KMS proporciona principalmente dos componentes comerciales: gestión de claves y gestión de credenciales.

Gestión de claves

Gestión de credenciales

concepto ilustrar Servicio clave Key Service le proporciona servicios informáticos criptográficos, como almacenamiento seguro y gestión del ciclo de vida de claves, cifrado y descifrado de datos mediante claves, firmas digitales y verificación de firmas. Para obtener más información sobre los servicios clave, consulte Descripción general de los servicios clave. Módulo de seguridad de hardware HSM (Módulo de seguridad de hardware) Un módulo de seguridad de hardware es un dispositivo de hardware que realiza operaciones criptográficas, genera y almacena claves de forma segura. La máquina criptográfica es el módulo de seguridad de hardware más utilizado en la construcción de sistemas de TI. KMS admite la integración de su clúster de máquinas criptográficas en Alibaba Cloud Encryption Service, brindando una mayor seguridad y garantía de nivel de cumplimiento para sus claves alojadas en KMS y cumpliendo con los requisitos de prueba y certificación de las agencias reguladoras. CMK (Clave maestra del cliente) CMK (Clave maestra del cliente) se refiere a la clave creada por usted y alojada en KMS, denominada "Clave maestra" para abreviar. La clave maestra consta del ID de la clave, los metadatos básicos y el material de la clave. Clave de servicio La clave la crea el servicio en la nube en su nombre y se aloja en KMS. Se utiliza de forma predeterminada al cifrar el servidor del producto en la nube. Gestión de claves predeterminada La administración de claves predeterminada es un tipo de administración de claves proporcionada por KMS. Las claves predeterminadas solo se pueden integrar con productos en la nube para cifrado del lado del servidor, incluidos: Clave de servicio: una clave creada y alojada por el servicio en la nube en su nombre para el cifrado del lado del servidor. Clave maestra: usted crea y administra el ciclo de vida de la clave maestra de forma independiente. Solo se puede crear una en cada región. El material de la clave puede ser generado por KMS o importado por usted. Para la clave predeterminada, KMS solo le permite utilizar el algoritmo de cifrado simétrico AES_256. Gestión de claves de software La gestión de claves de software es un tipo de gestión de claves proporcionada por KMS. La clave de software solo contiene la clave maestra que usted crea y administra el ciclo de vida de la clave de forma independiente. Puede integrarse con productos en la nube para el cifrado del lado del servidor y también puede integrarse con sus aplicaciones de creación propia para crear soluciones de criptografía de capa de aplicación. El material clave solo puede ser generado por KMS y usted mismo no puede importarlo. Para las claves de software, KMS le permite utilizar múltiples especificaciones de claves, incluidos algoritmos criptográficos simétricos y algoritmos criptográficos asimétricos. Gestión de claves de hardware La gestión de claves de hardware es un tipo de gestión de claves proporcionada por KMS. La clave de hardware solo contiene la clave maestra que usted crea y administra el ciclo de vida de la clave de forma independiente. Puede integrarse con productos en la nube para el cifrado del lado del servidor y también puede integrarse con sus aplicaciones de creación propia para crear soluciones de criptografía de capa de aplicación. El material clave puede ser generado por la máquina de cifrado (HSM) conectada a KMS, o puede importarlo usted mismo. Para las claves de hardware, KMS le permite utilizar múltiples especificaciones de claves, incluidos algoritmos criptográficos simétricos y algoritmos criptográficos asimétricos. ilustrar KMS le proporciona administración de claves de hardware y operaciones criptográficas conectándose al clúster de su máquina criptográfica (HSM) en Alibaba Cloud Encryption Service. Por lo tanto, antes de usar la clave de hardware, debe comprar una máquina criptográfica (HSM), configurar un clúster de máquinas criptográficas en Alibaba Cloud Encryption Service y conectarlo en KMS. Para operaciones específicas, consulte Cómo configurar un clúster de máquinas criptográficas que se puede conectar a través de una instancia de administración de claves de hardware KMS. Material clave El material clave es uno de los insumos importantes para las operaciones criptográficas. Se recomienda mantener confidencial el material de clave de la clave privada del algoritmo criptográfico asimétrico y el material de clave del algoritmo criptográfico simétrico para proteger las operaciones criptográficas basadas en el material de clave. Clave predeterminada: cuando crea la clave maestra en la clave predeterminada, admite la generación de material de claves por parte de KMS (el atributo de origen es Aliyun_KMS) y también admite la importación de material de claves por usted mismo (el atributo de origen es EXTERNO). Clave de software: cuando crea una clave de software, solo se admite el material de clave generado por KMS (el atributo de origen es Aliyun_KMS). Actualmente no se admite la importación de material de clave usted mismo. Clave de hardware: cuando crea una clave de hardware, la máquina criptográfica (HSM) conectada a KMS puede generar material de clave (el atributo de origen es Aliyun_KMS), o puede importar el material de clave usted mismo (el atributo de origen es EXTERNO). Cartas credenciales Las credenciales son información confidencial que se utiliza para autenticar aplicaciones, como contraseñas de cuentas de bases de datos, claves SSH, direcciones confidenciales, datos confidenciales de AK, etc. Gerente de secretos Credential Manager le brinda administración del ciclo de vida completo de las credenciales y un método de acceso a aplicaciones seguro y conveniente, lo que lo ayuda a evitar el riesgo de fuga de información confidencial causada por la codificación de credenciales en el código. Para obtener más información sobre Credential Butler, consulte Descripción general de Credential Butler. Punto de acceso a la aplicación El punto de acceso a aplicaciones AAP es un esquema de control de acceso implementado por KMS, que es adecuado para la autenticación de identidad y la autenticación de comportamiento cuando las aplicaciones acceden a los recursos de KMS.

