数据加密服务 DEW-DWS数据库加密:使用KMS加密DWS数据库流程

时间:2024-11-18 15:32:01

使用KMS加密DWS数据库流程

当选择KMS对DWS进行密钥管理时,加密密钥层次结构有三层。按层次结构顺序排列,这些密钥为主密钥(CMK)、集群加密密钥 (CEK)、数据库加密密钥 (DEK)。

主密钥用于给CEK加密,保存在KMS中。

CEK用于加密DEK,CEK明文保存在DWS集群内存中,密文保存在DWS服务中。

DEK用于加密数据库中的数据,DEK明文保存在DWS集群内存中,密文保存在DWS服务中。

密钥使用流程如下:

  1. 用户选择主密钥。
  2. DWS随机生成CEK和DEK明文。
  3. KMS使用用户所选的主密钥加密CEK明文并将加密后的CEK密文导入到DWS服务中。
  4. DWS使用CEK明文加密DEK明文并将加密后的DEK密文保存到DWS服务中。
  5. DWS将DEK明文传递到集群中并加载到集群内存中。

当该集群重启时,集群会自动通过API向DWS请求DEK明文,DWS将CEK、DEK密文加载到集群内存中,再调用KMS使用主密钥CMK来解密CEK,并加载到集群内存中,最后用CEK明文解密DEK,并加载到集群内存中,返回给集群。

support.huaweicloud.com/bestpractice-dew/dew_06_0010.html