什么是加密服务
加密服务是云上的硬件加密解决方案，通过使用加密服务，您能运用多种加密算法对云上业务数据进行可靠的加解密运算，实现数据保护，同时满足数据安全方面的监管合规要求。概述 加密服务的服务底层使用经国家密码管理局检测认证、或通过FIPS ...
配置KMS硬件密钥管理实例的密码机集群
建议您选择与KMS硬件密钥管理实例相同的购买时长。说明 建议您购买时选择 到期自动续费，防止加密服务到期未及时续费而导致的密钥永久性丢失。您选择到期自动续费后，阿里云会在服务到期前9个自然日从您购买密码机时使用的支付账户自动扣款...
使用EVSM实现应用层敏感数据加解密
通过加密服务，您能对应用服务的数据进行可靠的加解密运算，实现数据保护，同时满足数据安全方面的监管合规要求。本文介绍如何通过加密服务实现应用服务数据的加解密。背景信息 下图为在应用系统中实现敏感数据加密和解密的典型部署方案。...
密码机类型
安全审计 加密服务支持安全审计服务。通过安全审计服务，您可以将密码机实例的关键运行信息自动保存到对象存储OSS（Object Storage Service）中，并以特定的审计日志格式进行持久化储存，以满足合规和审计需求。审计日志中的信息包括但不...
非中国内地密码机
opt/hsm/bin/hsm_proxy/opt/hsm/etc/hsm_proxy.cfg logfiles_location is not specified,logs will be available in current directory Logs will be available in liquidSecurity.1.WKCrty.log file 验证hsm_proxy是否连接成功。...
非中国内地密码机
hsm_mgmt_tool.cfg文件示例 {"servers":[{"name":"172.16.XX.XX","hostname":"172.16.XX.XX","port":2225,"certificate":"/opt/hsm/etc/client.crt","pkey":"/opt/hsm/etc/client.key","CAfile":"","CApath":"/opt/hsm/etc/certs","ssl_...
加密服务支持被审计的事件说明
加密服务已与操作审计服务集成，您可以在操作审计中查询用户操作加密服务产生的管控事件。加密服务支持将管控事件投递到日志服务SLS的LogStore或对象存储OSS的存储空间中，满足操作事件审计、问题回溯分析等需求。操作审计会记录您通过控制...
使用密码机实例集群
基于安全考虑，不推荐您放行所有来源IP。如果因临时测试等原因确实需要放行所有来源IP，不配置白名单即可。指定另外一个可用区的交换机 根据业务需要选择可用区的交换机。在密码机实例集群中，您必须要配置2个交换机才能成功创建并激活集群...
hsm_mgmt_tool
hsm_mgmt_tool命令行工具帮助CO用户管理HSM实例和HSM用户。该工具还允许CU用户共享密钥、获取和设置密钥属性。运行hsm_mgmt_tool命令之前，你必须启动hsm_mgmt_tool并登录到HSM实例。请确保你以正确的用户身份登录。启动和退出工具 启动hsm...
安装PKCS#11 Library
您可以使用PKCS#11 library来建立与PKCS#11兼容的应用程序，并使用HSM客户端。PKCS#11 library只支持Linux操作系统。前提条件 密码机实例处于初始化状态并且已创建一个加密用户（CU）。具体操作，请参见 快速入门。已启动HSM客户端（hsm_...
使用操作审计查询加密服务的操作事件
加密服务支持通过阿里云 操作...您可将查询结果投递至日志服务LogStore或OSS Bucket中，以实现对事件的监控告警、及时审计、问题回溯分析等需求。关于如何将查询结果投递至日志服务LogStore或OSS Bucket中，请参见 将事件持续投递到指定服务。
联系我们
如果在使用 加密服务 HSM（Cloud Hardware Security Module）的过程中有任何疑问或建议，您可以通过不同渠道联系到我们。售前咨询 在购买阿里云产品前，可通过以下渠道了解或咨询产品信息：拨打阿里云售前电话：95187转1。登录 阿里云售前...
属性
它指出了在使用HSM的特定加密功能时，特定的属性是否支持某个特定的密钥类型。属性 描述 可以在对象创建后改变吗？默认值 CKA_SIGN 布尔类型，如果密钥支持签名，则CK_TRUE。是 FALSE CKA_VERIFY 布尔类型，如果密钥支持验证，则CK_True。...
加密服务服务关联角色
AliyunServiceRoleForHSMLogDelivery应用场景 加密服务提供的安全审计服务需要获取对象存储OSS（Object Storage Service）云服务资源的访问权限，因此加密服务设置了服务关联角色AliyunServiceRoleForHSMLogDelivery。关于服务关联角色的更...
基于加密服务的SSL安全卸载
签发签名证书文件SS_SM2_HSM.cr./sign_cert_s.sh SS_SM2_HSM.csr SS_SM2_HSM.crt#签发加密证书文件SE_SM2_HSM.crt./sign_cert_e.sh SE_SM2_HSM.csr SE_SM2_HSM.crt ECC算法的服务端证书申请和签发 生成证书请求文件。方式一：通过EVSM的...
支持机制
支持的安全随机算法 算法 大小 AES-CTR-DRBG(FIPS compliant)AES-CTR-DRBG安全随机算法可以在HSM内为每个API调用生成多达8000字节的随机数。支持的密钥类型 算法 支持的大小（比特）AES 128,192,256(default）RSA密钥对 2048,2304,2560,...
加密服务系统权限策略参考
虽然系统策略包含的权限同样适用于 OpenAPI 或 CLI 等访问方式，但为了提高安全性，我们推荐您在这些场景下使用自定义策略，按需授予人员及应用特定 API 的访问权限。系统策略可进一步细分为产品系统策略、服务角色策略和服务关联角色策略...