Autenticación de identidad y control de acceso

Uso de claves de auditoría

Cifrado integrado de productos en la nube

Cifrado simplificado

Custodia de claves centralizada

Soporte trae tu propia clave (BYOK)

KMS admite capacidades de computación de contraseñas redundantes en múltiples zonas de disponibilidad en cada región, lo que garantiza que las solicitudes iniciadas por varios productos en Alibaba Cloud y sus aplicaciones personalizadas en KMS puedan procesarse con baja latencia. Puede actualizar rápidamente según sea necesario.

KMS se ha sometido a un estricto diseño de seguridad y auditorías para garantizar que sus claves reciban la protección más estricta en Alibaba Cloud.

KMS solo proporciona canales de acceso seguros basados ​​en TLS y solo utiliza un conjunto de algoritmos de cifrado de transporte seguro que cumple con especificaciones de seguridad como PCI DSS.

KMS admite instalaciones criptográficas certificadas y autorizadas por agencias reguladoras.

Alibaba Cloud Encryption Service proporciona equipos de cifrado de hardware que han sido probados y certificados por la Administración Estatal de Criptozoología y han obtenido la certificación GM/T 0028 Nivel 2. KMS admite la integración del clúster de máquinas de cifrado que administra en Alibaba Cloud Encryption Service para la administración de claves y el cálculo de contraseñas.

No necesita pagar el costo inicial de compra de equipos criptográficos de hardware ni los gastos continuos de operación, mantenimiento, parches y reemplazo.

KMS le ahorra los costos de investigación y desarrollo y los gastos de mantenimiento que implica la creación de un clúster de dispositivos criptográficos con disponibilidad y confiabilidad, así como también instalaciones de administración de claves autoconstruidas.

La integración de KMS con otros productos de Alibaba Cloud le ahorra el costo de desarrollar un sistema de cifrado de datos y solo necesita administrar claves para obtener capacidades de cifrado de datos controlables en la nube.

Escenas rol del usuario demandas ilustrar Los sistemas de información cumplen con los requisitos de cumplimiento de seguridad. Director de Riesgos (CRO) Garantizar la seguridad y cumplimiento de los sistemas de información. Como Director de Riesgos (CRO), espero que los sistemas de TI cumplan con los requisitos para la protección de seguridad del sistema de información, que incluyen: Uso adecuado de la criptografía y las funciones de gestión de claves para cifrar y proteger datos importantes, con control de acceso completo y auditoría de seguridad de las claves. Almacene y controle de forma segura el uso de contraseñas de cuentas de bases de datos, contraseñas de cuentas de servidores, claves SSH y otra información de credenciales para evitar la fuga de información y los riesgos de ataques al sistema causados ​​por la fuga de credenciales. Protección de cifrado de datos confidenciales constructor de sistemas de TI Garantizar la seguridad de los datos sensibles en los sistemas de aplicaciones. Como creador de sistemas de TI, a petición del departamento de seguridad de TI, las aplicaciones deben cifrar y proteger los datos comerciales confidenciales y los datos operativos almacenados o utilizados. Al utilizar KMS, los costos de implementación se pueden reducir considerablemente en comparación con la administración de claves y las instalaciones de cifrado y descifrado autoconstruidas. Solución de gestión de credenciales KMS integrada con servicio ISV Proveedor de serviciosISV El servicio requiere el uso de las credenciales del usuario, pero el usuario no desea que el contenido de las credenciales quede expuesto al personal del proveedor del servicio. El servicio ISV necesita utilizar la información de credenciales del usuario durante la operación, pero el usuario no quiere que la información de credenciales confidencial quede expuesta al proveedor de servicios. Los servicios ISV pueden integrar KMS y utilizar KMS como una solución de gestión de credenciales de terceros.

Cuando las empresas u organizaciones evalúan los requisitos de cumplimiento de seguridad de los sistemas de información, pueden encontrar las dos situaciones siguientes:

KMS proporciona las siguientes capacidades para ayudar a las empresas a cumplir con los requisitos de cumplimiento:

Puede proteger los datos confidenciales generados o almacenados en la nube mediante tecnología de cifrado de datos. Alibaba Cloud le ayuda a cifrar y proteger datos confidenciales de diversas formas.

