企業正在把比以往任何時候更多的數據遷往云計算，其中涵蓋了多種不同的服務模式類型。隨著遷入云計算數據的敏感性和重要性日益增加，安全專家們正在積極地尋求使用加密技術保護這類數據，而他們所采用的技術正是他們多年來在他們數據中心內一直使用并信任的技術。但是，在某些情況下，這一目標也不易實現，或者需要使用一些不同的方法和工具，尤其是對于加密密鑰管理而言。

[[116977]]

在本文中，我們將探討今時今日云計算加密密鑰管理的一些狀況。

云計算密鑰管理：有些什么不同

企業數據中心密鑰管理和云計算密鑰管理之間的主要區別在于密鑰的所屬權和管理。在傳統的數據中心內，所有的密鑰管理功能和工具都是由一支內部IT運營團隊來配置和維護的。而在云計算環境中，有可能采用的是一種密鑰共享模式或者是完全由供應商管理和維護的。

云計算密鑰管理程序很大程度上取決于若干因素。在某些情況下，所使用云計算服務的類型將決定可用密鑰管理的類型。IaaS云計算為數字簽名虛擬機鏡像模板來維護內部密鑰管理。使用公共密鑰基礎設施(PKI)用于API命令簽名和授權訪問虛擬機鏡像。在這種結構中的私鑰需要由云計算消費者來維護，這類密鑰可被保存在傳統密鑰管理平臺內部。

對于PaaS和SaaS云計算服務模式來說，大部分密鑰管理功能都是由云計算供應商內部管理的，而用于訪問應用程序和系統的私鑰都是可以被分配給消費者以便于訪問數據、應用程序或數據庫等云計算資源的。在公共密鑰部署中，密鑰管理和安全都是共享的，即密鑰分發給消費者的控制權都在于消費者本身。而其他所有的密鑰管理的責任則主要是由供應商承擔的。

對于混合云計算，密鑰管理也很有可能是共享的，而私有云計算通常是在內部網絡環境中配備密鑰管理工具和程序。

云計算密鑰管理：應向供應商提哪些問題

對于需要供應商管理加密密鑰管理的云計算服務，企業用戶應當向供應商對供應商的密鑰管理安全程序和控制措施提哪些問題?

首先，服務供應商應當闡明他們用于保存密鑰所使用的工具和產品類型。最重要的密鑰管理基礎設施包括：一個硬件安全模塊，或HSM，它可允許專用存儲設備以高性能密鑰訪問來執行加密與解密操作。

其次，企業需要詢問云計算供應商，密鑰是被誰以及如何被訪問的。理論上，密鑰管理不應完全由單個人員掌控，任何的密鑰訪問都應由內部團隊中兩個或以上的可信成員共同管理，同時還應建立深入的審計憑據。

企業還應當詢問供應商如何恢復密鑰。目前，很多供應商都不允許在客戶的控制下恢復私鑰，但是如果今后他們允許了，那么他們應當嚴格控制恢復密鑰所涉及的程序以及對客戶請求恢復私鑰的審批。

***，如果服務供應商數據庫或應用程序訪問要求多個密鑰訪問，那么應當詢問供應商是如何維護控制措施和每個密鑰的分發，以及他們是如何確保密鑰是被正確地創建、管理、更新或銷毀的。

在一個理想情況下的多租戶環境中，每個組戶都擁有一個被共同管理的單獨密鑰。但是，很多供應商所采用的架構都涉及了多個密鑰(每個租戶有一個或多個)，然后對內部某個資源都有一個“訪問密鑰”。在這種情況下，任何主密鑰或“訪問密鑰”的管理都應被嚴格控制和記錄，并附有任何訪問和與這些密鑰相關的詳細審計憑據。任何共享密鑰訪問都具有較大的風險，尤其是這一密鑰以任何的方式被泄露。

云計算密鑰管理：新興技術

近期，NIST發布了一個關于云計算密鑰管理的內部白皮書，其中主要涉及不同云計算服務模式中密鑰管理潛在風險和架構解決方案的詳細信息。市場上正在不斷涌現許多新的產品和服務，以方便實現云計算中更安全的密鑰管理。

亞馬遜網絡服務于近日發布其CloudHSM服務，它可以讓企業用戶能夠在他們的云計算環境中充分利用他們的專用硬件設施。Porticor公司是另一家提供密鑰管理服務的供應商，它采用了分體式密鑰和同態加密技術，它可讓系統對已加密數據執行數學運算。

目前，云計算加密密鑰管理挑戰仍然是在云計算供應商環境中保存敏感數據的一個主要障礙。但是，云計算供應商和消費者都已開始著手解決這個問題，可以想見，在今后的如果一段時間內，密鑰管理將成為云計算安全的一大重點區域。隨著權威群體意見以及成熟供應商產品和服務的不斷涌現，在云計算中存儲敏感數據一定會隨著時間的推移而變得更易于實施。