OnBoard™ IoT Security 中 KMS 的概述

OBIS（OnBoard™ IoT Security）中的 KMS（Key Management Service）是负责密钥安全的核心模块，提供密钥的安全管理和访问控制。支持用户创建，导入，集成和管理各类密钥，并基于 HSM（Hardware Security Module）提供高安全等级的密钥生成，存储与使用保障。

• 支持对称密钥与非对称密钥，以及各种密钥算法。
• 支持约束密钥的用途，环境，有效期和访问权限。
• 支持使用多种密钥配置创建，导入和集成密钥。
• 支持在多种场景下使用 KMS：
  • 资源加密与解密
  • 固件签名与验证
  • 安全启动（Secure Boot）
  • 安全调试（Secure Debug）
  • HMAC（Hash-based message authentication code）认证

下表总结了 KMS 的核心能力：

核心能力	说明
密钥生命周期管理	对称密钥和非对称密钥的生命周期管理
密钥状态与存储	密钥状态管理（有效、暂停、吊销） 硬件支持的安全存储与加密执行
企业 BYOK（密钥导入）	OEM 生成并导入密钥至 HSM KMS 通过授权策略管理密钥使用
云原生 BYOK（外部 KMS）	密钥保留在客户的云 KMS 中（例如 AWS KMS） KMS 通过安全认证 API 调用操作

KMS 并不规定密钥必须存放的位置，而是规定加密能力的治理、约束和审计方式。