产品计费
说明 在免费试用期间，您可以在加密服务控制台将试用实例转换为非试用实例，当试用实例变为非试用实例后，实例中的内部数据与集群信息将会保留，您可以继续使用该实例。计费方式 加密服务采用包年包月预付费方式。计费公式为：总费用=每月...
申请14天免费试用
您可以申请免费试用加密服务集群，快速了解加密服务的功能以及如何使用加密服务。本文介绍如何申请免费试用加密服务。...警告 试用到期后，阿里云会直接释放实例且无法恢复，释放前不会进行站内信、短信、邮件等通知，请您及时关注到期时间。...
数据备份恢复
您在释放前均可重新激活备份实例并使用，重新激活的收费与新购同一规格备份实例相同。备份方式 提供手动备份镜像和自动备份镜像两种方式。仅支持手动备份。支持手动备份和自动备份。费用 无 免费。付费。使用限制 备份数据时，要备份数据的...
功能特性
加密服务使用经国家密码管理局检测认证的硬件密码机作为服务底层，通过...数据备份恢复 安全审计 安全审计 将密码机实例的运行信息自动保存到对象存储OSS中，并以特定的审计日志格式进行持久化储存，以满足合规和审计需求。开通安全审计服务
HSM用户权限表
HSM用户类型 管理员（CO）CO用户负责管理HSM，例如创建新用户、添加和删除密钥、配置HSM参数等。操作员（CU）CU用户负责使用HSM执行特定的加密操作，例如加密和解密数据、创建和管理证书等。应用程序用户（AU）AU用户负责对您集群的HSM执行...
key_mgmt_tool
key_mgmt_tool命令行工具帮助您管理HSM中的密钥。你可以创建、删除密钥以及查看密钥属性。本文介绍如何使用key_mgmt_tool命令行工具。key_mgmt_tool工具提供的命令允许用户创建、删除、导入和导出密钥，获取和设置属性，查找密钥，并进行...
安装JCE Provider
opt/hsm/java/caviumjca-1.0.0-jar-with-dependencies.jar/opt/hsm/java/hamcrest-core-1.3.jar/opt/hsm/java/junit-4.12.jar/opt/hsm/java/hsm-test-1.0.0.jar/opt/hsm/java/log4j-api-2.17.0.jar/opt/hsm/java/log4j-core-2.17.0.jar/opt...
将密钥材料导入密码机HSM
预期输出：Cfm3ImportWrapKey returned:0x00:HSM Return:SUCCESS Cfm3CreateUnwrapTemplate2 returned:0x00:HSM Return:SUCCESS Cfm3ImportUnWrapKey returned:0x00:HSM Return:SUCCESS Symmetric Key Imported.Key Handle:35 Cluster ...
在密码机HSM之间复制密钥
预期输出：Cfm3GenerateKeyPair returned:0x00:HSM Return:SUCCESS Cfm3GenerateKeyPair:public key handle:33 private key handle:32 Cluster Status:Node id 0 status:0x00000000:HSM Return:SUCCESS 执行 exportPubKey 命令，导出RSA...
认证 Library
当您使用PKCS#11 library时，您的应用程序在HSM实例中作为一个特定的加密用户（CU）运行。您的应用程序只能查看和管理该CU的自有或共享密钥。要指定CU到PKCS#11library，使用PKCS#11 C_Login函数的pin参数。对于HSM实例，pin应该以user_...
安装OpenSSL动态引擎
操作系统 命令 CentOS 8 下载RPM安装包：hsm-client-openssl_engine-v2.03.15.10-1.el8.x86_64.rpm sudo rpm-ivh./hsm-client-openssl_engine-v2.03.15.10-1.el8.x86_64.rpm 说明 如果您使用的是其他操作系统，请通过 智能在线 联系技术...
启动key_mgmt_tool时报错
如果你启动key_mgmt_tool命令时发生以下错误，请检查hsm_proxy的启动日志。Cfm3Initialize()returned app id:01000000 session_handle 1000000 Cfm3GetPartitionInfo returned:0x40000040 LIQUIDSECURITY:Daemon socket connection error ...
使用OpenSSL动态引擎
hsm_openssl-pre LIST_ADD:1-pre LOAD 如果命令运行成功，会有以下响应：Loaded:(hsm_openssl)Cavium hardware engine support 运行以下命令来生成非对称密钥：genrsa-engine hsm_openssl 如果命令运行成功，动态OpenSSL引擎有一种将密钥...
代码示例
本文介绍了JCE Provider的代码示例。...import org.apache.logging.log4j.LogManager;import org.apache.logging.log4j.Logger;...export LD_LIBRARY_PATH=opt/hsm/lib/:$LD_LIBRARY_PATH 运行以下命令来编译代码：javac-classpath.:/opt/hsm...
开通安全审计服务
购买加密服务后，您可以开通安全审计服务，将密码机实例的运行信息自动保存到对象存储OSS（Object Storage Service）中，并以特定的审计日志格式进行持久化储存，以满足合规和审计需求。本文介绍如何开通安全审计服务。前提条件 已购买加密...
概述
JCE Provider是一个Sun Java JCE（Java Cryptography Extension）框架的安装启用提供者。JCE Provider通过使用JCA标准中的接口和引擎类的包来实现其功能。
概述
OpenSSL Dynamic Engine允许使用OpenSSL EVP APIs和OpenSSL命令行工具的应用程序。OpenSSL Dynamic Engine支持以下密钥或操作类型：为2048、3072和4096位密钥生成RSA密钥对 RSA签名/验证 RSA加密/解密 生成随机数
- 产品推荐
- 这些文档可能帮助您