云服务使用KMS加解密数据-华为云

数据加密服务 DEW-EVS服务端加密:使用KMS加密云硬盘（控制台）

使用KMS加密云硬盘（控制台）在EVS管理控制台，单击“购买磁盘”。配置“加密”参数。展开“更多”，出现“加密”勾选框。图1 展开更多创建委托。勾选“加密”，如果当前未授权EVS访问KMS，则会弹出“创建委托”对话框，单击“是”，授权EVS访问KMS，当授权成功后，EVS可以获取KMS密钥用来加解密云硬盘。当您需要使用云硬盘加密功能时，需要授权EVS访问KMS。如果您有授权资格，则可直接授权。如果权限不足，需先联系拥有“Security Administrator”权限的用户授权，然后再重新操作。设置加密参数。勾选“加密”，如果已经授权，会弹出“加密设置”对话框。图2 加密设置密钥名称是密钥的标识，您可以通过“密钥名称”下拉框选择需要使用的密钥。您可以选择使用的密钥如下：默认主密钥：成功授权EVS访问KMS，系统会创建默认主密钥“evs/default”。用户主密钥：即您已有的密钥或者新创建密钥，具体请参见创建密钥。根据界面提示，配置云硬盘的其他基本信息。详细参数说明请参见购买云硬盘。

数据加密服务 DEW 云服务使用KMS加解密数据

数据加密服务 DEW-EVS服务端加密:哪些用户有权限使用云硬盘加密

哪些用户有权限使用云硬盘加密安全管理员（拥有“Security Administrator”权限）可以直接授权EVS访问KMS，使用加密功能。普通用户（没有“Security Administrator”权限）使用加密功能时，根据该普通用户是否为当前区域或者项目内第一个使用加密特性的用户，作如下区分：是，即该普通用户是当前区域或者项目内第一个使用加密功能的，需先联系安全管理员进行授权，然后再使用加密功能。否，即区域或者项目内的其他用户已经使用过加密功能，该普通用户可以直接使用加密功能。对于一个租户而言，同一个区域内只要安全管理员成功授权EVS访问KMS，则该区域内的普通用户都可以直接使用加密功能。如果当前区域内存在多个项目，则每个项目下都需要安全管理员执行授权操作。

数据加密服务 DEW 云服务使用KMS加解密数据

数据加密服务 DEW-EVS服务端加密:云硬盘加密的密钥

云硬盘加密的密钥加密云硬盘使用KMS提供的密钥，包括默认主密钥和用户主密钥 (CMK，Customer Master Key)：默认主密钥：由EVS通过KMS自动创建的密钥，名称为“evs/default”。默认主密钥不支持禁用、计划删除等操作。用户主密钥：由用户自己创建的密钥，您可以选择已有的密钥或者新创建密钥，具体请参见创建密钥。使用用户主密钥加密云硬盘，如果对用户主密钥执行禁用、计划删除等操作，将会导致云硬盘不可读写，甚至数据永远无法恢复，具体请参见表1。表1 用户主密钥不可用对加密云硬盘的影响用户主密钥的状态对加密云硬盘的影响恢复方法禁用如果加密云硬盘此时挂载至云服务器，则该云硬盘仍可以正常使用，但不保证一直可以正常读写。如果卸载加密云硬盘后，再重新挂载至云服务器将会失败。启用用户主密钥，具体请参见启用密钥。计划删除取消删除用户主密钥，具体请参见取消删除密钥。已经被删除云硬盘数据永远无法恢复。用户主密钥为付费使用，如果为按需计费的密钥，请及时充值确保账户余额充足，如果为包年/包月的密钥，请及时续费，以避免加密云硬盘不可读写导致业务中断，甚至数据永远无法恢复。

数据加密服务 DEW 云服务使用KMS加解密数据

数据加密服务 DEW-EVS服务端加密:简介

简介当您由于业务需求需要对存储在云硬盘的数据进行加密时，EVS为您提供加密功能，可以对新创建的云硬盘进行加密。加密云硬盘使用的密钥由数据加密服务（DEW，Data Encryption Workshop）中的密钥管理（KMS，Key Management Service）功能提供，无需您自行构建和维护密钥管理基础设施，安全便捷。磁盘加密针对数据盘加密。系统盘的加密依赖于镜像，具体请参见IMS服务端加密。

数据加密服务 DEW 云服务使用KMS加解密数据

数据加密服务 DEW-RDS数据库加密:约束条件

约束条件当前登录用户已通过统一身份认证服务添加华为云关系型数据库所在区域的KMS Administrator权限。权限添加方法请参见《统一身份认证服务用户指南》的“如何管理用户组并授权？”章节。如果用户需要使用自定义密钥加密上传对象，则需要先通过数据加密服务创建密钥。使用数据加密服务创建密钥详情请参见创建密钥。实例创建成功后，不可修改磁盘加密状态，且无法更改密钥。存放在对象存储服务上的备份数据不会被加密。华为云关系型数据库实例创建成功后，请勿禁用或删除正在使用的密钥，否则会导致服务不可用，数据无法恢复。选择磁盘加密的实例，新扩容的磁盘空间依然会使用原加密密钥进行加密。

