数据加密服务 DEW-华为云

数据加密服务 DEW-华为云服务如何使用KMS加密数据？

华为云服务如何使用KMS加密数据？华为云服务（包含OBS、IMS、EVS、SFS和RDS）使用KMS提供的信封加密方式来保护用户的数据。信封加密方式，是一种加密手段，将加密数据的数据密钥封入信封中存储、传递和使用，不再使用用户主密钥直接加解密数据。用户使用云服务加密数据时，需要指定一个KMS用户主密钥。密钥管理服务会生成一个明文的数据加密密钥（DEK）和一个伴生的密文的数据加密密钥（DEK），明文数据密钥用于服务中存储的数据、文件等内容加密，密文数据加密密钥对明文数据密钥进行加密。完成加密后，被加密的数据文件以及密文数据密钥会存储在对应服务中，如下图所示。图1 华为云服务使用KMS加密原理用户通过华为云服务下载数据时，华为云服务通过KMS指定的用户主密钥对密文的数据加密密钥进行解密，并使用解密得到的明文的数据加密密钥来解密密文数据，然后将解密后的明文数据提供给用户下载。父主题：密钥管理类

数据加密服务 DEW 密钥管理类

数据加密服务 DEW-EVS服务端加密:使用KMS加密云硬盘（控制台）

使用KMS加密云硬盘（控制台）在EVS管理控制台，单击“购买磁盘”。配置“加密”参数。展开“更多”，出现“加密”勾选框。图1 展开更多创建委托。勾选“加密”，如果当前未授权EVS访问KMS，则会弹出“创建委托”对话框，单击“是”，授权EVS访问KMS，当授权成功后，EVS可以获取KMS密钥用来加解密云硬盘。当您需要使用云硬盘加密功能时，需要授权EVS访问KMS。如果您有授权资格，则可直接授权。如果权限不足，需先联系拥有“Security Administrator”权限的用户授权，然后再重新操作。设置加密参数。勾选“加密”，如果已经授权，会弹出“加密设置”对话框。图2 加密设置密钥名称是密钥的标识，您可以通过“密钥名称”下拉框选择需要使用的密钥。您可以选择使用的密钥如下：默认主密钥：成功授权EVS访问KMS，系统会创建默认主密钥“evs/default”。用户主密钥：即您已有的密钥或者新创建密钥，具体请参见创建密钥。根据界面提示，配置云硬盘的其他基本信息。详细参数说明请参见购买云硬盘。

数据加密服务 DEW 云服务使用KMS加解密数据

数据加密服务 DEW-EVS服务端加密:哪些用户有权限使用云硬盘加密

哪些用户有权限使用云硬盘加密安全管理员（拥有“Security Administrator”权限）可以直接授权EVS访问KMS，使用加密功能。普通用户（没有“Security Administrator”权限）使用加密功能时，根据该普通用户是否为当前区域或者项目内第一个使用加密特性的用户，作如下区分：是，即该普通用户是当前区域或者项目内第一个使用加密功能的，需先联系安全管理员进行授权，然后再使用加密功能。否，即区域或者项目内的其他用户已经使用过加密功能，该普通用户可以直接使用加密功能。对于一个租户而言，同一个区域内只要安全管理员成功授权EVS访问KMS，则该区域内的普通用户都可以直接使用加密功能。如果当前区域内存在多个项目，则每个项目下都需要安全管理员执行授权操作。

数据加密服务 DEW 云服务使用KMS加解密数据

数据加密服务 DEW-EVS服务端加密:简介

简介当您由于业务需求需要对存储在云硬盘的数据进行加密时，EVS为您提供加密功能，可以对新创建的云硬盘进行加密。加密云硬盘使用的密钥由数据加密服务（DEW，Data Encryption Workshop）中的密钥管理（KMS，Key Management Service）功能提供，无需您自行构建和维护密钥管理基础设施，安全便捷。磁盘加密针对数据盘加密。系统盘的加密依赖于镜像，具体请参见IMS服务端加密。

