数据加密服务 DEW-华为云服务如何使用KMS加密数据?

时间:2025-01-03 16:53:36

华为云服务如何使用KMS加密数据?

华为云服务(包含OBS、IMS、EVS、SFS和RDS)使用KMS提供的信封加密方式来保护用户的数据。

信封加密方式,是一种加密手段,将加密数据的数据密钥封入信封中存储、传递和使用,不再使用用户主密钥直接加解密数据。

  • 用户使用云服务加密数据时,需要在KMS创建一个主密钥,并使用主密钥生成 数据加密 密钥,再使用数据加密密钥在云服务加密数据。详细过程如下图所示。
    图1 华为云服务使用KMS加密原理

    加密原理说明如下:

    1. 用户在KMS创建用户主密钥
    2. KMS会生成一个明文数据加密密钥(DEK)和一个伴生的密文数据加密密钥(DEK)。
    3. 加密。
      • 明文数据加密密钥:加密云服务中存储的数据、文件等内容。
      • 密文数据加密密钥:加密明文数据加密密钥。
    4. 完成加密后,被加密的数据文件、密文数据加密密钥会被存储在对应云服务中。
  • 用户通过华为云服务下载数据时,华为云服务通过KMS指定的用户主密钥对密文的数据加密密钥进行解密,并使用解密得到的明文的数据加密密钥来解密密文数据,然后将解密后的明文数据提供给用户下载。
support.huaweicloud.com/dew_faq/dew_01_0053.html