数据加密服务 DEW-华为云

数据加密服务 DEW-如何使用凭据管理服务自动轮转安全密码:使用流程

使用流程图1 轮转密码流程流程说明如下：定时触发器到期后，会发布定时触发事件。函数工作流接收到事件后，会生成新的随机密码，替换凭据模板内容中的占位符，随后将替换后的内容作为新版本存入凭据中。应用程序定期通过调用API/SDK获取最新凭据版本。凭据管理服务检索并解密凭据密文，将凭据中保存的信息通过凭据管理API安全地返回到应用程序中。应用程序获取到解密后的凭据明文信息，使用新密码更新目标对象（数据库、服务器等），使新密码生效，后续使用新密码对目标对象进行访问。

数据加密服务 DEW 凭据管理

数据加密服务 DEW-加解密小量数据:调用API接口加解密

调用API接口加解密以保护服务器HTTPS证书为例，采用调用KMS的API接口方式进行说明，如图3所示。图3 保护服务器HTTPS证书流程说明如下：用户需要在KMS中创建一个用户主密钥。用户调用KMS的“encrypt-data”接口，使用指定的用户主密钥将明文证书加密为密文证书。用户在服务器上部署密文证书。当服务器需要使用证书时，调用KMS的“decrypt-data”接口，将密文证书解密为明文证书。由于控制台输入的加密原文会经过一次Base64转码后才传至后端，所以当调用API接口解密密文的时候，返回的明文就是加密原文经过Base64转码得到的字符串，故API加密密文后需要调用API进行解密，如果使用控制台解密API加密密文则会产生乱码。

数据加密服务 DEW 如何使用KMS加密保护线下数据

数据加密服务 DEW-加解密小量数据:在线工具加解密

在线工具加解密加密数据单击目标自定义密钥的名称，进入密钥信息页面后，单击“工具”页签。在“加密”文本框中输入待加密的数据，如图1所示。图1 加密数据单击“执行”，右侧文本框显示加密后的密文数据。加密数据时，使用当前指定的密钥加密数据。用户可单击“清除”，清除已输入的数据。用户可单击“复制到剪切板”拷贝加密后的密文数据，并保存到本地文件中。解密数据解密数据时，可单击任意“启用”状态的非默认密钥别名，进入该密钥的在线工具页面。单击“解密”，在左侧文本框中输入待解密的密文数据，如图2所示。在线工具自动识别并使用数据被加密时使用的密钥解密数据。如果该密钥已被删除，会导致解密失败。图2 解密数据单击“执行”，右侧文本框中显示解密后的明文数据。用户可直接单击“复制到剪切板”拷贝解密后的明文数据，并保存到本地文件中。在控制台输入的明文，会进行base64编码得到加密后的字符。如果直接调用API接口进行解密，得到的解密结果是进行了base64编码的内容。需再进行一次base64解码才能得到与控制台输入明文一致的内容。

数据加密服务 DEW 如何使用KMS加密保护线下数据

数据加密服务 DEW-查询审计事件:使用限制

使用限制单账号跟踪的事件可以通过云审计控制台查询。多账号的事件只能在账号自己的事件列表页面去查看，或者到组织追踪器配置的OBS桶中查看，也可以到组织追踪器配置的 CTS /system日志流下面去查看。用户通过云审计控制台只能查询最近7天的操作记录。如果需要查询超过7天的操作记录，您必须配置转储到对象存储服务 (OBS)，才可在OBS桶里面查看历史文件。否则，您将无法追溯7天以前的操作记录。云上操作后，1分钟内可以通过云审计控制台查询管理类事件操作记录，5分钟后才可通过云审计控制台查询数据类事件操作记录。

数据加密服务 DEW 审计日志

数据加密服务 DEW-绑定密钥对:前提条件

前提条件弹性云服务器的状态处于“运行中”或者“关机”状态。弹性云服务器未绑定密钥对。待重置密钥对的弹性云服务器使用的是华为云提供的公共镜像。执行密钥对绑定操作是通过修改服务器的“/root/.ssh/authorized_keys”文件的方式来写入用户公钥。请确保重置密钥对前，该文件没有被修改过，否则，绑定密钥对会失败。弹性云服务器安全组SSH端口（默认22）需对网段100.125.0.0/16提前放通。

