检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
时，用户可以通过KMS界面使用在线工具加解密数据，或者调用KMS的API接口使用指定的用户主密钥直接加密、解密数据。当前支持不大于4KB的小数据加解密。 以保护服务器HTTPS证书为例，采用调用KMS的API接口方式进行说明，如图1所示。 图1 保护服务器HTTPS证书 流程说明如下：
密钥、API密钥等）的泄露风险也会增加，定期轮换凭据会增加所保护的明文信息安全性。 华为云为您提供了两种凭据轮换策略： 单用户凭据轮换 双用户凭据轮换 您可以根据您自己的实际需求，选择对应的轮换策略以进一步提高凭据的安全性。 轮换步骤 管理员通过凭据管理控制台或API接口新增凭据版本，更新凭据内容。
删除密钥别名 功能介绍 删除别名 调用方法 请参见如何调用API。 URI DELETE /v1.0/{project_id}/kms/aliases 表1 路径参数 参数 是否必选 参数类型 描述 project_id 是 String 项目ID 请求参数 表2 请求Header参数
则说明撤销授权成功。 如果需要确认该用户密钥授权已被撤销，可通过调用API的方式进行验证。具体API的使用可参见《密钥管理服务API参考》 例如授权目标用户使用创建数据密钥功能，撤销授权成功后，该用户调用API进行创建数据密钥时会产生报错。 父主题： 管理授权
密钥管理服务支持离线加解密数据吗？ 正常来说，密钥管理服务提供小数据加解密的公开API“encrypt-data”和“decrypt-data”。该接口的运算基于密钥管理服务，密钥管理服务对密文进行一定的包装。因此是不支持离线加解密数据的。 但是针对非对称密钥场景，密钥管理服务遵
用户计算文件的摘要，调用KMS的“sign”接口对摘要进行签名。用户得到摘要的签名结果。将摘要签名结果和密钥ID与文件一同传输或者存储。签名流程如图 签名流程所示。 图1 签名流程 用户需要使用文件时，先进行完整性校验，确保文件未被篡改。 用户重新计算文件的摘要，连同签名值调用KMS的“verify”接口对摘要进行
SDK）是一个客户端密码库，提供了数据的加解密、文件流加解密等功能，旨在帮助客户专注于应用程序的核心功能，而不用关心数据加密和解密的实现过程，用户只需调用加解密接口即可轻松实现海量数据加解密。 更多详情请访问：详情参考。 应用场景 对大型文件、图片等数据通过HTTPS请求到KMS服务进行保护时会消耗大量网络资源，降低加密效率。
关联密钥别名 功能介绍 关联别名。 你可以将别名从原密钥关联到另一个新的密钥 调用方法 请参见如何调用API。 URI POST /v1.0/{project_id}/kms/alias/associate 表1 路径参数 参数 是否必选 参数类型 描述 project_id 是
关联密钥别名 功能介绍 为指定密钥关联一个新的别名 调用方法 请参见如何调用API。 URI POST /v1.0/{project_id}/kms/aliases 表1 路径参数 参数 是否必选 参数类型 描述 project_id 是 String 密钥ID 请求参数 表2 请求Header参数
如果对应的用户主密钥被误删除，会导致解密失败。因此，需要妥善管理好用户主密钥。 用户使用明文的数据加密密钥来解密密文文件。 信封加密使用的相关API 您可以调用以下API，在本地对数据进行加解密。 API名称 说明 创建数据密钥 创建数据密钥。 加密数据密钥 用指定的主密钥加密数据密钥。 解密数据密钥 用指定的主密钥解密数据密钥。
与用户的应用程序配合使用 当您的应用程序需要对明文数据进行加密时，可通过调用KMS的接口来创建数据加密密钥，再使用数据加密密钥将明文数据进行加密，得到密文数据并进行存储。同时，用户的应用程序调用KMS的接口创建对应用户主密钥，对数据加密密钥进行加密，得到密文的数据加密密钥并进行存储。
密钥别名 别名是为用户为密钥设置的简称，是密钥的一种标识。您可以在API接口的调用中使用别名代替密钥ID。原有密钥别名修改为密钥名称。 该任务指导用户为密钥添加、删除别名。 约束条件 一个别名仅支持关联一个密钥，但一个密钥可以关联多个别名。 别名在区域中拥有唯一性，不同区域下的别名可以相同。
文档数据库服务DDS DDS数据库加密 EI企业智能 数据仓库服务DWS DWS数据库加密 原理介绍 华为云服务基于信封加密技术，通过调用KMS接口来加密云服务资源。由用户管理自己的用户主密钥，华为云服务在拥有用户授权的情况下，使用用户指定的用户主密钥对数据进行加密。 图1 华为云服务使用KMS加密原理
相对于KMS提供的另一种加密方式：KMS用户主密钥直接加密 使用KMS用户主密钥直接加密：是通过KMS界面使用在线工具加解密数据，或者调用KMS的API接口使用指定的用户主密钥直接加密、解密数据。 使用KMS用户主密钥直接加解密数据仅适用于不大于4KB的小数据加解密场景；而信封加密方式可以在本地对大量数据进行加解密。
用户可单击“复制到剪切板”拷贝加密后的密文数据，并保存到本地文件中。 在控制台输入的明文，会进行base64编码得到加密后的字符。 如果直接调用API接口进行解密，得到的解密结果是进行了base64编码的内容。需再进行一次base64解码才能得到与控制台输入明文一致的内容。 解密数据 登录管理控制台。
密钥对管理 权限 对应API接口 授权项（Action） 依赖的授权项 IAM项目 (Project) 企业项目 (Enterprise Project) 创建和导入SSH密钥对（OpenStack原生） POST /v2.1/{project_id}/os-keypairs e
批量导出密钥对私钥 功能介绍 批量导出密钥对私钥，单次最多导出10条数据 调用方法 请参见如何调用API。 URI POST /v3/{project_id}/keypairs/private-key/batch-export 表1 路径参数 参数 是否必选 参数类型 描述 project_id
查询密钥关联的别名 功能介绍 查询一个密钥关联的所有别名 调用方法 请参见如何调用API。 URI GET /v1.0/{project_id}/kms/aliases 表1 路径参数 参数 是否必选 参数类型 描述 project_id 是 String 项目ID 表2 Query参数
量数据的加密或者用于加密数据密钥。 非对称密钥可以为RSA密钥对或者ECC密钥对（包含SM2密钥对），可用于加解密数据、数字签名及验签。 接口约束 别名“/default”为服务默认主密钥的后缀名，由服务自动创建。因此用户创建的主密钥别名不能与服务默认主密钥的别名相同，即后缀名不能为“/default”。
删除凭据的版本状态 功能介绍 删除指定的凭据版本状态。 接口约束 不可删除内建的版本状态：SYSCURRENT，SYSPREVIOUS。 调用方法 请参见如何调用API。 URI DELETE /v1/{project_id}/secrets/{secret_name}/stages/{stage_name}
长按/截图保存，微信识别二维码
或者关注公众号“华为云”
