如今的應(yīng)用程序都運(yùn)行在加密技術(shù)之上，而在云平臺中運(yùn)行應(yīng)用程序，需要SSH密鑰來訪問虛擬機(jī)，并采用API密鑰來與外部服務(wù)交互，以及Web服務(wù)器的X.509v3證書。組織需要驗(yàn)證Web服務(wù)的安全客戶端證書、加密存儲數(shù)據(jù)的加密密鑰，以及中間或后端數(shù)據(jù)存儲的密碼。

安全地存儲數(shù)據(jù)對于組織來說是一個重大的挑戰(zhàn)，特別是在當(dāng)今的云計算世界。而且，隨著多云變得司空見慣，組織面臨的挑戰(zhàn)將會加劇。

云計算對傳統(tǒng)的加密管理方法帶來挑戰(zhàn)

在以往，組織內(nèi)部使用的硬件安全模塊（HSM）通過提供可防篡改的物理安全設(shè)施保護(hù)數(shù)據(jù)。同樣，加密密鑰管理（通常以服務(wù)的形式）有助于為密鑰和密鑰存儲提供一個集中的、安全的存儲庫。

但是，云計算加劇了加密管理的挑戰(zhàn)。傳統(tǒng)加密方法的應(yīng)用性稍差，這是由于云計算對技術(shù)底層的抽象程度較低。

例如，考慮將應(yīng)用程序部署到IaaS中。操作系統(tǒng)下的所有內(nèi)容都由云計算提供商提供。物理附加服務(wù)（如HSM）的實(shí)施不受客戶的直接控制。因此，客戶可以使用云服務(wù)提供商提供的硬件安全模塊（HSM）產(chǎn)品。

對于PaaS和SaaS，硬件安全模塊（HSM）是不可選擇的，除非云服務(wù)提供商提供這些服務(wù)，其基礎(chǔ)設(shè)施也超出范圍。這意味著從客戶的角度來看，無法通過云計算提供商使用API進(jìn)行密鑰管理服務(wù)。

許多云服務(wù)提供商提供了一些選項來幫助進(jìn)行云計算加密管理。例如，微軟Azure提供密鑰庫，AWS提供密鑰管理服務(wù)，谷歌云平臺提供云密鑰管理服務(wù)。這些產(chǎn)品都可以幫助解決云計算提供商的云服務(wù)中的安全存儲問題。

盡管這些云計算提供商提供的服務(wù)運(yùn)行良好，但它們是特定于云計算提供商的，并且它們在提供給客戶的接口方面都有所不同。

那么，當(dāng)客戶需要跨多個云計算提供商或混合環(huán)境的加密管理服務(wù)時會發(fā)生什么呢？IT領(lǐng)導(dǎo)者必須了解多云密鑰管理如何應(yīng)對這些挑戰(zhàn)，以及如何成功實(shí)施它以保護(hù)混合和多云基礎(chǔ)設(shè)施。

多云密鑰管理即服務(wù)功能

多云密鑰管理涉及將密鑰管理功能擴(kuò)展到使用多個不同云平臺中。云密鑰管理即服務(wù)（KMaaS）模型應(yīng)運(yùn)而生，以快速配置基于云計算的服務(wù)。

根據(jù)云密鑰管理即服務(wù)（KMaaS）產(chǎn)品的不同，可以通過密鑰管理互操作性協(xié)議（從密鑰管理服務(wù)器請求密鑰的標(biāo)準(zhǔn)）通過使用云計算提供商提供的存根模塊的REST API來請求密鑰，例如使用密鑰管理服務(wù)的公鑰加密標(biāo)準(zhǔn)。

這樣做的優(yōu)點(diǎn)之一是它可以規(guī)范與密鑰管理機(jī)制的接口。因此，使用基礎(chǔ)密鑰管理器的應(yīng)用程序變得更加可移植。例如，應(yīng)用程序組件用于請求訪問密鑰或其他機(jī)密的機(jī)制與當(dāng)前托管在數(shù)據(jù)中心的應(yīng)用程序相同，即使該組件可能會遷移到云平臺。無論是出于災(zāi)難恢復(fù)或安全需求，還是將其遷移到公共云或在公共云之間遷移，都是如此。這可以通過運(yùn)行環(huán)境之間移動的最小化或?qū)?shù)據(jù)導(dǎo)出到另一個位置時重新加密來增強(qiáng)安全性。

除了編程接口的標(biāo)準(zhǔn)化，KMaaS還規(guī)范了管理。其管理要素（例如記帳，批準(zhǔn)流程，關(guān)鍵庫存的維護(hù)和其他任務(wù)）是集中的。這可以實(shí)現(xiàn)集中可見性，并減少與管理人員進(jìn)行管理工作流有關(guān)的成本。

多云KMaaS實(shí)施的4個注意事項

IT領(lǐng)導(dǎo)者需要認(rèn)識到，使用KMaaS工具并不意味著組織的使用是安全的。徹底審查和驗(yàn)證KMaaS選項是很重要的。

進(jìn)入KMaaS市場時，需要注意以下4個事項：

（1） 確保存儲和檢索密鑰的機(jī)制從架構(gòu)的角度有利于組織的使用。例如，計劃部署Java應(yīng)用程序的組織可能會優(yōu)先考慮提供Java加密擴(kuò)展的供應(yīng)商。

（2） 除了考慮與客戶使用相關(guān)的性能和安全要求之外，還要考慮組件和應(yīng)用程序?qū)⑷绾芜B接到服務(wù)。即使使用REST API（這是與服務(wù)接口的最普遍的機(jī)制），也要從需要密鑰的位置連接到密鑰管理服務(wù)。在其他情況下，則不需要這樣做。例如，沒有直接出站連接的受保護(hù)的虛擬私有云。在這種情況下，客戶需要找到一種機(jī)制，使其能夠連接、代理請求、使用供應(yīng)商提供的可以緩存或探索替代方法的組件。

（3） 清點(diǎn)將存儲在KMaaS中的現(xiàn)有數(shù)據(jù)。如果已經(jīng)有本地密鑰管理服務(wù)，需要檢查其中存儲了什么內(nèi)容以及如何使用這些數(shù)據(jù)。這種事先的評估可以幫助IT主管設(shè)定期望值，了解轉(zhuǎn)移使用的難度，并確定哪些訪問方法最有效。除其他特殊要求外，還應(yīng)特別注意如何驗(yàn)證和批準(zhǔn)訪問請求，以及如何處理密鑰輪換和到期。

（4） 認(rèn)識到當(dāng)前的多云密鑰管理流程可能不同。需要注意無法或不需要更換現(xiàn)有組件的情況。例如，如今使用物理HSM的組織可能會發(fā)現(xiàn)存儲在其中的密鑰無法導(dǎo)出。而這是大多數(shù)HSM的默認(rèn)設(shè)置，因?yàn)榧用懿僮魇窃谠O(shè)備本身中執(zhí)行的。這意味著密鑰永遠(yuǎn)不會離開HSM的邊界，而密鑰管理器（即KMaaS或其他方式）的行為方式也不相同。一些組織可能具有合法的安全性或使用要求，而這是有利的。在根據(jù)業(yè)務(wù)風(fēng)險和需求確定正確的方法時，了解密鑰為何以保護(hù)密鑰的方式進(jìn)行保護(hù)是重要的要素。
責(zé)任編輯：YYX