数据加密服务 DEW 云服务使用KMS加解密数据

数据加密服务 DEW-EVS服务端加密:云硬盘加密的密钥

云硬盘加密的密钥加密云硬盘使用KMS提供的密钥，包括默认主密钥和用户主密钥 (CMK，Customer Master Key)：默认主密钥：由EVS通过KMS自动创建的密钥，名称为“evs/default”。默认主密钥不支持禁用、计划删除等操作。用户主密钥：由用户自己创建的密钥，您可以选择已有的密钥或者新创建密钥，具体请参见创建密钥。使用用户主密钥加密云硬盘，如果对用户主密钥执行禁用、计划删除等操作，将会导致云硬盘不可读写，甚至数据永远无法恢复，具体请参见表1。表1 用户主密钥不可用对加密云硬盘的影响用户主密钥的状态对加密云硬盘的影响恢复方法禁用如果加密云硬盘此时挂载至云服务器，则该云硬盘仍可以正常使用，但不保证一直可以正常读写。如果卸载加密云硬盘后，再重新挂载至云服务器将会失败。启用用户主密钥，具体请参见启用密钥。计划删除取消删除用户主密钥，具体请参见取消删除密钥。已经被删除云硬盘数据永远无法恢复。用户主密钥为付费使用，如果为按需计费的密钥，请及时充值确保账户余额充足，如果为包年/包月的密钥，请及时续费，以避免加密云硬盘不可读写导致业务中断，甚至数据永远无法恢复。

数据加密服务 DEW 云服务使用KMS加解密数据

数据加密服务 DEW-功能特性:轮换凭据和密钥

轮换凭据和密钥为提升系统安全性，需要对敏感凭据进行定期更新。凭据轮换时要求对目标凭据具备依赖性的应用或配置同步更新，多应用系统凭据更新容易遗漏，可能带来业务中断风险。通过凭据管理服务，提供凭据多版本管理，应用节点通过API/SDK调用实现应用层凭据安全轮换。解决方案说明如下：管理员通过凭据管理控制台或API接口新增凭据版本，更新目标凭据内容。应用节点通过调用API/SDK 获取最新凭据版本，或指定版本状态的凭据，实现全量或灰度的凭据轮换。定期重复步骤1和步骤2实现凭据定期轮转。加密密钥开启密钥轮换，提高存储安全性。

数据加密服务 DEW

数据加密服务 DEW-功能特性:凭据安全检索

凭据安全检索应用程序访问数据库或其他服务时，需要提供如密码、令牌、证书、SSH 密钥、API 密钥等各种类型的凭据信息进行身份校验，通常是直接使用明文方式将上述凭据嵌入在应用程序的配置文件中。该场景存在凭据信息硬编码、明文存储易泄露和安全性较低等风险问题。通过凭据管理服务，用户可以将代码中的硬编码替换为对API 的调用，以便用编程的方式动态查询凭据，由于该凭据中不包含敏感信息，保证凭据不被泄露。解决方案说明如下：应用读取配置时，调用凭据管理服务API检索读取凭据（代替硬编码和明文凭据）。

数据加密服务 DEW

数据加密服务 DEW-功能特性:凭据事件通知

凭据事件通知用户为凭据对象订阅关联事件后，当事件为启用状态且基础事件类型在凭据对象上触发时，通过消息通知服务（ SMN ）对应事件通知会发送至事件指定的通知主题上。基础事件类型包括：凭据新版本创建，凭据版本过期，凭据删除，凭据轮转。配置事件通知后，用户可以通过函数工作流服务(FunctionGraph)中基于事件驱动的托管函数来自动化轮转凭据。解决方案说明如下： 1.管理员通过凭据管理服务的事件通知控制台或者调用API接口新增事件。 2.创建或更新凭据时，关联订阅所需的事件对象。 3.用户在凭据状态发生改变时收到事件通知消息，并可在函数工作流服务(FunctionGraph)中配置函数，来实现凭据自动更新或轮转等功能。

数据加密服务 DEW

数据加密服务 DEW-功能特性:凭据管理基本功能

凭据管理基本功能表1 凭据管理基本功能功能服务内容凭据全生命周期管理创建、查看、定时删除、取消删除凭据修改凭据的加密密钥和描述信息凭据版本管理创建、查看凭据版本查看凭据值凭据版本到期设置凭据版本状态管理更新、查询、删除凭据版本状态凭据标签管理添加、搜索、编辑、删除标签凭据事件管理创建、查看、删除事件修改凭据事件类型凭据通知管理查看变更事件类型、事件名称、凭据名称