Método de protección de cifrado demandas ilustrar Documentación de referencia El sistema de la aplicación utiliza KMS para cifrar datos directamente. Proteja la seguridad de los datos confidenciales en los sistemas de aplicaciones mediante tecnología de cifrado. El QPS de cifrado y descifrado de estos datos confidenciales no es alto y el tamaño de los datos no supera los 6K. Por ejemplo, configure su aplicación para cifrar información confidencial, como AK y contraseñas de cuentas de bases de datos. Llame a la API de cifrado de KMS para cifrar directamente datos confidenciales utilizando la clave. Cifre y descifre datos en línea usando la clave maestra KMS El sistema de aplicación utiliza KMS para cifrar datos. Proteja la seguridad de los datos confidenciales en los sistemas de aplicaciones mediante tecnología de cifrado. Estos datos confidenciales requieren un alto cifrado y descifrado QPS o la cantidad de datos cifrados es demasiado grande para utilizar el cifrado directo. Por ejemplo, cifre información confidencial, como los números de teléfono móvil y los números de identificación de sus usuarios. Utilice tecnología de cifrado de sobres para almacenar claves en KMS e implemente únicamente claves de datos cifradas. Solo cuando necesite utilizar una clave de datos, utilice KMS para obtener el texto sin formato de la clave de datos para el cifrado y descifrado local de datos comerciales. También puede utilizar el SDK de cifrado que encapsula el cifrado de sobres para la protección del cifrado. Cifre y descifre datos localmente utilizando el cifrado de sobre KMS Descripción general del SDK criptográfico Cifrado del lado del servidor de productos en la nube Proporcionar garantía básica para el entorno de seguridad de datos de las instalaciones de TI en la nube. Por ejemplo: usar el cifrado del lado del servidor de almacenamiento de objetos para proteger los depósitos de OSS que almacenan datos confidenciales o usar el cifrado de datos transparente de la base de datos (TDE) para proteger las tablas que almacenan datos confidenciales. Si utiliza los productos Alibaba Cloud para guardar datos, puede utilizar la función de cifrado del lado del servidor del producto en la nube para cifrar y proteger los datos de forma más eficaz. Servicios en la nube que admiten cifrado integrado del lado del servidor Usar el administrador de credenciales Le proporciona una gestión completa del ciclo de vida de las credenciales y un método de acceso a las aplicaciones seguro y conveniente, lo que le ayuda a evitar el riesgo de fuga de información confidencial causada por la codificación de credenciales en el código. Por ejemplo: puede alojar datos confidenciales como contraseñas, tokens, claves SSH y AK en Credential Manager y administrarlos a través de métodos de acceso seguro. Aloje sus credenciales de acceso a información confidencial en Credential Manager para garantizar la seguridad del acceso a información confidencial a través de mecanismos de acceso de seguridad a nivel de aplicación. También puede rotar dinámicamente las credenciales para evitar el riesgo de fuga de datos. Descripción general de la gestión de credenciales

Los usuarios pueden administrar las credenciales en KMS y autorizar a los servicios ISV a utilizar credenciales. KMS actúa como un mecanismo de protección de seguridad de terceros entre los servicios ISV y los usuarios, lo que permite a los usuarios y los servicios ISV realizar sus respectivas tareas y garantizar conjuntamente la seguridad del sistema.

rol del usuario ilustrar Documentación de referencia administrador del usuario Administrar credenciales en KMS. Administre los permisos para el uso de credenciales en el control de acceso (RAM) y permita que los servicios ISV utilicen credenciales específicas en KMS a través de la autorización de recursos en las cuentas de Alibaba Cloud. Autorización de recursos en cuentas de Alibaba Cloud servicio ISV El servicio ISV utiliza credenciales especificadas por el usuario a través de la API integrada con KMS. Descripción general de la API auditor del usuario A través de la auditoría de operaciones (ActionTrail), el servicio ISV realiza una auditoría post facto sobre el comportamiento del uso de claves cada vez que accede a KMS. Consultar los eventos de operación del servicio de administración de claves mediante la auditoría de operaciones.

KMS proporciona dos API, API de KMS y API de instancia de KMS. Cabe señalar que la cuota de solicitudes de API de KMS está limitada para cada cuenta de Alibaba Cloud, y los datos de rendimiento de la API de la instancia de KMS están limitados para cada instancia de KMS.

KMS establece una cuota para la cantidad de operaciones de API solicitadas por segundo. Una vez que se excede la cuota de solicitudes de API, KMS limitará las solicitudes (es decir, rechazará solicitudes que de otro modo serían válidas) y devolverá una respuesta de error similar al siguiente ejemplo. Para respuestas de error que se pueden resolver reintentando, puede introducir políticas de reintento y retroceso de solicitudes en su aplicación.

La siguiente tabla enumera la cuota de solicitudes de KMS para cada cuenta de Alibaba Cloud en una sola región.

Ejemplo de gestión de claves de software

Ejemplo de gestión de claves de hardware