数据加密服务 DEW 云服务使用KMS加解密数据

数据加密服务 DEW-概述:原理介绍

原理介绍华为云服务基于信封加密技术，通过调用KMS接口来加密云服务资源。由用户管理自己的用户主密钥，华为云服务在拥有用户授权的情况下，使用用户指定的用户主密钥对数据进行加密。图1 华为云服务使用KMS加密原理加密流程说明如下：用户需要在KMS中创建一个用户主密钥。华为云服务调用KMS的“create-datakey”接口创建数据加密密钥。得到一个明文的数据加密密钥和一个密文的数据加密密钥。密文的数据加密密钥是由指定的用户主密钥加密明文的数据加密密钥生成的。华为云服务使用明文的数据加密密钥来加密明文文件，得到密文文件。华为云服务将密文的数据加密密钥和密文文件一同存储到持久化存储设备或服务中。用户通过华为云服务下载数据时，华为云服务通过KMS指定的用户主密钥对密文的数据加密密钥进行解密，并使用解密得到的明文的数据加密密钥来解密密文数据，然后将解密后的明文数据提供给用户下载。

数据加密服务 DEW 云服务使用KMS加解密数据

数据加密服务 DEW-OBS服务端加密:加密OBS桶中的对象

加密OBS桶中的对象在OBS管理控制台桶列表中，单击待操作的桶，进入“概览”页面。在左侧导航栏，单击“对象”。单击“上传对象”，系统弹出“上传对象”对话框。单击“添加文件”，选择待上传的文件后，单击“打开”。在服务端加密行，选择目标加密方式，选择完成后，在下方的选择框中选择默认密钥或者自定义密钥，如图3所示。图3 加密上传对象（已开启OBS桶加密）开启OBS桶加密后，上传对象时默认开启继承桶的加密配置。如果需要修改加密配置，需要手动关闭“继承桶的加密配置”选项，根据使用需求选择SSE-KMS或SSE-OBS加密方式。图4 加密上传对象（未开启OBS桶加密）未开启OBS桶加密在上传对象时需要手动开启服务端加密。对象上传成功后，可在对象列表中查看对象的加密状态。对象的加密状态不可以修改。使用中的密钥不可以删除，如果删除将导致加密对象不能下载。

数据加密服务 DEW 云服务使用KMS加解密数据

数据加密服务 DEW-OBS服务端加密:应用场景

应用场景 KMS可以对OBS桶中的对象进行全量加密或者部分加密，在OBS服务使用KMS加密过程中，KMS提供的信封加密能力使数据加解密操作无需通过网络传输大量数据即可完成。信封加密方式有效保障了数据传输的加密性、数据解密的效率和便捷性，在对象上传和下载过程中，保证信息安全。全量加密：指对OBS桶内上传的所有对象进行加密。此时，您只需要对OBS桶加密，桶中上传的对象会默认继承OBS桶的加密策略。具体操作请参见加密OBS桶：创建OBS桶时开启服务端加密功能或者加密OBS桶：为已创建的OBS桶开启加密。开启OBS桶加密后，上传对象时默认开启“继承桶加密配置”加密方式，此时桶中的对象和OBS桶采用相同的加密策略；如果有变更加密方式的需求，需要手动关闭“继承桶加密配置”开关后，根据需要选择“SSE-KMS加密”方式对OBS桶中上传的对象进行加密。具体操作请参见加密OBS桶中的对象。部分加密：指对OBS桶内上传的部分对象进行加密。此时不需要对OBS桶进行加密，直接对OBS桶中的对象进行加密。具体操作请参见加密OBS桶中的对象。

数据加密服务 DEW 云服务使用KMS加解密数据

数据加密服务 DEW-OBS服务端加密:加密OBS桶中的对象

加密OBS桶中的对象在OBS管理控制台桶列表中，单击待操作的桶，进入“概览”页面。在左侧导航栏，单击“对象”。单击“上传对象”，系统弹出“上传对象”对话框。单击“添加文件”，选择待上传的文件后，单击“打开”。在服务端加密行，选择目标加密方式，选择完成后，在下方的选择框中选择默认密钥或者自定义密钥，如图6所示。图6 加密上传对象（已开启OBS桶加密）图7 加密上传对象（未开启OBS桶加密）如果对象所在的OBS桶已开启加密，可在服务端加密行选择继承桶的加密配置，与OBS桶使用同样的加密配置进行上传对象的加密。如果对象所在的OBS桶未开启加密，可选择先开启OBS桶加密，或者直接使用“SSE-KMS”加密方式加密上传对象。对象上传成功后，可在对象列表中查看对象的加密状态。对象的加密状态不可以修改。使用中的密钥不可以删除，如果删除将导致加密对象不能下载。

数据加密服务 DEW 云服务使用KMS加解密数据

云服务器内容精选

云服务使用KMS加解密数据

7*24

备案

专业服务

退订

建议反馈

售前咨询热线