数据加密服务 DEW

数据加密服务 DEW-使用场景

使用场景以最基础的数据库用户名及密码管理为示例，为您介绍凭据管理服务基本的使用场景。使用场景：管理员角色负责存入、更新凭据值的操作，使用者通过第三方应用服务获取所需的凭据值，具体使用流程如图1所示。图1 凭据登录流程流程说明如下：您首先需要在凭据管理服务中使用控制台或者API创建一个凭据，用来存储数据库的相关信息（例如：数据库地址、端口、密码）。当您使用应用程序访问数据库时，凭据管理服务会去查询管理员通过步骤1所创建的凭据内存储的内容。凭据管理服务检索并解密凭据密文，将凭据中保存的信息通过凭据管理API安全地返回到应用程序中。应用程序获取到解密后的凭据明文信息，使用这些安全的信息访问数据库。父主题：凭据管理

数据加密服务 DEW 凭据管理

数据加密服务 DEW-什么是云平台密码系统服务

什么是云平台密码系统服务云平台密码系统服务（Cloud Platform Cryptosystem Service, CP CS ），提供专属的密码服务以及服务集群化部署能力。具备密码服务集群的全生命周期管理的能力，包括自动化部署与释放、集群弹性伸缩、集群调用的应用级隔离等，并对各类能力进行集中监控、配置等，帮助租户快速通过密评。主要包含以下密码服务：加解密服务、签名验签服务、密钥管理服务、时间戳服务、协同签名服务、动态令牌服务、数据库加密服务、文件加密服务、电子签章服务、SSL VPN服务。父主题：云平台密码系统服务

数据加密服务 DEW 云平台密码系统服务

数据加密服务 DEW-基本概念

基本概念本文解释了数据加密服务（Data Encryption Workshop, DEW）的基本术语概念，帮助您正确理解和使用DEW。表1 通用加密术语名称定义更多信息对称密钥加密对称密钥加密又称专用密钥加密。信息的发送方和接收方使用相同密钥去加密和解密数据。优点：加密和解密速度快。缺点：每对密钥需保持唯一性，所以用户量大时密钥管理困难。适用场景：加密大量数据。密钥概述非对称密钥加密非对称密钥加密又称公开密钥加密。它需要使用一对密钥来分别完成加密和解密的操作，一个公开发布，即公开密钥，另一个由用户自己秘密保存，即私用密钥。优点：加密和解密使用密钥不同，所以安全性高。缺点：加密和解密速度较慢。适用场景：对敏感信息加密。密钥概述国密国密即国家密码局认定的国产密码算法。其中包括对称加密算法、椭圆曲线非对称加密算法、摘要算法。包括 SM2、SM4 等。 SM1为对称加密算法，加密强度为128位，采用硬件实现。 SM2为非对称加密算法，其加密强度为256位。 SM3为密码摘要算法，消息分组长度为 512 位，摘要值长度为 256 位。 SM4为对称加密算法，加密强度为128位。 - HMAC算法（Hash-based Message Authentication Code，HMAC） HMAC算法是一种基于密钥的消息认证码算法。HMAC算法使用信息与密钥结合，使用哈希函数对结果进行加密，由此实现对信息完整性的保护以及信息验证。 - 数字签名数字签名（Digital Signature）又称公钥数字签名，通常用于验证消息的真实性和完整性。发送方通过私钥对信息加密签名后发送给接收方，接收方通过公钥进行解密验签，通过信息对比保障电子文件的安全性，达到预防篡改、伪装的目的。 - 表2 密钥管理服务术语名称定义更多信息硬件安全模块（Hardware Security Module，HSM）硬件安全模块是一种用于保护和管理强认证系统所使用的密钥同时提供相关密码学操作的计算机硬件设备。 - 用户主密钥（Customer Master Key，CMK）用户主密钥是用户或云服务通过密钥管理创建的密钥，是一种密钥加密密钥，主要用于加密并保护数据加密密钥。一个用户主密钥可以加密多个数据加密密钥。用户主密钥分为自定义密钥和默认密钥。什么是用户主密钥？默认密钥（Default Key）默认密钥是对象存储服务（Object Storage Service，OBS）等其他云服务自动通过密钥管理为用户创建的用户主密钥，其别名后缀为“/default”。什么是默认密钥？密钥材料（Key Material）密钥材料是密码运算操作的重要输入之一，与密钥ID、基本元数据共同组成用户主密钥（Customer Master Key，CMK）。 - 信封加密（Envelope Encryption）信封加密是一种加密手段，将加密数据的数据密钥封入信封中存储、传递和使用，不再使用用户主密钥直接加解密数据。信封加密方式有什么优势？数据加密密钥（Data Encrypt Key，DEK）数据加密密钥是用于加密数据的密钥。什么是数据加密密钥？ HYOK （Hold Your Own Key，HYOK）用户可以完全控制其密钥，密钥始终归用户所有。专属密钥库表3 SSH密钥对术语名称定义更多信息 SSH密钥对 SSH密钥对是一种用于加密和验证网络连接的安全协议。它由两个部分组成：私钥和公钥。私钥是一个加密的文件，只有持有者可以访问它。公钥是一个非加密的文件，可以与任何人共享。当一个用户想要连接到另一个用户的计算机时，可以使用公钥来加密消息，并使用私钥来解密消息。这种加密方式比传统的密码验证更安全，因为私钥只有持有者可以访问，而公钥可以在不暴露私钥的情况下共享。密钥对管理私有密钥对私有密钥对是仅支持当前账号查看或使用的密钥对。创建密钥对账号密钥对账号密钥对是支持本账号下所有用户查看或使用的密钥对。升级密钥对

