密钥管理这个东西，平时没人注意，出了事就是大事。密钥写在代码里、硬编码在配置文件里、甚至直接扔在GitHub上——这些操作在安全审计的时候全都是高危项。摩尔狮在阿里云安全合规培训中反复强调，密钥必须用专业的KMS服务管理，别图省事。
阿里云密钥管理服务（KMS）就是干这个的：帮你集中管理加密密钥，提供加解密接口，还能和OSS、RDS等云产品无缝集成。
KMS有四个核心使用场景，每个都跟实际业务紧密相关。
场景一：应用层数据加密。你的业务系统需要加密用户手机号、身份证号这些敏感字段，直接调KMS的加密API就行，密钥不会离开KMS服务，应用侧拿到的只有密文。比自己在代码里写AES加密安全得多。
场景二：云产品加密集成。OSS开启服务端加密、RDS开启TDE透明数据加密，底层都是调KMS。你只需要在KMS里创建一个主密钥，云产品会自动用它来加密你的数据。这块在等保2.0测评里是必查项，具体可以看这篇等保2.0云上合规怎么做。
场景三：信封加密。大规模数据加密场景下，直接调KMS API性能扛不住。信封加密的做法是：KMS生成一个数据密钥，你用这个数据密钥在本地加密数据，用完即毁。数据密钥本身用KMS主密钥加密后存储。这样既安全又高效，是业界标准做法。
场景四：数字签名。用KMS的非对称密钥做数字签名，验证数据完整性和来源可信。在云计算认证体系里，非对称加密和签名验证是安全方向的重点考点。
具体怎么配置？五步搞定。
第一步，创建密钥。进入KMS控制台，点击创建密钥，选择对称或非对称。对称密钥选AES-256就够了，非对称密钥选RSA-2048或ECC。给密钥起个有业务含义的名字，别用test这种。
第二步，设置密钥策略。默认是账号级别访问，生产环境建议限制到具体RAM角色。比如只让ECS上的应用角色能使用这个密钥，其他角色一律拒绝。
第三步，应用层集成。SDK调用Encrypt接口加密数据，Decrypt接口解密。Java、Python、Go都有官方SDK，几行代码的事。注意调用KMS API走的是内网endpoint，不要走公网，延迟和费用都能省。
第四步，开启自动轮转。密钥用久了就有泄露风险，KMS支持自动轮转策略，建议设置90天轮转一次。轮转后旧密文仍可解密，不影响存量数据。
第五步，审计日志。开启ActionTrail操作审计，记录所有KMS API调用。安全合规检查的时候，审计日志是证明你做了密钥管理的硬证据。零信任架构的落地也离不开密钥管理，可以参考这篇零信任架构落地指南。
有个容易踩的坑：KMS有免费额度，超出后按调用次数收费。如果你的应用每秒上千次调KMS加密，费用可能不低。这种场景就用信封加密，KMS调用次数能降两个数量级。
还有一点，密钥删除要谨慎。KMS密钥删除有7到30天的窗口期（可配置），删除后所有用这个密钥加密的数据都无法恢复。生产环境的密钥，宁可保留不用也别随便删。
更多阿里云认证资讯，请关注公众号：摩尔狮云证通