS con altri prodotti Alibaba Cloud ti fa risparmiare sui costi di sviluppo di un sistema di crittografia dei dati e devi solo gestire le chiavi per ottenere funzionalità di crittografia dei dati controllabili sul cloud.

Scene ruolo utente richieste illustrare I sistemi informativi soddisfano i requisiti di conformità in materia di sicurezza Direttore dei rischi (CRO) Garantire la sicurezza e la conformità dei sistemi informativi. In qualità di Chief Risk Officer (CRO), spero che i sistemi IT soddisfino i requisiti per la protezione della sicurezza dei sistemi informativi, tra cui: Utilizzo corretto della crittografia e delle strutture di gestione delle chiavi per crittografare e proteggere i dati importanti, con controllo completo degli accessi e verifica della sicurezza delle chiavi. Archivia e controlla in modo sicuro l'uso delle password degli account del database, delle password degli account del server, della chiave SSH e di altre informazioni sulle credenziali per prevenire perdite di informazioni e rischi di attacchi al sistema causati dalla perdita di credenziali. Protezione tramite crittografia dei dati sensibili Costruttore di sistemi informatici Garantire la sicurezza dei dati sensibili nei sistemi applicativi. In qualità di costruttore di sistemi IT, su richiesta del dipartimento di sicurezza IT, le applicazioni devono crittografare e proteggere i dati aziendali sensibili e i dati operativi archiviati o utilizzati. Utilizzando KMS, i costi di implementazione possono essere notevolmente ridotti rispetto alla gestione delle chiavi autocostruita e alle strutture di crittografia e decrittografia. Soluzione di gestione delle credenziali KMS integrata nel servizio ISV Fornitore di serviziISV Il servizio richiede l'utilizzo delle credenziali dell'utente, ma l'utente non desidera che il contenuto delle credenziali sia esposto al personale del fornitore del servizio. Il servizio ISV deve utilizzare le informazioni sulle credenziali dell'utente durante il funzionamento, ma l'utente non desidera che le informazioni sulle credenziali riservate vengano esposte al fornitore del servizio. I servizi ISV possono integrare KMS e utilizzare KMS come soluzione di gestione delle credenziali di terze parti.

Quando le imprese o le organizzazioni valutano i requisiti di conformità alla sicurezza dei sistemi informativi, possono incontrare le due situazioni seguenti:

KMS offre le seguenti funzionalità per aiutare le aziende a soddisfare i requisiti di conformità:

Puoi proteggere i dati sensibili generati o archiviati nel cloud tramite la tecnologia di crittografia dei dati. Alibaba Cloud ti supporta nella crittografia e nella protezione dei dati sensibili in vari modi.

