现代应用程序依赖于加密技术，而在云平台上运行这些应用程序时，SSH密钥用于访问虚拟机，API密钥用于与外部服务交互，同时还需要Web服务器的X.509v3证书。组织必须验证Web服务的安全客户端证书、存储数据的加密密钥以及后端数据存储的密码。
在当今的云计算环境中，安全存储数据对组织而言是一项重大挑战，尤其是随着多云环境的普及，这些挑战将更加突出。
云计算对传统加密管理方法的影响
过去，组织内部的硬件安全模块(HSM)通过提供防篡改的物理安全设施来保护数据。同时，加密密钥管理服务提供了一个集中且安全的密钥存储库。
然而，云计算加大了加密管理的复杂性。传统加密方法在云环境中的适用性下降，因为云计算对底层技术的抽象程度较低。
例如，在IaaS中部署应用程序时，操作系统及其下的所有内容均由云服务提供商提供。客户无法直接控制物理附加服务(如HSM)的实施，因此只能使用云服务提供商提供的HSM产品。
对于PaaS和SaaS，除非云服务提供商提供硬件安全模块，否则客户无法选择HSM。这意味着，客户无法通过云服务提供商使用API进行密钥管理服务。
许多云服务提供商提供了不同的选项以支持云计算中的加密管理，例如，微软Azure提供密钥库，AWS提供密钥管理服务，谷歌云平台则提供云密钥管理服务。这些服务旨在解决云服务中安全存储的问题。
尽管这些云计算提供商的服务运行正常，但它们都与特定的提供商绑定，且在客户提供的接口方面存在差异。
当客户需要在多个云服务提供商或混合环境中进行加密管理时，情况会变得复杂。IT领导者必须深入了解多云密钥管理如何应对这些挑战，并成功实施以保护混合和多云基础设施。
多云密钥管理即服务的优势
多云密钥管理意味着将密钥管理功能扩展到多个不同的云平台。云密钥管理即服务(KMaaS)模型的出现，使得基于云的服务可以快速配置。
根据不同的KMaaS产品，可以通过密钥管理互操作性协议(该协议用于从密钥管理服务器请求密钥的标准)与云服务提供商的REST API进行密钥请求，例如通过使用密钥管理服务的公钥加密标准。
这种方式的一个主要优点是，它可以统一与密钥管理机制的接口，使得使用基础密钥管理器的应用程序更具可移植性。例如，请求访问密钥或其他机密的应用程序组件，与目前托管在数据中心中的应用程序相同，即使这些组件可能会转移到云平台。无论是出于灾难恢复的需求，还是将其迁移到公共云或在公共云之间迁移，这种标准化都增强了安全性。
除了编程接口的标准化外，KMaaS还集中化了管理。其管理元素（如记帐、批准流程、关键库存维护等）实现了集中可见性，降低了与管理流程相关的成本。
实施多云KMaaS时需考虑的四个要点
IT领导者需要认识到，使用KMaaS工具并不自动保证组织的安全性。因此，全面审查和验证KMaaS选项至关重要。
在进入KMaaS市场时，应关注以下四点：
(1) 确保存储和检索密钥的机制在架构上适合组织的使用需求。例如，计划部署Java应用程序的组织可能会优先选择提供Java加密扩展的供应商。
(2) 除了考虑与客户使用相关的性能和安全要求外，还要思考组件和应用程序如何连接到服务。即使使用REST API这一普遍机制，也要确保其能够从需要密钥的位置连接到密钥管理服务。某些情况下，可能不需要直接连接，例如在没有出站连接的受保护虚拟私有云中。在这些情况下，客户需要找到一种方法以便连接和代理请求，或者使用供应商提供的可以缓存或探索替代方法的组件。
(3) 清点将存储在KMaaS中的现有数据。如果已经有本地密钥管理服务，需检查存储的内容及其使用方式。这一评估能帮助IT主管设定期望，了解转移使用的复杂性，并确定最有效的访问方式。此外，还需特别关注如何验证和批准访问请求，及如何处理密钥轮换和到期。
(4) 认识到当前的多云密钥管理流程可能存在差异。需注意在某些情况下无法或不需要更换现有组件。例如，使用物理HSM的组织可能会发现存储在其中的密钥无法导出，而这是许多HSM的默认设置。了解密钥为何以保护的方式存储，对于根据业务风险和需求确定适当方法非常重要。