数据加密服务 DEW

数据加密服务 DEW-DEW监控指标说明:数据加密服务监控指标

数据加密服务监控指标表1 密钥管理支持的监控指标指标ID 指标名称指标含义取值范围测量对象监控周期（原始指标） delkey_remaing_time 密钥剩余时间该指标表示计划删除状态的密钥距离被删除还剩下的时间 ≥ 0 小时密钥 5分钟 matrial_remaing_time 密钥材料的剩余有效时间该指标表示外部导入的密钥材料的剩余有效时间 ≥ 0 小时密钥 5分钟 charge_access_count 计费请求次数该指标表示所有计费请求次数 ≥ 0 小时密钥 5分钟表2 凭据管理支持的监控指标指标ID 指标名称指标含义取值范围测量对象监控周期（原始指标） del_secret_remaining_time 计划删除凭据剩余时间该指标表示计划删除凭据的剩余时间 ≥ 0 小时凭据 5分钟

数据加密服务 DEW 监控

数据加密服务 DEW-解绑密钥对:约束条件

约束条件如果用户未设置登录弹性云服务器的密码，或者忘记登录密码，可以到弹性云服务器管理控制台重置该弹性云服务器的登录密码，详细信息请参见《弹性云服务器用户指南》。当用户创建弹性云服务器使用的是“密钥对方式”登录时，用户解绑密钥对后，如果需要重新绑定密钥对，需要关机重新绑定密钥对。为了能正常登录弹性云服务器，解绑密钥对后，请在弹性云服务器界面及时重置密码，详细信息请参见《弹性云服务器用户指南》。

数据加密服务 DEW 使用密钥对

数据加密服务 DEW-删除密钥:约束条件

约束条件执行删除密钥操作后，密钥不会立即删除，密钥管理会将该操作按用户指定时间推迟执行，推迟时间范围为7天～1096天。在推迟删除时间未到时，如果需要重新使用该密钥，可以执行取消删除密钥操作。如果超过推迟时间，密钥将被KMS彻底删除，使用该密钥加密的数据将无法解密，请谨慎操作。关于处于计划删除状态的密钥计费情况，请参见计划删除的密钥是否还计费？。默认密钥为服务自动创建，不支持删除操作。删除多区域主密钥前，需要先删除所有的副本密钥。

数据加密服务 DEW 管理密钥

数据加密服务 DEW-凭据概述:RDS凭据使用流程

RDS凭据使用流程图1 产品架构流程说明：创建一个RDS凭据。设置凭据名称、标签等。配置自动轮转策略。应用系统在使用过程中需要访问数据库时，可以向 CS MS服务请求访问凭据，获取凭据值，调用API接口详情请参见查询凭据版本和凭据值。应用系统通过访问返回的凭据值解析明文数据，获取账号和密码后，可以访问该用户对应的目标数据库。开启自动轮转后，数据库实例所托管的密码将定时轮转更新，请确认使用该数据库实例的应用端已完成代码适配，可在数据库连接建立时，动态获取最新凭据。不要轻易缓存凭据中的任何信息，避免账号密码轮转后失效，导致数据库连接失败。

数据加密服务 DEW 凭据管理

数据加密服务 DEW-管理版本状态:约束条件

约束条件初始版本的状态被标记为“SYSCURRENT”。您可以将凭据的版本状态标记上服务内创建或者自定义类型的状态标签。每个版本可以被标记上多个状态标签，但是每个状态标签只能标记一个版本。目标状态标签为凭据对象内已经存在的状态标签时，首先自动会将此状态标签从其它版本上移除，然后标记至目标版本上。凭据管理服务的每个凭据中最多可支持12个凭据版本状态，每个凭据版本状态同时仅能标识一个凭据版本。 “SYSCURRENT”和“SYSPREVIOUS”为服务内建的凭据状态，不可删除。

