云服务器内容精选

华为云首页用户手册

如何使用KMS加密保护线下数据

数据加密服务 DEW-加解密小量数据:调用API接口加解密

调用API接口加解密以保护服务器HTTPS证书为例，采用调用KMS的API接口方式进行说明，如图3所示。图3 保护服务器HTTPS证书流程说明如下：用户需要在KMS中创建一个用户主密钥。用户调用KMS的“加密数据密钥”接口，使用指定的用户主密钥将明文证书加密为密文证书。用户在服务器上部署密文证书。当服务器需要使用证书时，调用KMS的“解密数据密钥”接口，将密文证书解密为明文证书。由于控制台输入的加密原文会经过一次Base64转码后才传至后端，所以当调用API接口解密密文的时候，返回的明文就是加密原文经过Base64转码得到的字符串，故API加密密文后需要调用API进行解密，如果使用控制台解密API加密密文则会产生乱码。您可以调用以下API，在本地对数据进行加解密。 API名称说明加密数据密钥用指定的主密钥加密数据密钥。解密数据密钥用指定的主密钥解密数据密钥。

数据加密服务 DEW 如何使用KMS加密保护线下数据
数据加密服务 DEW-加解密小量数据:在线工具加解密

在线工具加解密加密数据单击目标自定义密钥的名称，进入密钥信息页面后，单击“工具”页签。在“加密”文本框中输入待加密的数据，如图1所示。图1 加密数据单击“执行”，右侧文本框显示加密后的密文数据。加密数据时，使用当前指定的密钥加密数据。用户可单击“清除”，清除已输入的数据。用户可单击“复制到剪切板”拷贝加密后的密文数据，并保存到本地文件中。解密数据解密数据时，可单击任意“启用”状态的非默认密钥别名，进入该密钥的在线工具页面。单击“解密”，在左侧文本框中输入待解密的密文数据，如图2所示。在线工具自动识别并使用数据被加密时使用的密钥解密数据。如果该密钥已被删除，会导致解密失败。图2 解密数据单击“执行”，右侧文本框中显示解密后的明文数据。用户可直接单击“复制到剪切板”拷贝解密后的明文数据，并保存到本地文件中。在控制台输入的明文，会进行base64编码得到加密后的字符。如果直接调用API接口进行解密，得到的解密结果是进行了base64编码的内容。需再进行一次base64解码才能得到与控制台输入明文一致的内容。

数据加密服务 DEW 如何使用KMS加密保护线下数据
数据加密服务 DEW-加解密大量数据:加密和解密原理

加密和解密原理大量数据加密图1 加密本地文件说明如下：用户需要在KMS中创建一个用户主密钥。用户调用KMS的“create-datakey”接口创建数据加密密钥。用户得到一个明文的数据加密密钥和一个密文的数据加密密钥。其中密文的数据加密密钥是由指定的用户主密钥加密明文的数据加密密钥生成的。用户使用明文的数据加密密钥来加密明文文件，生成密文文件。用户将密文的数据加密密钥和密文文件一同存储到持久化存储设备或服务中。大量数据解密图2 解密本地文件说明如下：用户从持久化存储设备或服务中读取密文的数据加密密钥和密文文件。用户调用KMS的“decrypt-datakey”接口，使用对应的用户主密钥（即生成密文的数据加密密钥时所使用的用户主密钥）来解密密文的数据加密密钥，取得明文的数据加密密钥。如果对应的用户主密钥被误删除，会导致解密失败。因此，需要妥善管理好用户主密钥。用户使用明文的数据加密密钥来解密密文文件。

数据加密服务 DEW 如何使用KMS加密保护线下数据