数据加密服务 DEW

数据加密服务 DEW-服务韧性:故障隔离

故障隔离 DEW采用region间隔离设计，可以确保任何一个region的故障不会影响其它region的DEW服务。 DEW的基础设施包括服务器和加密机等采用AZ级容灾设计，任何一个AZ的故障不会影响DEW服务的可用性，DEW服务将自动屏蔽发生故障的AZ并将流量切换到其它AZ，实现业务的平滑调度。 DEW的基础设施包括服务器和加密机等采用集群设计，任何一个服务器或加密机的可用性问题不会影响DEW服务的可用性。

数据加密服务 DEW

数据加密服务 DEW-数据保护技术

数据保护技术 DEW通过多种数据保护手段和特性，保障存储在DEW中数据安全可靠。数据保护手段简要说明详细介绍传输加密（HTTPS） DEW支持HTTPS传输协议，为数据传输的安全性提供保证。如何构造HTTPS协议请求密钥管理用户密钥材料的管理和存储采用硬件加密机进行保护，避免密钥泄露。密钥管理功能特性信封加密对于大量数据加解密场景，DEW提供信封加密方式来保护应用系统中敏感数据的安全，加密数据的数据密钥随信封进行存储、传递和使用。加解密大量数据密钥轮换机制当广泛重复地使用加密密钥，势必对加密密钥的安全造成风险。DEW支持用户定期密钥轮换，更改原有的密钥材料，以符合加密最佳实践的要求。密钥轮换概述凭据管理 DEW提供凭据的全生命周期管理和安全便捷的应用接入方式，帮助您降低硬编码方式带来的凭据泄露风险，提升数据及资产的安全性。凭据管理功能特性密钥导入用户在向KMS服务导入密钥材料时，支持RSAES_OAEP_SHA_256和SM2_ENCRYPT这2种密钥包装算法进行加密保护。导入密钥材料父主题：安全

数据加密服务 DEW

数据加密服务 DEW-身份认证与访问控制:身份认证

身份认证用户访问DEW的方式有多种，包括DEW控制台、API、SDK，无论访问方式封装成何种形式，其本质都是通过DEW提供的REST风格的API接口进行请求。 DEW的接口支持多种认证请求，以AK/SK举例：经过认证的请求总是需要包含一个签名值，该签名值以请求者的访问密钥（AK/SK）作为加密因子，结合请求体携带的特定信息计算而成。通过访问密钥（AK/SK）认证方式进行认证鉴权，即使用Access Key ID（AK）/Secret Access Key（SK）加密的方法来验证某个请求发送者身份。详情请参见认证鉴权。

数据加密服务 DEW

云服务器内容精选

数据加密服务 DEW

7*24

备案

专业服务

退订

建议反馈

售前咨询热线