数据加密服务 DEW

数据加密服务 DEW-敏感操作保护:开启操作保护

开启操作保护登录管理控制台。在“控制台”页面右上方的用户名处，在下拉列表中选择“安全设置”。图1 安全设置进入“安全设置”页面，单击“敏感操作”进入页面。在“操作保护”行，单击“立即启用”。进入“操作保护设置”页面，选择“开启”，单击“确定”后，开启操作保护。开启后，您以及账号中的 IAM 用户进行敏感操作时，例如查看凭据值、删除密钥等，需要输入验证码进行验证，避免误操作带来业务风险与损失。用户如果进行敏感操作，将进入“操作保护”页面，选择认证方式，包括邮箱、手机和虚拟MFA三种认证方式。如果用户只绑定了手机，则认证方式只能选择手机。如果用户只绑定了邮箱，则认证方式只能选择邮件。如果用户未绑定邮箱、手机和虚拟MFA，进行敏感操作时，华为云将提示用户绑定邮箱、手机或虚拟MFA。如需修改验证手机、邮箱、虚拟MFA设备，请在账号中修改。

数据加密服务 DEW 管理凭据版本

数据加密服务 DEW-创建标签策略:标签策略简介

标签策略简介标签策略是策略的一种类型，可帮助您在组织账号中对资源添加的标签进行标准化管理。标签策略对未添加标签的资源或未在标签策略中定义的标签不会生效。例如：标签策略规定为某资源添加的标签A，需要遵循标签策略中定义的大小写规则和标签值。如果标签A使用的大小写、标签值不符合标签策略，则资源将会被标记为不合规。标签策略有如下两种应用方式： 1. 事后检查 —— 资源标签如果违反标签策略，则在资源在合规性结果中显示为不合规。 2. 事前拦截 —— 标签策略开启强制执行后，则会阻止在指定的资源类型上完成不合规的标记操作。

数据加密服务 DEW

数据加密服务 DEW-导入密钥对:约束条件

约束条件通过外部导入的SSH密钥对支持的加解密算法为： SSH-DSS SSH-ED25519 ECDSA-SHA2-NISTP256 ECDSA-SHA2-NISTP384 ECDSA-SHA2-NISTP521 SSH_RSA有效长度为：2048，3072，4096 支持托管的私钥文件格式为“.pem”。如果是“.ppk”格式文件，请参考如何将“.ppk”格式的私钥文件转化为“.pem”格式进行转换。导入的私钥如果被加密，则会上传失败。

数据加密服务 DEW 密钥对管理

数据加密服务 DEW-标签概述:标签命名规则

标签命名规则每个标签由一对键值对（Key-Value）组成。每个数据加密服务资源最多可以添加20个标签。对于每个资源，每个标签键（Key）都必须是唯一的，每个标签键（Key）只能有一个值（Value）。标签共由两部分组成：“标签键”和“标签值”，其中，“标签键”和“标签值”的命名规则如表标签参数说明所示。标签以键值对的形式表示，用于标识存储库，便于对存储库进行分类和搜索。此处的标签仅用于存储库的过滤和管理。一个存储库最多添加10个标签。如您的组织已经设定数据加密服务的相关标签策略，则需按照标签策略规则为密钥、凭据等添加标签。标签如果不符合标签策略的规则，则可能会导致密钥、凭据创建失败，请联系组织管理员了解标签策略详情。表1 标签参数说明参数规则样例标签键必填。对于同一个自定义密钥，标签键唯一。长度不超过128个字符。首尾不能包含空格。不能以_sys_开头。可以包含以下字符：中文英文数字空格特殊字符_.:=+-@ cost 标签值可以为空。长度不超过255个字符。可以包含以下字符：中文英文数字空格特殊字符_.:=+-@ 100

数据加密服务 DEW 标签管理

数据加密服务 DEW-创建密钥:相关操作

相关操作对象存储服务中对象的服务端加密方法，具体请参见《对象存储服务控制台指南》的“使用服务端加密方式上传文件”章节。云硬盘中数据加密方法，具体请参见《云硬盘用户指南》的“购买云硬盘”章节。私有镜像的加密方法，具体请参见《镜像服务用户指南》的“加密镜像”章节。云数据库中数据库实例的磁盘加密方法，具体请参见《云数据库RDS快速入门》的“购买实例”章节。创建DEK、不含明文的DEK方法，具体请参见《数据加密服务API参考》的“创建数据密钥”与“创建不含明文数据密钥”章节。用户应用程序的DEK加解密方法，具体请参见《数据加密服务API参考》的“加密数据密钥”与“解密数据密钥”章节。

数据加密服务 DEW 密钥管理

云服务器内容精选

数据加密服务 DEW

7*24

备案

专业服务

退订

建议反馈

售前咨询热线