Metodo di protezione tramite crittografia richieste illustrare Documentazione di riferimento Il sistema applicativo utilizza KMS per crittografare direttamente i dati. Proteggi la sicurezza dei dati sensibili nei sistemi applicativi attraverso la tecnologia di crittografia. Il QPS di crittografia e decrittografia di questi dati sensibili non è elevato e la dimensione dei dati non supera i 6K. Ad esempio, puoi crittografare informazioni sensibili come AK e password del database per la configurazione dell'applicazione. Chiama l'API di crittografia di KMS per crittografare direttamente i dati sensibili utilizzando la chiave. Crittografa e decrittografa i dati online utilizzando la chiave master KMS Il sistema applicativo utilizza KMS per crittografare i dati. Proteggi la sicurezza dei dati sensibili nei sistemi applicativi attraverso la tecnologia di crittografia. Questi dati sensibili richiedono crittografia e decrittografia QPS elevati oppure la quantità di dati crittografati è troppo grande per utilizzare la crittografia diretta. Ad esempio, crittografa le informazioni sensibili come i numeri di cellulare e i numeri ID dei tuoi utenti. Utilizza la tecnologia di crittografia busta per archiviare le chiavi nel KMS e distribuisci solo chiavi di dati crittografate. Solo quando è necessario utilizzare una chiave dati, utilizzare KMS per ottenere il testo non crittografato della chiave dati per la crittografia e decrittografia locale dei dati aziendali. È inoltre possibile utilizzare l'SDK di crittografia che incapsula la crittografia della busta per la protezione tramite crittografia. Crittografa e decrittografa i dati localmente utilizzando la crittografia della busta KMS Panoramica sull'SDK di crittografia Crittografia lato server del prodotto cloud Fornire una garanzia di base per l'ambiente di sicurezza dei dati delle strutture IT sul cloud. Ad esempio: utilizzo della crittografia lato server di storage di oggetti per proteggere i bucket OSS che archiviano dati sensibili o utilizzo della crittografia trasparente dei dati (TDE) del database per proteggere le tabelle che archiviano dati sensibili. Se utilizzi i prodotti Alibaba Cloud per salvare i dati, puoi utilizzare la funzione di crittografia lato server del prodotto cloud per crittografare e proteggere i dati in modo più efficace. Servizi cloud che supportano la crittografia integrata lato server Utilizza Gestione credenziali Fornisce la gestione dell'intero ciclo di vita delle credenziali e un metodo di accesso alle applicazioni sicuro e conveniente, aiutandoti a evitare il rischio di perdita di informazioni sensibili causata dall'hardcoding delle credenziali nel codice. Ad esempio, puoi ospitare dati sensibili come password, token, chiavi SSH e AK in Credential Manager e gestirli tramite accesso sicuro. Ospita le tue credenziali di accesso alle informazioni sensibili su Credential Manager per garantire che l'accesso alle informazioni sensibili sia sicuro attraverso meccanismi di accesso di sicurezza a livello di applicazione. Puoi anche ruotare dinamicamente le credenziali per evitare il rischio di fuga di dati. Panoramica sulla gestione delle credenziali

Gli utenti possono gestire le credenziali in KMS e autorizzare i servizi ISV a utilizzare le credenziali. KMS funge da meccanismo di protezione della sicurezza di terze parti tra i servizi ISV e gli utenti, consentendo agli utenti e ai servizi ISV di svolgere i rispettivi compiti e garantire congiuntamente la sicurezza del sistema.

ruolo utente illustrare Documentazione di riferimento L'amministratore dell'utente Gestisci le credenziali nel KMS. Gestisci le autorizzazioni per l'uso delle credenziali nel controllo degli accessi (RAM) e consenti ai servizi ISV di utilizzare credenziali specificate in KMS tramite l'autorizzazione delle risorse tra gli account Alibaba Cloud. Autorizzazione delle risorse tra gli account Alibaba Cloud Servizio ISV Il servizio ISV utilizza credenziali specificate dall'utente tramite l'API integrata con KMS. Panoramica dell'API Revisore dell'utente Attraverso il controllo delle operazioni (ActionTrail), il servizio ISV esegue un controllo post-fatto sul comportamento di utilizzo delle chiavi ogni volta che accede a KMS. Interrogare gli eventi operativi del servizio di gestione delle chiavi utilizzando il controllo operativo

KMS fornisce due API, API KMS e API dell'istanza KMS. Va notato che la quota di richieste API KMS è limitata per ciascun account Alibaba Cloud e i dati sulle prestazioni dell'API dell'istanza KMS sono limitati per ciascuna istanza KMS.

KMS imposta una quota per il numero di operazioni API richieste al secondo Una volta superata la quota delle richieste API, KMS limiterà le richieste (ovvero rifiuterà richieste altrimenti valide) e restituirà una risposta di errore simile all'esempio seguente. Per le risposte di errore che possono essere risolte riprovando, è possibile introdurre policy di backoff e riprovazione delle richieste nell'applicazione.

La tabella seguente elenca la quota di richieste KMS per ciascun account Alibaba Cloud in una singola regione.

Esempio di gestione delle chiavi software

Esempio di gestione delle chiavi hardware