密钥管理 KMS
密钥管理服务（KMS）集中托管加密密钥并记录每一次使用：云盘加密、对象存储加密、数据库透明加密都通过调用它来加解密数据密钥。三家产品名与集成方式略有差异，但设计要点一致——密钥与数据分离存放，访问行为可审计。
基本信息
| 代表产品 | 阿里云密钥管理服务 KMS、腾讯云密钥管理系统 KMS、华为云数据加密服务 DEW（含 KMS） |
|---|---|
| 密钥类型 | 对称密钥（AES 等）与非对称密钥；另有托管密钥 / 默认主密钥 |
| 集成对象 | 云盘、对象存储、数据库、文件系统等 |
| 审计 | 密钥的创建、轮转、启用与使用记录写入操作审计 |
| 销毁策略 | 删除自定义密钥通常有等待期与保护校验 |
概念对照
| 概念 | 阿里云 | 腾讯云 | 华为云 |
|---|---|---|---|
| 产品名 | 密钥管理服务 KMS | 密钥管理系统 KMS | 数据加密服务 DEW（含 KMS） |
| 密钥类型 | 对称 / 非对称、托管密钥 | 对称 / 非对称密钥 | 默认主密钥 / 自定义密钥 |
| 集成对象 | 云盘、OSS、RDS 等 | CBS、COS、数据库等 | EVS、OBS、数据库等 |
| 审计 | 操作审计记录密钥使用 | 云审计记录 | 云审计记录 |
典型使用场景
- 合规要求静态数据加密：云盘、对象存储、数据库写入前先加密
- 按业务划分密钥，做到一个业务的密钥泄露不波及全部数据
- 密钥定期轮转，满足审计对密钥生命周期的要求
- 密钥使用行为审计，追踪异常调用与权限扩散
- 多账号场景下用密钥授权实现数据共享与权限隔离
自定义密钥的删除通常有等待期与保护机制：确认解密依赖全部解除后再计划删除，否则加密数据将不可读。
加密只解决“数据落盘时以密文存在”：密钥的授权范围、轮转与使用审计同样要管，否则等于把钥匙随手放在锁旁边。